NIS 2 Status in the Netherlands
Nederland heeft de NIS 2-richtlijn van de EU omgezet met de Cyberbeveiligingswet (Cbw). De wet kwam laat en geldt sinds 15 augustus 2026, zonder overgangsperiode.
Overview
De juridische basis is de NIS 2-richtlijn van de EU (2022/2555). Zij stelt de ondergrens voor cyberbeveiligingsverplichtingen in elke lidstaat. Nederland heeft die ondergrens in nationaal recht vastgelegd met de Cyberbeveiligingswet (Cbw), die de oudere Wbni (Wet beveiliging netwerk- en informatiesystemen) heeft vervangen, waarmee NIS 1 was omgezet.
De EU-omzettingstermijn van 17 oktober 2024 is door Nederland en door de meeste lidstaten, waaronder Duitsland, niet gehaald. Het Nederlandse wetsvoorstel doorliep in 2024 de openbare consultatie, werd in juni 2025 bij de Tweede Kamer ingediend en is aangenomen als Wet van 8 juli 2026 (Staatsblad 2026, 187). De Commissie heeft Nederland op 8 juli 2026 bij het Hof van Justitie van de EU gedaagd, een maand voordat de Cbw op 15 augustus 2026 in werking trad.
De Cbw en het bijbehorende uitvoeringsbesluit, het Cyberbeveiligingsbesluit (Staatsblad 2026, 189), zijn op 15 augustus 2026 zonder overgangsperiode in werking getreden. Dat komt overeen met de Duitse aanpak van de BSIG. Voor het bepalen van de reikwijdte gelden nu de aangenomen Cbw, samen met de EU-richtlijn.
EU Directive
Directive (EU) 2022/2555 on measures for a high common level of cybersecurity across the Union (NIS 2).
Sets risk management obligations (Art. 21), incident reporting (Art. 23), management body accountability (Art. 20), and registration of entities (Art. 3(4)). Member states must transpose into national law but cannot go below the floor.
EU Implementing Regulation
Commission Implementing Regulation (EU) 2024/2690 of 17 October 2024 (CIR).
Werkt in detail uit hoe de maatregelen van art. 21 eruitzien voor DNS-dienstverleners, TLD-naamregisters, cloud-, datacenter- en CDN-aanbieders, aanbieders van beheerde (beveiligings)diensten, online marktplaatsen, zoekmachines, sociale netwerken en verleners van vertrouwensdiensten. Rechtstreeks van toepassing in Nederland zonder nadere nationale wet.
Dutch Transposition
Cyberbeveiligingswet (Cbw), Wet van 8 juli 2026 (Staatsblad 2026, 187), in werking sinds 15 augustus 2026; zij heeft de Wbni vervangen.
De Cbw wijst toezicht- en CSIRT-taken toe, definieert essentiële en belangrijke entiteiten voor Nederland en voegt nationale bijzonderheden toe, zoals kosten, aanwijzingsprocedures en sectoroverdrachten. Het uitvoeringsbesluit, het Cyberbeveiligingsbesluit (Staatsblad 2026, 189), is er samen mee op 15 augustus 2026 in werking getreden.
Cyberbeveiligingswet (Cbw)
Zet NIS 2 om in Nederlands recht en geldt sinds 15 augustus 2026. Definieert essentiële en belangrijke entiteiten, regelt toezichtbevoegdheden, boetes en meldprocedures voor incidenten en verwijst naar de EU-uitvoeringsverordening (CIR).
RDI, sector regulators, NCSC-NL
Het toezicht is per sector verdeeld: de Rijksinspectie Digitale Infrastructuur (RDI) voor digitale infrastructuur, digitale aanbieders, beheer van ICT-diensten, energie en overheid; de ILT voor vervoer, water en chemie; DNB voor banken; de AFM voor infrastructuur van de financiële markten; de NVWA voor voedsel. Het NCSC is het CSIRT voor de meeste sectoren.
EU deadline missed, registration via the Dutch portal
De EU-termijn van 17 oktober 2024 verstreek zonder Nederlandse omzetting. Sinds 15 augustus 2026 moeten entiteiten die binnen de reikwijdte vallen zich registreren in het nationale entiteitenregister op MijnNCSC (mijn.ncsc.nl), met inloggen via eHerkenning, en wijzigingen onverwijld en uiterlijk binnen twee weken doorgeven. Significante incidenten gaan binnen 24 uur (vroegtijdige waarschuwing) en 72 uur (volledige melding) naar zowel het CSIRT als de toezichthouder, in lijn met art. 23 NIS 2.
Nationaal recht volgt de plaats van vestiging
Een entiteit valt onder het recht van het land waar zij is gevestigd. Alleen sommige digitale aanbieders (cloud, datacenters, aanbieders van beheerde diensten, online marktplaatsen en dergelijke) vallen onder het land van hun hoofdvestiging in de EU, en aanbieders van elektronische communicatie vallen onder elk land waar zij diensten verlenen (art. 26, lid 1 NIS 2).
The directive is the floor, never the ceiling
The Cbw cannot fall below NIS 2. It can be stricter on national specifics (designation procedures, fees, sector lists). For risk management measures and incident reporting, the EU text and CIR set the substance; the Dutch act adds the procedural wrapping.
Rijksinspectie Digitale Infrastructuur (RDI)
Toezichthouder voor digitale infrastructuur, digitale aanbieders, beheer van ICT-diensten, energie, ruimtevaart, post, maakindustrie en overheid. De bevoegde autoriteit in de zin van de wet is de verantwoordelijke minister. Opvolger van Agentschap Telecom; valt onder het ministerie van Economische Zaken.
NCSC-NL (Nationaal Cyber Security Centrum)
Nationaal CSIRT onder het ministerie van Justitie en Veiligheid. Ontvangt incidentmeldingen op grond van art. 23, geeft sectorwaarschuwingen uit en werkt samen met ENISA en andere nationale CSIRT's. Sinds 1 januari 2026 maakt het Digital Trust Center deel uit van het NCSC, dat daarmee het centrale aanspreekpunt is voor digitale weerbaarheid en het CSIRT voor de meeste Cbw-sectoren. Het NCSC beheert het entiteitenregister op MijnNCSC.
ENISA
Geeft richtsnoeren en technische uitvoeringsrapporten op EU-niveau uit. Geen toezichthouder op Nederlandse entiteiten. De Technical Implementation Guidance over de CIR (met koppelingen naar ISO 27001) is geschreven voor de digitale aanbieders die onder de CIR vallen; andere entiteiten kunnen haar als referentie gebruiken.
Dutch NIS 2 mirrors the German BSIG one to one.
Both transpose the same directive, but the texts differ. The Netherlands keeps a stronger sector-regulator model and uses RDI as a horizontal supervisor; Germany channels almost everything through BSI. Penalty levels, registration mechanics, and management training duties are written differently. Read Cbw on its own terms, not as a translation of BSIG.
There is no Dutch registration obligation yet, so we can wait.
Art. 3, lid 4 NIS 2 verplicht elke lidstaat een register bij te houden en entiteiten hun gegevens aan te leveren. In Nederland is registratie sinds 15 augustus 2026 verplicht, zonder respijtperiode: entiteiten binnen de reikwijdte registreren zich in het nationale entiteitenregister op MijnNCSC, dat de minister van Justitie en Veiligheid bijhoudt (art. 43 Cbw). Wijzigingen moeten onverwijld en in ieder geval binnen twee weken na de datum van de wijziging worden doorgegeven (art. 44, lid 2 Cbw).
My sector regulator handles everything, RDI is not relevant.
Het toezicht onder de Cbw is per sector verdeeld: DNB voor banken, de AFM voor infrastructuur van de financiële markten, de ILT voor vervoer, water en chemie, de NVWA voor voedsel en de RDI voor digitale infrastructuur, energie, overheid en een aantal andere sectoren. Voor financiële entiteiten onder DORA geldt DORA als lex specialis voor cyberbeveiliging, maar de NIS 2-registratie op grond van art. 3, lid 4 blijft van toepassing.
De meeste Nederlandse entiteiten binnen de reikwijdte wisten al dat zij erbinnen vallen. De Cbw geldt sinds 15 augustus 2026 zonder overgangsperiode, dus nu tellen twee dingen: registratie in het entiteitenregister op MijnNCSC en elke mededeling van de toezichthouder voor uw sector die de reikwijdte duidelijk maakt.
Operationeel gelden onder de Cbw, die deze EU-artikelen omzet, vier doorlopende verplichtingen: beveiliging besturen met verantwoordelijkheid van het leidinggevend orgaan (art. 20), risicobeheersmaatregelen uitvoeren (art. 21), significante incidenten melden binnen 24 en 72 uur (art. 23), en registreren en de registratie actueel houden (art. 3, lid 4).
- Directive (EU) 2022/2555 (NIS 2): EUR-Lex, OJ L 333, 27 December 2022
- Commission Implementing Regulation (EU) 2024/2690 of 17 October 2024
- Cyberbeveiligingswet (Cbw), Wet van 8 juli 2026, Staatsblad 2026, 187; Cyberbeveiligingsbesluit, Staatsblad 2026, 189
- Wbni: Wet beveiliging netwerk- en informatiesystemen (omzetting van NIS 1, op 15 augustus 2026 vervangen door de Cbw)
- Rijksinspectie Digitale Infrastructuur (RDI), rdi.nl, NIS 2 supervisory information
- NCSC-NL, ncsc.nl, incident notification and CSIRT guidance
- ENISA, NIS 2 Technical Implementation Guidance, versie 1.0, juni 2025 (mappingtabel versie 1.2, september 2025)
In de praktijk
Wat de nationale wet verandert, en wat niet
De nationale wet bepaalt onder meer waar u zich registreert en aan wie u incidenten meldt. De maatregelen zelf gaan in elke lidstaat uit van dezelfde minimumlijst (art. 21 NIS 2). De begeleide doorloop neemt u er stap voor stap doorheen:
De doorloop zelf is in het Duits en het Engels.
Risk Management
Write down what your company has
A list of the processes, software and devices you work with.
Incident Handling
Plan what happens in an incident
Who decides, whom you call, how you reach each other.
Effectiveness Assessment
Record the management review
Management checks whether the measures work and approves your documents.
Moet u zich met NIS2 bezighouden?
We begeleiden u stap voor stap. U vult in, wij leggen elk punt in eenvoudige woorden uit, en aan het eind tekent de directie.
