Essentiële entiteit: definitie en wie eronder valt (Cbw art. 8)
Een essentiële entiteit is een organisatie die de Cyberbeveiligingswet in artikel 8 van rechtswege onder het zwaarste toezichtregime plaatst (Cyberbeveiligingswet, Staatsblad 2026, 187, art. 8 lid 1, 2026).
De aanwijzing volgt uit wat de organisatie doet en hoe groot ze is, niet uit een brief van een toezichthouder. Wie in de opsomming van artikel 8 past, is essentiële entiteit vanaf 15 augustus 2026, zonder aanwijzingsbesluit.
De term zegt niets over de zwaarte van de plichten. Zorgplicht en meldplicht zijn voor een essentiële entiteit en een belangrijke entiteit gelijk. Het verschil zit in het toezicht en in het boetemaximum.
In de praktijk gaat het om drie groepen: grote ondernemingen in een sector uit bijlage 1, overheden van ministerie tot waterschap en digitale kernaanbieders zoals DNS-dienstverleners en gekwalificeerde vertrouwensdiensten, die ongeacht hun omvang meetellen.
De wettelijke basis is artikel 8 van de Cyberbeveiligingswet, de Nederlandse omzetting van de NIS2-richtlijn. De richtlijn gebruikt dezelfde term en hetzelfde onderscheid (Richtlijn (EU) 2022/2555, art. 3 lid 1, 2022).
Om de indeling vast te stellen heb je twee gegevens nodig: de soort entiteit uit bijlage 1 die bij je activiteiten past, en de omvangcijfers over fte, omzet en balanstotaal van je hele groep.
Wie is van rechtswege essentiële entiteit
Van rechtswege essentiële entiteit zijn de groepen die artikel 8 lid 1 opsomt (Cyberbeveiligingswet, art. 8 lid 1, 2026):
- Gekwalificeerde verleners van vertrouwensdiensten en registers voor topleveldomeinnamen, ongeacht omvang.
- DNS-dienstverleners, ongeacht omvang.
- Aanbieders van openbare elektronische-communicatienetwerken of -diensten die een middelgrote onderneming zijn.
- Andere organisaties uit bijlage 1 die de drempels voor een middelgrote onderneming overschrijden, dus grote ondernemingen.
- Organisaties die op grond van artikel 9 als essentiële entiteit zijn aangewezen.
- Ministeries en zelfstandige bestuursorganen.
- Provincies, gemeenten en waterschappen, plus de openbare lichamen, gemeenschappelijke organen en bedrijfsvoeringsorganisaties die op grond van de Wet gemeenschappelijke regelingen zijn ingesteld.
- Kritieke entiteiten in de zin van de Wet weerbaarheid kritieke entiteiten.
Voor overheden en voor de digitale kernaanbieders in de eerste twee groepen speelt omvang geen rol. Een gemeente van dertig medewerkers is even goed essentiële entiteit als een netbeheerder.
Of een organisatie groot of middelgroot is, bepaalt de wet aan de hand van de Europese mkb-definitie: groot is 250 fte of meer, of een jaaromzet boven 50 miljoen euro én een balanstotaal boven 43 miljoen euro (Aanbeveling 2003/361/EG, bijlage, art. 2, 2003). Daarbij tellen de cijfers van partner- en verbonden ondernemingen mee, behalve bij telecomaanbieders en verleners van vertrouwensdiensten; voor hen schakelt de wet die groepsregel uit (Cyberbeveiligingswet, art. 8 lid 2, 2026). Welke sectoren en soorten entiteiten in bijlage 1 staan, lees je op NIS2 sectoren.
Aanwijzing als essentiële entiteit
Aanwijzing als essentiële entiteit is de route voor organisaties die niet van rechtswege in artikel 8 passen. De vakminister kan een organisatie uit bijlage 1 of 2 aanwijzen op grond van criteria, zoals het zijn van enige aanbieder van een dienst die onmisbaar is voor kritieke maatschappelijke of economische activiteiten, of een verstoring met aanzienlijke gevolgen voor de openbare veiligheid, de openbare orde of de volksgezondheid (Cyberbeveiligingswet, art. 9, 2026). Instellingen voor hoger onderwijs en wetenschappelijk onderzoek kunnen op dezelfde manier worden aangewezen (Cyberbeveiligingswet, art. 11, 2026).
Die twee artikelen zijn Nederlandse invulling van een keuze die de richtlijn aan de lidstaat laat: NIS2 laat lokale overheden en onderwijsinstellingen aan het nationale recht over (Richtlijn (EU) 2022/2555, art. 2 lid 5, 2022).
Verschil met belangrijke entiteit
Het verschil met een belangrijke entiteit zit niet in wat je moet doen, maar in hoe erop wordt toegezien. Een essentiële entiteit staat onder proactief toezicht: de toezichthouder mag controleren zonder aanleiding. Een belangrijke entiteit staat onder reactief toezicht, na aanwijzingen van niet-naleving. Het boetemaximum voor de kernverplichtingen (zorgplicht, weren van leveranciers en meldplicht) is voor een essentiële entiteit tien miljoen euro of twee procent van de wereldwijde jaaromzet, tegen zeven miljoen euro of 1,4 procent voor een belangrijke entiteit (Cyberbeveiligingswet, art. 80 lid 3 en 87 lid 3, 2026).
Of je in de ene of de andere categorie valt, bepaal je met de tabel op NIS2 handhaving. De plichten zelf staan uitgewerkt bij de zorgplicht en de meldplicht van de Cyberbeveiligingswet.
Veelgestelde vragen
Valt een gemeente onder de Cyberbeveiligingswet, ongeacht omvang?
Ja. Provincies, gemeenten en waterschappen zijn van rechtswege essentiële entiteit; de omvangdrempels gelden voor hen niet (Cyberbeveiligingswet, art. 8 lid 1, 2026).
Is een kritieke entiteit onder de Wet weerbaarheid kritieke entiteiten automatisch essentiële entiteit?
Ja. Dat staat in artikel 8 lid 1 van de wet, en het volgt ook al uit de richtlijn zelf: entiteiten die als kritieke entiteit zijn aangemerkt, zijn essentiële entiteit (Richtlijn (EU) 2022/2555, art. 3 lid 1 onder f, 2022).
Telt de omzet van de groep mee bij de omvangdrempel?
Ja, voor organisaties uit bijlage 1 en 2. Alleen voor aanbieders van openbare elektronische-communicatienetwerken en -diensten en voor verleners van vertrouwensdiensten telt uitsluitend de eigen omvang (Cyberbeveiligingswet, art. 8 lid 2, 2026).
Weten of je essentiële of belangrijke entiteit bent en wat dat technisch betekent? De gap-analyse is week 1 van de Compliance Sprint.