Belangrijke entiteit: definitie en wie eronder valt (Cbw art. 12)
Een belangrijke entiteit is een organisatie die de Cyberbeveiligingswet in artikel 12 van rechtswege onder de wet brengt zonder haar als essentiële entiteit aan te merken (Cyberbeveiligingswet, Staatsblad 2026, 187, art. 12 lid 1, 2026).
Het woord belangrijk is de wettelijke term en geen rangorde. De zorgplicht en de meldplicht zijn voor een belangrijke entiteit precies dezelfde als voor een essentiële entiteit. Het verschil zit in het toezicht en in het boetemaximum.
Voor het Nederlandse mkb is dit de categorie die het vaakst voorkomt: een middelgrote organisatie in een sector uit bijlage 1, of een middelgrote of grote organisatie in een sector uit bijlage 2.
De aanwijzing volgt uit activiteit en omvang, niet uit een besluit. Wie in de opsomming van artikel 12 past, valt sinds 15 augustus 2026 onder de wet en moet zich registreren, beveiligen en melden.
De wettelijke basis is artikel 12 van de Cyberbeveiligingswet, de Nederlandse omzetting van de NIS2-richtlijn. De richtlijn gebruikt dezelfde term en dezelfde tweedeling (Richtlijn (EU) 2022/2555, art. 3 lid 2, 2022).
Om de indeling vast te stellen heb je twee gegevens nodig: de soort entiteit uit bijlage 1 of bijlage 2 die bij je activiteiten past, en de omvangcijfers over fte, omzet en balanstotaal van je hele groep.
Wie is van rechtswege belangrijke entiteit
Van rechtswege belangrijke entiteit zijn de vier groepen die artikel 12 lid 1 opsomt, voor zover ze geen essentiële entiteit zijn (Cyberbeveiligingswet, art. 12 lid 1, 2026):
- Organisaties uit bijlage 1 die een middelgrote onderneming zijn.
- Organisaties uit bijlage 2 die een middelgrote onderneming zijn of de drempels voor een middelgrote onderneming overschrijden, dus middelgroot én groot.
- Aanbieders van openbare elektronische-communicatienetwerken of -diensten die een kleine onderneming of een micro-onderneming zijn.
- Verleners van vertrouwensdiensten die niet gekwalificeerd zijn, ongeacht omvang.
Bijlage 2 kent dus geen essentiële categorie van rechtswege: een groot chemiebedrijf of een grote fabrikant van machines is belangrijke entiteit, geen essentiële. En de laatste twee groepen laten zien dat klein niet altijd buiten de wet betekent.
Middelgroot volgens de Europese mkb-definitie is: minder dan 250 fte en een jaaromzet tot 50 miljoen euro of een balanstotaal tot 43 miljoen euro, maar niet klein; klein is minder dan 50 fte en een omzet of balanstotaal tot 10 miljoen euro (Aanbeveling 2003/361/EG, bijlage, art. 2, 2003). Een organisatie met 50 fte of meer is dus minstens middelgroot. De cijfers van partner- en verbonden ondernemingen tellen mee, behalve bij telecomaanbieders en vertrouwensdiensten (Cyberbeveiligingswet, art. 8 lid 2, 2026). Welke soorten entiteiten bijlage 1 en 2 noemen, staat op NIS2 sectoren.
Aanwijzing als belangrijke entiteit
Aanwijzing als belangrijke entiteit is de route voor een organisatie die niet van rechtswege onder artikel 12 valt. De vakminister kan een organisatie als belangrijke entiteit aanwijzen (Cyberbeveiligingswet, art. 13, 2026). Dat besluit is een aanvulling op de wettelijke categorieën, geen vervanging ervan.
Verschil met essentiële entiteit
Het verschil met een essentiële entiteit zit in het toezicht en in de boete, niet in de plichten. Een belangrijke entiteit staat onder reactief toezicht: de toezichthouder komt in actie na aanwijzingen van niet-naleving, waar hij bij een essentiële entiteit ook zonder aanleiding mag controleren. Het boetemaximum voor de kernverplichtingen (zorgplicht, weren van leveranciers en meldplicht) is zeven miljoen euro of 1,4 procent van de wereldwijde jaaromzet; voor andere overtredingen is dat één miljoen euro (Cyberbeveiligingswet, art. 87 lid 3, 2026). Voor een essentiële entiteit is het maximum tien miljoen euro of twee procent (Cyberbeveiligingswet, art. 80 lid 3, 2026).
De plichten zelf staan uitgewerkt bij de zorgplicht, de meldplicht en de registratieplicht van de Cyberbeveiligingswet. Of je belangrijke of essentiële entiteit bent, bepaal je met de tabel op NIS2 handhaving.
Veelgestelde vragen
Heeft een belangrijke entiteit minder verplichtingen dan een essentiële?
Nee. Zorgplicht, meldplicht en registratieplicht zijn gelijk. Het verschil zit in reactief in plaats van proactief toezicht en in een lager boetemaximum (Cyberbeveiligingswet, art. 87 lid 3, 2026).
Is een groot bedrijf in een sector uit bijlage 2 belangrijke entiteit?
Ja. Bijlage 2 kent van rechtswege alleen belangrijke entiteiten; ook wie de drempels voor een middelgrote onderneming overschrijdt, valt in die categorie (Cyberbeveiligingswet, art. 12 lid 1, 2026).
Moet een belangrijke entiteit zich registreren?
Ja. De registratieplicht geldt voor essentiële en belangrijke entiteiten gelijk; wat je aanlevert en waar staat op NIS2 registratieplicht.
Weten of je belangrijke entiteit bent en wat dat technisch betekent? De gap-analyse is week 1 van de Compliance Sprint.