Bepaal zorgvuldig of jouw organisatie onder de Cyberbeveiligingswet valt en welke vervolgstappen je nu moet zetten.
Begin bij de dienst en sector
Kijk niet alleen naar de handelsnaam of SBI-code. Bepaal welke feitelijke diensten de organisatie levert en of die onder een aangewezen sector of type entiteit vallen.
De Rijksoverheid noemt onder meer energie, drinkwater, digitale infrastructuur, gezondheidszorg, overheid en vervoer. De volledige wettelijke afbakening en eventuele sectorspecifieke uitleg blijven leidend.
- welke diensten worden feitelijk geleverd
- in welke sector en welk geografisch gebied
- omvang van de organisatie, inclusief relevante partner- en verbonden ondernemingen
- specifieke aanwijzing of uitzondering
- rol als leverancier van een organisatie die wel onder de wet valt
Rechtstreeks of indirect geraakt
Ook wanneer je niet rechtstreeks onder de wet valt, kunnen klanten beveiligingseisen stellen. Organisaties die wel onder de wet vallen moeten risico’s in hun toeleveringsketen beheersen.
Maak daarom onderscheid tussen wettelijke toepasselijkheid en contractuele of commerciële impact. Beide kunnen tot maatregelen leiden, maar de juridische grond en verantwoordingslijn zijn anders.
Wat moet je vastleggen bij de beoordeling?
Leg de feiten, gebruikte bronnen, conclusie, onzekerheden en verantwoordelijke besluitvormer vast. Een korte memo die periodiek wordt herzien is vaak bruikbaarder dan een ondoorzichtige ja/nee-uitkomst.
Als de wet van toepassing is
Bepaal welke registratie-, zorg-, meld- en bestuursplichten voor jullie gelden en voer die uit binnen de toepasselijke wettelijke termijnen. De wet geldt sinds 15 augustus 2026; een voorbereidingsplan geeft geen extra uitstel. Let wel op bijzondere regels en termijnen, zoals die voor kennis en vaardigheden van bestuurders. Bestaande ISO 27001- of NEN 7510-processen kunnen bouwstenen leveren, mits je de aanvullende wettelijke eisen afzonderlijk beoordeelt.
Veelgestelde vragen
Is alleen de bedrijfsgrootte bepalend?+
Nee. Sector, dienst, omvang, aanwijzingen en uitzonderingen moeten in samenhang worden beoordeeld.
Wat als we alleen leverancier zijn?+
Toets eerst of jullie eigen diensten rechtstreeks onder de wet vallen. Is dat niet zo, dan kunnen klanten alsnog beveiligingseisen stellen om hun ketenrisico’s te beheersen.
Wanneer is de wet in werking getreden?+
De Cyberbeveiligingswet is op 15 augustus 2026 in werking getreden. Controleer bij toepassing de actuele officiële informatie van de Rijksoverheid en het NCSC.
Gebruikte en geraadpleegde bronnen
Voor feitelijke en tijdgevoelige informatie gebruiken we bij voorkeur primaire bronnen. Controleer bij belangrijke besluiten altijd de actuele officiële publicatie.
- Rijksoverheid: officiële informatieGeraadpleegd op 20 september 2026
- EUR-Lex: officiële informatieGeraadpleegd op 20 september 2026
- Nationaal Cyber Security Centrum: officiële informatieGeraadpleegd op 20 september 2026
- NCSC: toepassingsbereik en omvangscriteriaGeraadpleegd op 20 september 2026
- Cyberbeveiligingswet: definitieve wet (Staatsblad 2026, 187)Geraadpleegd op 20 september 2026
- Cyberbeveiligingsbesluit: uitwerking en inwerkingtreding (Staatsblad 2026, 189)Geraadpleegd op 20 september 2026
Gerelateerde artikelen
Deze uitleg is algemeen en vervangt geen juridische beoordeling of de officiële normtekst.