Organisaties die als belangrijk worden aangemerkt onder de Cyberbeveiligingswet zijn middelgrote bedrijven en instellingen in specifieke sectoren die essentieel zijn voor de economie of maatschappij, maar niet zo kritisch dat ze als ‘essentieel’ worden geclassificeerd. Denk aan middelgrote aanbieders van digitale diensten, productiebedrijven, voedselproducenten en chemische bedrijven. De Cyberbeveiligingswet is de Nederlandse implementatie van de Europese NIS2-richtlijn en stelt aan beide categorieën concrete beveiligingseisen. In dit artikel beantwoorden we de meest gestelde vragen over wie er precies onder valt en wat dat in de praktijk betekent.
Wat onderscheidt ‘belangrijke’ van ‘essentiële’ entiteiten onder NIS2?
Het verschil tussen ‘belangrijke’ en ‘essentiële’ entiteiten onder de Cyberbeveiligingswet zit in de mate van maatschappelijke kritiekheid en de omvang van de organisatie. Essentiële entiteiten zijn grote organisaties in de meest kritieke sectoren, zoals energie, drinkwater en gezondheidszorg. Belangrijke entiteiten zijn doorgaans middelgrote organisaties in aanverwante of minder kritieke sectoren.
In de praktijk zijn er twee concrete verschillen die er voor jouw organisatie toe doen:
- Toezicht: Essentiële entiteiten vallen onder actief, proactief toezicht. Toezichthouders controleren hen regelmatig, ook zonder aanleiding. Belangrijke entiteiten worden reactief gecontroleerd, dat wil zeggen dat toezicht doorgaans wordt ingesteld naar aanleiding van een incident of klacht.
- Verplichtingen: De inhoudelijke beveiligingseisen zijn grotendeels gelijk, maar de intensiteit van het toezicht en de hoogte van mogelijke boetes verschillen.
Dit onderscheid betekent niet dat je als belangrijke entiteit minder serieus genomen wordt. De verplichtingen zijn substantieel en de gevolgen bij nalatigheid zijn aanzienlijk.
Welke sectoren vallen onder de categorie ‘belangrijke entiteiten’?
De Cyberbeveiligingswet wijst specifieke sectoren aan die als ‘belangrijk’ worden geclassificeerd. Dit zijn sectoren die een significante rol spelen in de economie of samenleving, maar waarbij een verstoring minder direct levensbedreigend is dan bij essentiële sectoren zoals energie of ziekenhuizen.
De volgende sectoren vallen onder de categorie belangrijke entiteiten:
- Post- en koeriersdiensten
- Afvalstoffenbeheer
- Chemische industrie
- Voedselproductie en -verwerking
- Maakindustrie (waaronder medische hulpmiddelen, elektronica en machines)
- Digitale aanbieders zoals online marktplaatsen, zoekmachines en sociale netwerken
- Onderzoeksinstellingen
Het is belangrijk om te weten dat de sectorindeling alleen een eerste stap is. Ook de omvang van je organisatie speelt een rol bij de uiteindelijke classificatie. Middelgrote bedrijven in bovengenoemde sectoren vallen in principe onder de Cyberbeveiligingswet, terwijl kleinere bedrijven in dezelfde sector erbuiten kunnen vallen.
Hoe bepaalt een organisatie of ze onder de Cyberbeveiligingswet valt?
Een organisatie bepaalt of ze onder de Cyberbeveiligingswet valt door twee criteria te toetsen: de sector waarin ze actief is en haar omvang. Als je actief bent in een aangewezen sector én je voldoet aan de drempelwaarden voor middelgrote of grote ondernemingen, val je vrijwel zeker onder de wet.
De omvangsdrempels die worden gehanteerd zijn gebaseerd op de Europese definitie van middelgrote en grote ondernemingen:
- Middelgrote onderneming: 50 tot 249 medewerkers én een jaaromzet of balanstotaal tussen 10 en 50 miljoen euro
- Grote onderneming: meer dan 250 medewerkers of een jaaromzet boven 50 miljoen euro
Kleine bedrijven met minder dan 50 medewerkers vallen in de meeste gevallen buiten de reikwijdte van de Cyberbeveiligingswet. Er zijn echter uitzonderingen: als jouw organisatie de enige aanbieder van een bepaalde dienst in Nederland is, of als een verstoring grote gevolgen kan hebben voor de openbare orde of veiligheid, kan de toezichthouder je toch aanwijzen.
Twijfel je of jouw organisatie onder de wet valt? De Rijksinspectie Digitale Infrastructuur (RDI) en andere sectorale toezichthouders publiceren richtlijnen en zelftests waarmee je dit kunt nagaan. Zelfregistratie is voor veel organisaties verplicht zodra de wet van kracht is.
Welke verplichtingen gelden specifiek voor belangrijke entiteiten?
Belangrijke entiteiten zijn verplicht om passende technische en organisatorische maatregelen te nemen om hun netwerk- en informatiesystemen te beveiligen. De Cyberbeveiligingswet schrijft geen specifieke technologieën voor, maar wel een risicogebaseerde aanpak die minimaal een aantal concrete onderwerpen dekt.
De verplichte maatregelen omvatten onder andere:
- Risicoanalyse en beleid: Een gedocumenteerd informatiebeveiligingsbeleid gebaseerd op een actuele risicoanalyse
- Incidentbeheer: Procedures voor het detecteren, rapporteren en afhandelen van beveiligingsincidenten
- Bedrijfscontinuïteit: Maatregelen voor back-up, herstel en crisismanagement
- Beveiliging van de toeleveringsketen: Aandacht voor de cybersecurity van leveranciers en partners
- Toegangsbeheer en authenticatie: Sterke authenticatiemethoden en strikte toegangscontrole
- Encryptie: Toepassing van versleuteling waar dat passend is
- Opleiding en bewustzijn: Medewerkers bewust maken van cyberdreigingen en hun rol daarin
Naast deze maatregelen geldt een meldplicht voor significante incidenten. Binnen 24 uur na ontdekking moet een eerste melding worden gedaan bij de bevoegde toezichthouder. Binnen 72 uur volgt een gedetailleerdere melding en binnen een maand een eindrapportage.
Wat zijn de gevolgen als een organisatie de Cyberbeveiligingswet negeert?
Organisaties die de Cyberbeveiligingswet niet naleven, riskeren aanzienlijke boetes en andere handhavingsmaatregelen. Voor belangrijke entiteiten kan de maximale boete oplopen tot 7 miljoen euro of 1,4% van de wereldwijde jaaromzet, afhankelijk van welk bedrag hoger is.
Naast financiële sancties kan de toezichthouder ook andere maatregelen opleggen:
- Bindende aanwijzingen om specifieke maatregelen te treffen
- Tijdelijke beperkingen op bepaalde activiteiten
- Verplichte audits of inspecties op kosten van de organisatie
- Publicatie van de overtreding, wat reputatieschade oplevert
Buiten de directe sancties zijn er ook indirecte gevolgen. Een beveiligingsincident dat plaatsvindt omdat verplichte maatregelen ontbreken, kan leiden tot aansprakelijkheid richting klanten of partners. Bestuurders kunnen in bepaalde gevallen persoonlijk aansprakelijk worden gesteld als zij aantoonbaar hebben nagelaten om de juiste maatregelen te nemen.
Wanneer treedt de Cyberbeveiligingswet in werking voor Nederlandse organisaties?
De Cyberbeveiligingswet is de Nederlandse implementatie van de Europese NIS2-richtlijn. De Europese deadline voor implementatie was oktober 2024, maar Nederland loopt achter op dit schema. In 2026 wordt verwacht dat de wet definitief in werking treedt en dat organisaties volledig aan de eisen moeten voldoen.
Dit betekent dat de tijd om je voor te bereiden beperkt is. Organisaties die nog niet zijn begonnen met het in kaart brengen van hun verplichtingen, lopen het risico onvoldoende voorbereid te zijn op het moment dat de toezichthouder actief begint te handhaven. Het advies van experts en toezichthouders is consistent: begin nu met de voorbereiding, ook als de exacte inwerkingtreding nog niet definitief is vastgesteld.
Houd de communicatie van de Rijksinspectie Digitale Infrastructuur en sectorale toezichthouders nauwlettend in de gaten voor de meest actuele informatie over de exacte datum van inwerkingtreding.
Hoe bereidt een MKB-organisatie zich voor op de Cyberbeveiligingswet?
Een MKB-organisatie bereidt zich voor op de Cyberbeveiligingswet door eerst te bepalen of ze eronder valt, vervolgens een nulmeting te doen en daarna stap voor stap de benodigde maatregelen te implementeren. Een gestructureerde aanpak voorkomt dat je overweldigd raakt door de omvang van de vereisten.
Een praktisch stappenplan ziet er als volgt uit:
- Bepaal of je onder de wet valt: Controleer je sector en omvang aan de hand van de criteria hierboven
- Voer een nulmeting uit: Breng in kaart welke beveiligingsmaatregelen je al hebt en waar de gaten zitten
- Stel een risicoanalyse op: Identificeer de grootste risico’s voor jouw specifieke organisatie
- Ontwikkel een informatiebeveiligingsbeleid: Documenteer hoe je met risico’s omgaat en wie waarvoor verantwoordelijk is
- Implementeer technische maatregelen: Denk aan multifactorauthenticatie, back-upbeheer, netwerksegmentatie en encryptie
- Train je medewerkers: Zorg dat iedereen weet hoe ze phishing herkennen en incidenten melden
- Registreer je bij de toezichthouder: Zodra de wet van kracht is, geldt voor veel organisaties een registratieplicht
Het is verstandig om de voorbereiding niet alleen aan te pakken. Veel MKB-organisaties hebben beperkte interne IT-capaciteit, terwijl de eisen van de Cyberbeveiligingswet breed en technisch zijn.
Hoe Kinwell helpt met de Cyberbeveiligingswet
Wij begrijpen dat de Cyberbeveiligingswet voor veel MKB-organisaties een flinke uitdaging is. De eisen zijn omvangrijk, de technische kennis ontbreekt vaak intern en de tijd dringt. Dat is precies waar wij het verschil maken.
Wat wij voor jouw organisatie kunnen doen:
- Nulmeting en gap-analyse: We brengen in kaart waar je nu staat ten opzichte van de eisen van de Cyberbeveiligingswet
- Risicoanalyse en beleidsontwikkeling: We helpen je een gedocumenteerd informatiebeveiligingsbeleid op te stellen dat voldoet aan de wettelijke eisen
- Technische implementatie: Van endpoint protection en multifactorauthenticatie tot netwerkmonitoring en back-upbeheer
- Bewustzijnstraining voor medewerkers: We zorgen dat je team weet hoe ze dreigingen herkennen en correct handelen bij incidenten
- Doorlopend beheer en monitoring: Cybersecurity is geen eenmalig project, maar een continu proces dat wij voor je bewaken
Als officieel Vodafone Business Partner en specialist in cybersecurity voor het MKB bieden wij alles onder één dak. Geen versnipperde leveranciers, maar één aanspreekpunt dat de technische complexiteit vertaalt naar begrijpelijke, werkbare oplossingen. Neem vandaag nog contact met ons op en ontdek hoe we jouw organisatie klaarstomen voor de Cyberbeveiligingswet.
Vrijblijvend advies
Veelgestelde vragen
Wat gebeurt er als mijn organisatie tussen twee categorieën valt — ben ik dan essentieel of belangrijk?
Als je organisatie actief is in een sector die zowel essentiële als belangrijke entiteiten kent, is de omvang van je organisatie doorgaans de doorslaggevende factor. Grote organisaties (meer dan 250 medewerkers of een jaaromzet boven 50 miljoen euro) in kritieke sectoren worden vaker als essentieel aangemerkt, terwijl middelgrote organisaties in dezelfde sector als belangrijk worden geclassificeerd. Bij twijfel kun je het beste direct contact opnemen met de Rijksinspectie Digitale Infrastructuur (RDI) of een gespecialiseerde adviseur raadplegen, want een verkeerde classificatie kan leiden tot onvoldoende voorbereiding op de juiste verplichtingen.
Moet ik als belangrijke entiteit ook mijn leveranciers en partners aanspreken op hun cybersecurity?
Ja, de Cyberbeveiligingswet verplicht belangrijke entiteiten expliciet om de beveiliging van hun toeleveringsketen mee te nemen in hun risicoaanpak. Dit betekent dat je in kaart moet brengen welke leveranciers en partners toegang hebben tot jouw systemen of kritieke diensten leveren, en dat je contractuele afspraken maakt over hun beveiligingsniveau. In de praktijk betekent dit dat je leveranciers kunt bevragen via vragenlijsten, audits of door te eisen dat zij zelf aantoonbaar voldoen aan erkende beveiligingsstandaarden zoals ISO 27001 of NEN 7510.
Wat moet ik precies doen bij een beveiligingsincident, en hoe werkt de meldplicht in de praktijk?
Bij een significant beveiligingsincident — denk aan een ransomware-aanval, een datalek met grote impact of een langdurige verstoring van je diensten — geldt een strikte meldtermijn: binnen 24 uur doe je een eerste melding bij de bevoegde toezichthouder, binnen 72 uur volgt een gedetailleerdere tussenrapportage en binnen één maand lever je een eindrapportage in. Het is verstandig om deze procedure vooraf schriftelijk vast te leggen in een incidentresponsplan, zodat je in een stressvolle situatie niet hoeft te improviseren. Zorg er ook voor dat je van tevoren weet welke toezichthouder voor jouw sector bevoegd is, want dit verschilt per branche.
Kan een kleine organisatie met minder dan 50 medewerkers toch onder de Cyberbeveiligingswet vallen?
In de meeste gevallen vallen kleine organisaties met minder dan 50 medewerkers buiten de reikwijdte van de Cyberbeveiligingswet, maar er zijn uitzonderingen. Als jouw organisatie de enige aanbieder van een bepaalde kritieke dienst in Nederland is, of als een verstoring van jouw dienstverlening aantoonbaar grote maatschappelijke of veiligheidsrisico’s met zich meebrengt, kan de toezichthouder jou alsnog aanwijzen als belangrijke of zelfs essentiële entiteit. Het is daarom raadzaam ook als kleine organisatie de ontwikkelingen rondom de wet te volgen en een basisbeoordeling te doen van je positie in de markt.
Welke bestaande beveiligingsstandaarden of certificeringen helpen bij het voldoen aan de Cyberbeveiligingswet?
De Cyberbeveiligingswet schrijft geen specifieke standaarden voor, maar erkende frameworks zoals ISO 27001, de BIO (Baseline Informatiebeveiliging Overheid) en het NIST Cybersecurity Framework sluiten goed aan op de vereisten. Als je organisatie al beschikt over een ISO 27001-certificering, heb je een sterke basis en hoef je in veel gevallen alleen aanvullende maatregelen te treffen die specifiek door de wet worden gevraagd, zoals de meldplicht en de toeleveringsketenbeoordeling. Ook het Nationaal Cyber Security Centrum (NCSC) publiceert praktische richtlijnen die aansluiten op de Nederlandse implementatie van NIS2.
Hoe lang duurt het gemiddeld om als MKB-organisatie compliant te worden met de Cyberbeveiligingswet?
De doorlooptijd varieert sterk afhankelijk van je huidige beveiligingsniveau, de omvang van je organisatie en de complexiteit van je IT-omgeving, maar reken gemiddeld op zes tot twaalf maanden voor een volledige implementatie. Organisaties die al beschikken over een gedocumenteerd informatiebeveiligingsbeleid en basismaatregelen zoals multifactorauthenticatie en back-upbeheer, kunnen dit traject aanzienlijk verkorten. Juist omdat de verwachte inwerkingtreding in 2026 ligt, is het verstandig nu te starten zodat je voldoende tijd hebt om eventuele technische of organisatorische achterstanden in te halen zonder tijdsdruk.
Zijn bestuurders persoonlijk aansprakelijk als hun organisatie de Cyberbeveiligingswet niet naleeft?
Ja, de Cyberbeveiligingswet kent bepalingen die persoonlijke aansprakelijkheid van bestuurders mogelijk maken, met name wanneer aantoonbaar sprake is van nalatigheid of bewust negeren van de verplichtingen. Dit betekent dat het niet langer voldoende is om cybersecurity als een puur technisch IT-vraagstuk te behandelen — het is een bestuurlijke verantwoordelijkheid. Bestuurders doen er verstandig aan om actief betrokken te zijn bij het nalevingstraject, periodiek te laten rapporteren over de stand van zaken en beslissingen rondom cybersecurity schriftelijk te documenteren.
