Geldt de Cyberbeveiligingswet ook voor jouw bedrijf?

Wat is de Cyberbeveiligingswet?

De Cyberbeveiligingswet (Cbw) is de Nederlandse uitwerking van de Europese NIS2-richtlijn en vervangt de oude Wet beveiliging netwerk- en informatiesystemen (Wbni). De wet is op 15 augustus 2026 in werking getreden. Het gaat om ruim 8.000 organisaties in Nederland.

Val je eronder? Sector en omvang bepalen het

Sector: ook de maakindustrie

De wet geldt voor organisaties in aangewezen sectoren. Een daarvan is ‘vervaardiging’. Volgens de concept-regeling van het ministerie van Economische Zaken gaat het daarbij onder meer om:

• Vervaardiging van informaticaproducten en van elektronische en optische producten;
• Vervaardiging van elektrische apparatuur;
• Vervaardiging van machines, apparaten en werktuigen (niet elders geclassificeerd);
• Vervaardiging van motorvoertuigen, aanhangers en opleggers.

Omvang: vanaf middelgroot

Val je in een aangewezen sector en heb je 50 of meer medewerkers, of een jaaromzet én balanstotaal van elk meer dan 10 miljoen euro, dan ben je een ‘belangrijke entiteit’. Grotere organisaties kunnen als ‘essentiële entiteit’ gelden. Het verschil zit vooral in het toezicht: bij essentiële entiteiten controleert de toezichthouder actief, bij belangrijke entiteiten meestal pas na een signaal of incident.

Let op: de minister kan een organisatie ook alsnog aanwijzen, bijvoorbeeld als uitval grote maatschappelijke gevolgen heeft. Twijfel je? Met de gratis NIS2-zelfevaluatie zoek je het in een paar minuten uit.

Wat moet je als je eronder valt?

De wet kent drie kernverplichtingen:

• Registratieplicht. Je registreert je organisatie bij het NCSC via mijn.ncsc.nl.
• Zorgplicht. Je neemt passende maatregelen om risico's te beheersen. Die zorgplicht stopt niet bij je eigen voordeur: ook de veiligheid van je toeleveringsketen valt eronder.
• Meldplicht. Significante incidenten meld je gefaseerd: een eerste waarschuwing binnen 24 uur, gevolgd door een melding binnen 72 uur.

Daarnaast is cybersecurity onder de Cbw uitdrukkelijk een bestuurstaak. Daarover lees je meer in het artikel Cybersecurity is een bestuurstaak.

Val je er niet onder? Je klant misschien wel

Veel mkb-maakbedrijven zijn kleiner dan de drempel, of zitten in een sector die niet is aangewezen. Toch kan de wet hen raken. Omdat organisaties die onder de Cbw vallen verantwoordelijk zijn voor hun toeleveringsketen, ligt het voor de hand dat zij hun leveranciers gaan vragen hoe die met cybersecurity omgaan, bijvoorbeeld in inkoopvoorwaarden of leveranciersbeoordelingen.

Voor toeleveranciers is dat ook een kans. Wie kan laten zien dat de basis op orde is, wordt een betrouwbaardere ketenpartner.

Eerste stappen

1. Doe de NIS2-zelfevaluatie om te bepalen of je eronder valt.
2. Valt je bedrijf eronder, of wil je weten waar je staat? De Rijksinspectie Digitale Infrastructuur (RDI) biedt een NIS2-Quickscan als nulmeting.
3. Vraag je belangrijkste klanten welke eisen zij aan leveranciers gaan stellen.
4. Leg vast wie in de directie verantwoordelijk is voor cybersecurity.

Hulp nodig?

Smart Industry heeft een overzichtspagina over NIS2. Wil je weten waar je staat ten opzichte van de zorgplicht, dan kan een expert via de Dienst Cyberweerbaarheid een nulmeting van je IT- en OT-omgeving doen; de kosten worden voor een groot deel gedekt door subsidie. FME-leden vinden op fme.nl veelgestelde vragen over de Cyberbeveiligingswet, onder meer over registratie, meldplicht en ketenverantwoordelijkheid.

Verdiepende informatie

Meer informatie vind je in de onderstaande artikelen:

• • Wat machinebouwers nu al moeten regelen vanwege de Cyber Resilience Act. De meldplicht die sinds september geldt en de eisen die in december 2027 volgen.
  • Pak je OT-security aan om de fabrieksvloer te beveiligen Waarom machines en besturingen een eigen aanpak vragen.
  • Cybersecurity is een bestuurstaak. Wat de wet van bestuurders vraagt en welke vragen je als directeur stelt.
  • Start met cybersecurity in vijf stappen: vijf eerste stappen. Gratis checks, basismaatregelen en de subsidie die tot en met 30 november openstaat.