De naleving van de Cyberbeveiligingswet wordt in Nederland gecontroleerd door sectorspecifieke toezichthouders, niet door één centrale instantie. Welke toezichthouder bevoegd is, hangt af van de sector waarin jouw organisatie actief is. De wet, die de Europese NIS2-richtlijn implementeert, verdeelt het toezicht over meerdere bestaande autoriteiten met aanvullende bevoegdheden. In dit artikel beantwoorden we de meest gestelde vragen over toezicht, meldplichten en voorbereiding.
Welke organisaties vallen onder toezicht van de Cyberbeveiligingswet?
De Cyberbeveiligingswet is van toepassing op organisaties die actief zijn in sectoren die als kritisch of belangrijk worden aangemerkt. Dit zijn zowel essentiële entiteiten als belangrijke entiteiten, een onderscheid dat bepaalt hoe intensief het toezicht is. Denk aan sectoren zoals energie, transport, financiële dienstverlening, gezondheidszorg, drinkwater, digitale infrastructuur en overheidsdiensten.
Voor het MKB is het belangrijk te weten dat de wet niet alleen grote ondernemingen raakt. Middelgrote organisaties in aangewezen sectoren kunnen ook onder de reikwijdte vallen, afhankelijk van hun omvang, marktpositie en de kriticiteit van hun diensten. Een zorginstelling van bescheiden omvang kan dus net zo goed toezichtplichtig zijn als een grote energieleverancier.
Het onderscheid tussen essentiële en belangrijke entiteiten werkt als volgt:
- Essentiële entiteiten vallen onder proactief toezicht. De toezichthouder kan ook zonder aanleiding inspecties uitvoeren.
- Belangrijke entiteiten vallen onder reactief toezicht. Toezicht wordt doorgaans pas geactiveerd na een incident of melding.
Organisaties zijn zelf verantwoordelijk voor het beoordelen of zij onder de wet vallen. De overheid heeft hiervoor een zelfbeoordelingstool beschikbaar gesteld waarmee je kunt nagaan of jouw organisatie toezichtplichtig is.
Wie is de aangewezen toezichthouder per sector?
Er is niet één toezichthouder voor de Cyberbeveiligingswet. Het toezicht is verdeeld over meerdere sectorale autoriteiten, elk verantwoordelijk voor hun eigen domein. De Rijksinspectie Digitale Infrastructuur (RDI) speelt een centrale rol, maar ook andere toezichthouders zijn actief betrokken.
Hieronder een overzicht van de belangrijkste toezichthouders per sector:
- Rijksinspectie Digitale Infrastructuur (RDI) – toezicht op digitale infrastructuur, aanbieders van clouddiensten, datacenters en managed serviceproviders.
- Autoriteit Persoonsgegevens (AP) – betrokken bij incidenten waarbij persoonsgegevens in het geding zijn, in samenwerking met andere toezichthouders.
- Autoriteit Financiële Markten (AFM) en De Nederlandsche Bank (DNB) – toezicht op financiële instellingen en betalingsdienstverleners.
- Nederlandse Zorgautoriteit (NZa) en Inspectie Gezondheidszorg en Jeugd (IGJ) – toezicht op zorginstellingen en medische dienstverleners.
- Autoriteit Consument en Markt (ACM) – toezicht op energie- en transportsectoren.
- Agentschap Telecom – toezicht op telecomaanbieders en elektronische communicatienetwerken.
Het Nationaal Cyber Security Centrum (NCSC) fungeert als centraal informatiepunt en ondersteunt toezichthouders en organisaties bij het duiden van dreigingen, maar heeft zelf geen directe handhavingsbevoegdheid. De coördinatie tussen toezichthouders verloopt via het Cybersecurity Overleg (CSO), een samenwerkingsverband dat zorgt voor afstemming en consistente handhaving.
Welke bevoegdheden heeft de toezichthouder bij overtredingen?
Toezichthouders onder de Cyberbeveiligingswet beschikken over vergaande bevoegdheden om naleving af te dwingen. Bij overtredingen kunnen zij een breed scala aan maatregelen opleggen, van bindende aanwijzingen tot aanzienlijke boetes. De ernst van de overtreding en de categorie van de entiteit bepalen welke sancties van toepassing zijn.
Toezichtbevoegdheden bij onderzoek
Toezichthouders mogen inspecties uitvoeren, documenten opvragen, systemen onderzoeken en medewerkers horen. Voor essentiële entiteiten geldt dat dit ook proactief kan gebeuren, zonder dat er eerst een incident heeft plaatsgevonden. Toezichthouders kunnen ook externe audits verplicht stellen en beveiligingstests laten uitvoeren.
Sancties en handhavingsmaatregelen
Bij geconstateerde overtredingen beschikken toezichthouders over de volgende instrumenten:
- Bindende aanwijzingen – de organisatie wordt verplicht specifieke maatregelen te treffen binnen een gestelde termijn.
- Dwangsommen – financiële sancties die oplopen zolang de overtreding voortduurt.
- Bestuurlijke boetes – voor essentiële entiteiten kan dit oplopen tot 10 miljoen euro of 2% van de wereldwijde jaaromzet; voor belangrijke entiteiten tot 7 miljoen euro of 1,4% van de omzet.
- Tijdelijke schorsing van leidinggevenden – in ernstige gevallen kan de toezichthouder bestuurders tijdelijk uit hun functie ontheffen.
- Openbare bekendmaking – de toezichthouder kan overtredingen openbaar maken, wat reputatieschade met zich meebrengt.
Het is belangrijk te begrijpen dat sancties niet automatisch volgen op een cyberincident. Wat de toezichthouder beoordeelt, is of jouw organisatie aantoonbaar de vereiste zorgplicht heeft nageleefd en of de beveiligingsmaatregelen passend waren gezien de risico’s.
Hoe bereidt een organisatie zich voor op toezicht?
Voorbereiding op toezicht onder de Cyberbeveiligingswet begint met het in kaart brengen van je verplichtingen en het aantoonbaar maken van je beveiligingsmaatregelen. Toezichthouders verwachten geen perfecte beveiliging, maar wel een systematische en gedocumenteerde aanpak van risicobeheer.
De volgende stappen helpen jouw organisatie toezichtgereed te worden:
- Bepaal of je onder de wet valt – gebruik de officiële zelfbeoordelingstool en registreer je organisatie indien van toepassing bij de bevoegde toezichthouder.
- Voer een risicoanalyse uit – identificeer de belangrijkste dreigingen voor jouw netwerk- en informatiesystemen en documenteer de uitkomsten.
- Implementeer technische en organisatorische maatregelen – denk aan toegangsbeheer, versleuteling, patchbeheer, back-upbeleid en bewustwordingstraining voor medewerkers.
- Stel een incidentresponsplan op – zorg dat je weet hoe je handelt bij een cyberincident en wie welke verantwoordelijkheid draagt.
- Documenteer alles – toezichthouders beoordelen niet alleen wat je doet, maar ook of je het kunt aantonen. Beleidsdocumenten, logbestanden en auditrapportages zijn essentieel.
- Test je maatregelen regelmatig – penetratietests, simulaties en interne audits laten zien dat je beveiliging niet statisch is, maar continu wordt verbeterd.
Bestuurders spelen hierin een actieve rol. De Cyberbeveiligingswet legt expliciet verantwoordelijkheid bij het management: directeuren en bestuurders zijn persoonlijk aansprakelijk voor het naleven van de zorgplicht en moeten aantoonbaar betrokken zijn bij het cybersecuritybeleid van de organisatie.
Wat zijn de meldplichten onder de Cyberbeveiligingswet?
De Cyberbeveiligingswet verplicht organisaties om significante cyberincidenten te melden bij de bevoegde toezichthouder. Een incident is meldingsplichtig wanneer het een ernstige verstoring veroorzaakt of kan veroorzaken van de dienstverlening, of wanneer het een aanzienlijk aantal personen treft. De melding verloopt in fasen met strikte termijnen.
De meldingsprocedure ziet er als volgt uit:
- Vroegtijdige melding (binnen 24 uur) – een eerste kennisgeving dat er een significant incident heeft plaatsgevonden, zonder dat alle details al bekend hoeven te zijn.
- Incidentmelding (binnen 72 uur) – een gedetailleerdere melding met een initiële beoordeling van het incident, de ernst ervan en de getroffen maatregelen.
- Eindrapport (binnen één maand) – een volledig rapport met een beschrijving van het incident, de oorzaak, de gevolgen en de genomen herstelmaatregelen.
Meldingen gaan naar de bevoegde sectorale toezichthouder en worden, afhankelijk van de aard van het incident, ook gedeeld met het NCSC of het Computer Security Incident Response Team (CSIRT). Bij incidenten die grensoverschrijdende gevolgen hebben, vindt ook informatie-uitwisseling plaats met toezichthouders in andere EU-lidstaten.
Het niet of te laat melden van een significant incident is op zichzelf al een overtreding van de wet, los van het incident zelf. Het is daarom verstandig om de meldprocedure van tevoren in te richten en te oefenen, zodat je in een stressvolle situatie weet wat je moet doen en wanneer.
Hoe Kinwell helpt bij naleving van de Cyberbeveiligingswet
De verplichtingen onder de Cyberbeveiligingswet kunnen overweldigend aanvoelen, zeker voor organisaties zonder grote interne IT-afdeling. Wij ondersteunen MKB-organisaties en zorginstellingen bij het concreet invullen van hun zorgplicht en het toezichtgereed maken van hun beveiligingsomgeving.
Wat wij voor jouw organisatie kunnen betekenen:
- Risicoanalyse en gap-assessment – we brengen in kaart waar jouw organisatie staat ten opzichte van de wettelijke vereisten.
- Implementatie van technische beveiligingsmaatregelen – van endpoint protection en netwerkmonitoring tot toegangsbeheer en versleuteling.
- Documentatie en beleidsontwikkeling – we helpen bij het opstellen van het beveiligingsbeleid en de bijbehorende procedures die toezichthouders verwachten.
- Incidentrespons en meldondersteuning – bij een incident staan we klaar om snel te handelen en je te begeleiden bij de wettelijke meldplicht.
- Doorlopend beheer en monitoring – via onze cybersecuritydiensten zorgen we dat jouw beveiliging actueel en aantoonbaar blijft.
Wil je weten of jouw organisatie voldoet aan de Cyberbeveiligingswet en wat er nog moet gebeuren? Neem contact met ons op via het formulier hieronder voor een vrijblijvend gesprek.
Vrijblijvend advies
Veelgestelde vragen
Wat gebeurt er als mijn organisatie zich niet registreert bij de bevoegde toezichthouder?
Als jouw organisatie onder de Cyberbeveiligingswet valt maar zich niet registreert, loop je het risico op handhavingsmaatregelen, ook zonder dat er een incident heeft plaatsgevonden. Registratie is een zelfstandige verplichting onder de wet. Het is daarom verstandig om de officiële zelfbeoordelingstool te gebruiken en bij twijfel juridisch of technisch advies in te winnen, zodat je niet achteraf geconfronteerd wordt met een overtreding die voorkomen had kunnen worden.
Hoe weet ik of mijn organisatie een 'essentiële' of 'belangrijke' entiteit is, en maakt dat veel verschil in de praktijk?
De indeling hangt af van factoren zoals de sector, de omvang van je organisatie en de kritikaliteit van je diensten. In de praktijk maakt het verschil aanzienlijk: essentiële entiteiten kunnen te maken krijgen met proactieve inspecties zonder dat daar een incident aan vooraf hoeft te gaan, terwijl belangrijke entiteiten doorgaans pas onder actief toezicht komen na een melding of incident. Gebruik de zelfbeoordelingstool van de overheid als startpunt en raadpleeg je sectorale toezichthouder als de indeling niet eenduidig is.
Wat moet ik doen als ik tijdens een cyberincident niet zeker weet of het meldingsplichtig is?
Bij twijfel is het altijd verstandiger om wél te melden dan om af te wachten. De wet hanteert het criterium van een ‘significante verstoring’, maar in de hitte van een incident is dat niet altijd direct duidelijk. Meld binnen 24 uur een vroegtijdige kennisgeving bij je sectorale toezichthouder, ook als je nog niet alle feiten kent — de wet staat uitdrukkelijk toe dat de eerste melding onvolledig is. Wachten tot je zeker bent, vergroot het risico op een overtreding van de meldtermijn.
Kan een bestuurder persoonlijk aansprakelijk worden gesteld als de organisatie de Cyberbeveiligingswet niet naleeft?
Ja, de Cyberbeveiligingswet legt expliciet verantwoordelijkheid bij het management. Bestuurders en directeuren kunnen persoonlijk aansprakelijk worden gesteld als zij aantoonbaar nalatig zijn geweest in het naleven van de zorgplicht. In ernstige gevallen kan de toezichthouder zelfs een tijdelijke schorsing van leidinggevenden opleggen. Dit maakt cybersecurity niet langer alleen een IT-vraagstuk, maar een bestuursverantwoordelijkheid die op directieniveau actief opgepakt moet worden.
Welke documenten moet ik klaar hebben liggen als de toezichthouder een inspectie aankondigt?
Toezichthouders verwachten in ieder geval een actuele risicoanalyse, een gedocumenteerd informatiebeveiligingsbeleid, een incidentresponsplan, logbestanden van systemen en netwerken, en rapportages van uitgevoerde audits of penetratietests. Daarnaast zijn bewijs van bewustwordingstrainingen voor medewerkers en een overzicht van de genomen technische maatregelen belangrijk. Hoe beter je documentatie op orde is, hoe sterker je positie tijdens een inspectie — ook als er eerder een incident heeft plaatsgevonden.
Geldt de Cyberbeveiligingswet ook voor toeleveranciers en IT-dienstverleners van organisaties in kritieke sectoren?
Indirect wel. Organisaties die onder de wet vallen, zijn verplicht ook de risico’s in hun toeleveringsketen te beheersen. Dit betekent dat zij contractuele en technische eisen moeten stellen aan hun leveranciers, waaronder IT-dienstverleners, softwareleveranciers en cloudproviders. Sommige managed serviceproviders en aanbieders van digitale infrastructuur vallen bovendien rechtstreeks onder de wet en staan onder toezicht van de RDI. Als je als leverancier werkt voor organisaties in kritieke sectoren, is het verstandig je eigen positie te laten beoordelen.
Hoe vaak moet ik mijn beveiligingsmaatregelen herzien om aan de zorgplicht te blijven voldoen?
De wet schrijft geen vaste herzieningsfrequentie voor, maar verwacht een continue en risicogebaseerde aanpak. In de praktijk betekent dit dat je risicoanalyse minimaal jaarlijks geactualiseerd moet worden, en vaker na significante wijzigingen in je organisatie, infrastructuur of het dreigingslandschap. Penetratietests en interne audits worden doorgaans minimaal jaarlijks aanbevolen. Toezichthouders beoordelen of jouw aanpak dynamisch is en meegaat met veranderende risico’s, niet of je een statisch beleidsdocument hebt opgesteld.
