Geüpdatet: 3 september 2026
NIS2 en de Cyberbeveiligingswet zijn niet twee kaders waartussen je kiest. Dit is het verhaal van hoe de richtlijn Nederlandse wet werd: de Cyberbeveiligingswet ís NIS2, omgezet in Nederlands recht.
NIS2 is Richtlijn (EU) 2022/2555. Een richtlijn werkt niet rechtstreeks: hij verplicht lidstaten om het resultaat in eigen wetgeving vast te leggen. Voor jou als organisatie volgt er dus geen enkele verplichting rechtstreeks uit NIS2.
De Cyberbeveiligingswet (Cbw) is die Nederlandse omzetting, in werking getreden op 15 augustus 2026 (Rijksoverheid, 2026). Daar staan je verplichtingen, en daarop wordt gehandhaafd.
Dat heeft één praktisch gevolg: een verwijzing naar een NIS2-artikel klopt niet automatisch voor de Nederlandse wet. De nummering verschilt, en dat leidt tot verwijzingen naar het verkeerde wetsartikel.
De wet geldt voor essentiële en belangrijke entiteiten in achttien aangewezen sectoren. De richtlijn richt zich niet tot jou maar tot de lidstaat, en schept voor een organisatie dus geen enkele verplichting.
De Nederlandse wet volgt de richtlijn op de meeste punten, maar niet overal. Op drie plekken voegt de wetgever iets toe: het weren van leveranciers op grond van nationale veiligheid, een certificaatplicht voor bestuurders en de koppeling met de Wet weerbaarheid kritieke entiteiten.
Omgekeerd laat de wet een deel van de invulling over aan lagere regelgeving. De tien maatregelcategorieën zijn uitgewerkt in het Cyberbeveiligingsbesluit (Cyberbeveiligingsbesluit, 2026), en per sector geldt een eigen ministeriële regeling.
Op deze pagina
- Waarom je met de Cyberbeveiligingswet te maken hebt en niet met NIS2
- NIS2 en Cbw mappen
- De belangrijkste verschillen tussen NIS2 en de Cyberbeveiligingswet
- Zijn NIS2 en de Cyberbeveiligingswet allebei verplicht?
- Overeenkomsten tussen NIS2 en de Cyberbeveiligingswet
- Welke NIS2-eisen dekt de Cyberbeveiligingswet niet?
- Welke Cyberbeveiligingswet-eisen dekt NIS2 niet?
- Wat betekent dit voor je ICT-omgeving?
- Kun je NIS2 en de Cyberbeveiligingswet samen invoeren?
- Hoe begin je hiermee?
- Andere normvergelijkingen
- Zo helpt ClickOn met de Cyberbeveiligingswet
- Veelgestelde vragen
Waarom je met de Cyberbeveiligingswet te maken hebt en niet met NIS2
Je hebt met de Cyberbeveiligingswet te maken en niet met NIS2, omdat een Europese richtlijn geen rechtstreekse werking heeft. Dat verschil is geen formaliteit.
Een verordening, zoals DORA of de AVG, geldt rechtstreeks in alle lidstaten. Een richtlijn niet: die verplicht de lidstaat tot omzetting, en pas de nationale wet schept verplichtingen voor organisaties.
Voor NIS2 betekent dat: de richtlijn bepaalt wat Nederland moest regelen, de Cyberbeveiligingswet bepaalt wat jij moet doen. Val je onder de wet, dan is de wettekst je referentie, niet de richtlijn.
Waar je dat merkt
Op drie momenten wordt dat verschil concreet.
Bij het bepalen of je onder de wet valt, want de Nederlandse wet kent eigen bijlagen met sectoren en eigen aanwijzingscriteria. Bij het naslaan van een verplichting, want de artikelnummers verschillen. En bij handhaving, want de toezichthouder toetst aan de wet.
Wanneer de richtlijn toch relevant is
De richtlijn blijft van belang voor uitleg. Wijkt de wettekst af of is die onduidelijk, dan is de richtlijn de bron waarnaar wordt teruggegrepen, samen met de overwegingen daarin.
Ook voor grensoverschrijdend werk telt de richtlijn. Lever je in meerdere lidstaten, dan heb je met verschillende omzettingen te maken die allemaal op dezelfde richtlijn teruggaan.
NIS2 en Cbw mappen
NIS2 en Cbw mappen betekent bij dit paar: artikel voor artikel nagaan waar een bepaling uit de richtlijn in de Nederlandse wet is geland, want de nummering loopt niet gelijk.
Waar de Nederlandse nummering afwijkt van de richtlijn
De belangrijkste afwijking zit in artikel 21. In de NIS2-richtlijn staan de tien maatregelcategorieën in artikel 21 lid 2; in de Cyberbeveiligingswet staan ze in artikel 21 lid 3.
Dat is geen slordigheid van de wetgever maar een gevolg van de opbouw. De Nederlandse wet gebruikt lid 1 voor de kernverplichting en lid 2 voor de wegingsfactoren, waaronder de stand van de techniek, de uitvoeringskosten en de mate waarin je aan risico's blootstaat. Pas lid 3 bevat de opsomming a tot en met j.
| Onderwerp | NIS2-richtlijn | Cyberbeveiligingswet |
|---|---|---|
| Kernverplichting zorgplicht | Artikel 21 lid 1 | Artikel 21 lid 1 |
| Wegingsfactoren voor evenredigheid | Artikel 21 lid 1, slot | Artikel 21 lid 2 |
| De tien maatregelcategorieën | Artikel 21 lid 2 | Artikel 21 lid 3 |
| Weging bij ketenbeveiliging | Artikel 21 lid 3 | Artikel 21 lid 4 |
| Grondslag voor nadere regels | Artikel 21 lid 5 | Artikel 21 lid 5 |
| Governance en bestuur | Artikel 20 | Artikel 24 |
Wie in een document over de Nederlandse wet leest dat een eis in artikel 21 lid 2 staat, leest dus een verwijzing naar de wegingsfactoren en niet naar de maatregelen.
De praktische regel: verwijs je naar de richtlijn, gebruik dan lid 2. Verwijs je naar de Nederlandse wet, gebruik dan lid 3. En zet er expliciet bij welk van de twee je bedoelt.
Cbw op NIS2 mappen
Cbw op NIS2 mappen levert drie bepalingen op die in de richtlijn geen tegenhanger hebben: artikel 21a over het weren van leveranciers, de certificaatplicht in artikel 24 en de koppeling met de Wet weerbaarheid kritieke entiteiten in artikel 8. Die drie komen verderop op deze pagina terug.
De belangrijkste verschillen tussen NIS2 en de Cyberbeveiligingswet
Het belangrijkste verschil tussen NIS2 en de Cyberbeveiligingswet is hun juridische aard. De richtlijn richt zich tot de lidstaat, de wet tot jou.
| Kenmerk | NIS2-richtlijn | Cyberbeveiligingswet |
|---|---|---|
| Wat het is | Europese richtlijn (EU) 2022/2555 | Nederlandse wet |
| Richt zich tot | De lidstaten | Essentiële en belangrijke entiteiten |
| Rechtstreekse werking | Nee | Ja, sinds 15 augustus 2026 |
| De tien maatregelen | Artikel 21 lid 2 | Artikel 21 lid 3 |
| Governance | Artikel 20 | Artikel 24, met certificaatplicht |
| Weren van leveranciers | Niet geregeld | Artikel 21a, op grond van nationale veiligheid |
| Uitwerking van de maatregelen | Aan de lidstaat gelaten | Cyberbeveiligingsbesluit |
| Drempelwaarden voor melding | Open criteria | Per sector in een ministeriële regeling |
| Toezicht | Per lidstaat in te richten | Sectorale toezichthouder, voor veel sectoren de RDI |
| Handhaving | Kader voor sancties | Aanwijzing, boete, openbaarmaking, schorsing van een bestuurder |
Zijn NIS2 en de Cyberbeveiligingswet allebei verplicht?
Van NIS2 en de Cyberbeveiligingswet is er maar één verplicht voor jou, en dat is de wet. De richtlijn richt zich tot de lidstaat en schept voor een organisatie geen enkele verplichting.
De Cyberbeveiligingswet geldt van rechtswege voor essentiële en belangrijke entiteiten in de achttien aangewezen sectoren die de drempel halen. Er komt geen brief vooraf: je toetst zelf of je eronder valt en registreert je bij het NCSC.
Dat betekent niet dat de richtlijn er niet toe doet. Wijkt de wettekst af of is die onduidelijk, dan is de richtlijn de bron waarnaar wordt teruggegrepen. En lever je in meerdere lidstaten, dan heb je te maken met verschillende omzettingen die allemaal op dezelfde richtlijn teruggaan.
Voor de vraag waar je op wordt afgerekend, is het antwoord dus enkelvoudig: de Cyberbeveiligingswet, sinds 15 augustus 2026, zonder overgangstermijn voor de zorgplicht, de meldplicht en de registratieplicht.
Overeenkomsten tussen NIS2 en de Cyberbeveiligingswet
De overeenkomsten tussen NIS2 en de Cyberbeveiligingswet zijn per definitie groot, want de wet is bedoeld om de richtlijn getrouw om te zetten.
Wat één op één overeenkomt:
- De indeling in essentiële en belangrijke entiteiten, met verschillend toezichtregime.
- De drie pijlers: zorgplicht, meldplicht en registratieplicht.
- De tien maatregelonderwerpen, inhoudelijk identiek al staan ze in een ander lid.
- De meldtermijnen van 24 uur, 72 uur en één maand (Cyberbeveiligingswet, art. 26, 27 lid 1 en 29 lid 1, 2026).
- De boetemaxima: tot tien miljoen euro of twee procent wereldwijde omzet voor essentiële entiteiten en tot zeven miljoen euro of 1,4 procent voor belangrijke entiteiten (Cyberbeveiligingswet, art. 80 en 87, 2026).
- De benadering die alle gevaren omvat, dus ook stroomuitval, brand en fysieke toegang.
Het verschil zit dus niet in wat er moet, maar in waar het staat en wie het afdwingt.
Hoeveel van de zorgplicht dekt de Cyberbeveiligingswet af?
De Cyberbeveiligingswet dekt alle tien de maatregelcategorieën van de NIS2-zorgplicht af, want zij ís de zorgplicht in Nederlands recht. De tien onderwerpen uit artikel 21 lid 2 van de richtlijn staan inhoudelijk ongewijzigd in artikel 21 lid 3 van de wet. De telling per artikel staat in de tabel hierboven.
Waarom hier geen dekkingspercentage staat
Een dekkingspercentage staat hier niet, omdat het bij dit paar niets zou meten. Zo'n getal veronderstelt twee onafhankelijke kaders met een noemer, een definitie van gedekt en een telling. De Cyberbeveiligingswet is geen alternatief voor NIS2 maar de uitvoering ervan. Vragen hoeveel procent de wet van de richtlijn dekt, is vragen hoeveel procent een vertaling het origineel dekt. Wat wél te tellen is, staat hierboven: tien van de tien categorieën, drie Nederlandse toevoegingen zonder tegenhanger in de richtlijn, en één verschuiving in de nummering van artikel 21.
Welke NIS2-eisen dekt de Cyberbeveiligingswet niet?
De Cyberbeveiligingswet dekt geen enkele NIS2-eis niet, en dat is bij dit paar het eerlijke antwoord. De wet is de omzetting van de richtlijn, dus inhoudelijk ontbreekt er niets.
Wat er gebeurt, is dat een aantal onderwerpen uit de richtlijn in Nederland pas concreet wordt via lagere regelgeving.
De tien maatregelcategorieën
De richtlijn benoemt tien onderwerpen. De wet neemt die over in artikel 21 lid 3, maar de uitwerking staat in het Cyberbeveiligingsbesluit, dat per onderwerp een eigen artikel kent (Cyberbeveiligingsbesluit, 2026).
Wie wil weten wat er precies van hem verwacht wordt op het gebied van bijvoorbeeld cryptografie of toegangsbeheer, moet dus in het besluit kijken en niet in de wet.
De drempelwaarden voor melding
De richtlijn geeft open criteria voor wanneer een incident significant is. De wet neemt die over, maar de concrete drempelwaarden staan per sector in een ministeriële regeling.
Voor de sector overheid is dat de Cyberbeveiligingsregeling sector overheid, voor de zorg de Cyberbeveiligingsregeling voor de Zorg. Zonder die regeling weet je niet wanneer je moet melden.
De sectorale invulling van de zorgplicht
De wet maakt in artikel 21 lid 5 mogelijk dat per sector aanvullende eisen worden gesteld. Daar maken de sectorregelingen gebruik van.
Voor de overheid betekent dat bijvoorbeeld dat ISO 27001, ISO 27002 en de BIO2 verplicht zijn voorgeschreven. Dat volgt niet uit de richtlijn en ook niet uit de wet zelf, maar uit de regeling daaronder.
Welke Cyberbeveiligingswet-eisen dekt NIS2 niet?
NIS2 dekt drie eisen uit de Cyberbeveiligingswet niet, omdat ze niet uit de richtlijn volgen maar door de Nederlandse wetgever zijn toegevoegd: een bevoegdheid om leveranciers te weren, een certificaatplicht voor bestuurders en een koppeling met de Wet weerbaarheid kritieke entiteiten.
Het weren van leveranciers op grond van nationale veiligheid
Artikel 21a van de Cyberbeveiligingswet geeft de vakminister de bevoegdheid om een essentiële of belangrijke entiteit te verplichten in aangewezen onderdelen van haar netwerk- en informatiesystemen uitsluitend producten of diensten van anderen te gebruiken dan van een met name genoemde partij (Cyberbeveiligingswet, art. 21a lid 1, 2026).
Dat kan bij een partij waarvan bekend is of te vermoeden valt dat zij de intentie heeft de beveiliging aan te tasten of incidenten te veroorzaken, of die nauwe banden heeft met of onder invloed staat van zo'n partij.
De wet bouwt daar wel twee waarborgen in. De minister moet eerst beoordelen of beheersmaatregelen mogelijk en realiseerbaar zijn die de nationale veiligheidsrisico's voldoende beschermen (art. 21a lid 2).
Gaat het om producten die al in gebruik zijn, dan stelt de minister een termijn vast waarbinnen de vervanging moet gebeuren (art. 21a lid 3).
Dit is voor een ICT-dienstverlener het meest ingrijpende artikel van de wet, want het kan een bestaande leverancier uit je architectuur halen.
De certificaatplicht voor bestuurders
De richtlijn verplicht bestuursorganen in artikel 20 tot goedkeuring van de maatregelen, toezicht op de uitvoering en het volgen van opleiding. De Nederlandse wet werkt dat in artikel 24 concreter uit.
Elk bestuurslid moet de risico's voor de netwerk- en informatiesystemen kunnen onderkennen, de maatregelen kunnen beoordelen en de gevolgen daarvan voor de dienstverlening kunnen inschatten, en bezit als bewijs een certificaat van deelname aan een training over die onderwerpen (Cyberbeveiligingswet, art. 24 lid 2 en 5, 2026).
Daarvoor geldt een overgangstermijn tot 15 augustus 2028; wie later wordt benoemd heeft twee jaar vanaf de benoeming (art. 24 lid 3). Die certificaatplicht en die termijn staan niet in de richtlijn.
De koppeling met de Wet weerbaarheid kritieke entiteiten
De Cyberbeveiligingswet bepaalt dat kritieke entiteiten uit de Wet weerbaarheid kritieke entiteiten van rechtswege essentiële entiteit zijn (Cyberbeveiligingswet, art. 8 lid 1 sub i, 2026).
Beide wetten zijn op dezelfde dag in werking getreden en de toezichthouders informeren elkaar over hun nalevingsoordelen. Die verwevenheid is een Nederlandse keuze in de uitvoering.
Wat betekent dit voor je ICT-omgeving?
Voor je ICT-omgeving verandert er niets door dit onderscheid. Het werk volgt uit de zorgplicht, en die is inhoudelijk gelijk in richtlijn en wet.
De maatregelen landen in de bekende componenten van je Microsoft 365-omgeving: identiteiten en toegang in Entra ID, werkplekken en endpoints in Intune en Defender, e-mail en samenwerking in Exchange Online en Teams, data en encryptie in Purview, plus back-up en herstel en de koppelingen met leveranciers.
Waar het onderscheid wél doorwerkt, is in je documentatie. Verwijs je in je beleid naar artikel 21 lid 2 terwijl je de Nederlandse wet bedoelt, dan staat er een verwijzing naar de wegingsfactoren waar de maatregelen bedoeld zijn. Een toezichthouder ziet dat.
En artikel 21a raakt je architectuur direct. Een aanwijzing om een bepaalde leverancier te weren, betekent vervanging binnen een door de minister gestelde termijn. Dat is een risico dat je in je leveranciersbeoordeling meeneemt.
Waar je welke eis naslaat
De belangrijkste praktische vaardigheid bij dit onderwerp is weten in welk document je moet kijken.
| Wat je zoekt | Waar het staat |
|---|---|
| Of je onder de wet valt | Cyberbeveiligingswet, artikelen 5 tot en met 13 en de bijlagen |
| De zorgplicht in hoofdlijnen | Cyberbeveiligingswet, artikel 21 lid 1 en lid 3 |
| Wat een maatregel concreet inhoudt | Cyberbeveiligingsbesluit, de maatregelartikelen |
| Wanneer een incident meldplichtig is | De ministeriële regeling voor jouw sector |
| Welk normenkader verplicht is in jouw sector | De ministeriële regeling voor jouw sector |
| De meldtermijnen zelf | Cyberbeveiligingswet, de artikelen over de meldplicht |
| De registratieplicht | Cyberbeveiligingswet, de artikelen over het entiteitenregister |
| Wat het bestuur moet | Cyberbeveiligingswet, artikel 24 |
| Uitleg bij een onduidelijke bepaling | NIS2-richtlijn en de overwegingen daarbij |
Die gelaagdheid is de reden dat veel organisaties denken dat ze het overzicht kwijt zijn. Dat is geen onvermogen: de eisen staan werkelijk in vier verschillende documenten.
Kun je NIS2 en de Cyberbeveiligingswet samen invoeren?
NIS2 en de Cyberbeveiligingswet samen invoeren is geen keuze maar een gegeven: het is één traject. Je voert de wet in, en daarmee de richtlijn.
Waar het bij dit paar wél om keuzes gaat, is de gelaagdheid eronder. De wet geeft de hoofdlijn, het Cyberbeveiligingsbesluit werkt de maatregelen uit en de ministeriële regeling voor jouw sector bepaalt de drempelwaarden voor melding en soms een verplicht normenkader. Die drie documenten voer je in samenhang in, niet achter elkaar.
Werk je met een norm als ISO 27001 of NEN 7510, dan is dat de praktische invulling van de zorgplicht. Val je onder de sector overheid, dan is die invulling bovendien voorgeschreven: ISO 27001, ISO 27002 en de BIO2.
Hoe begin je hiermee?
Begin niet bij de richtlijn maar bij de wet, en werk van daar naar beneden.
De volgorde die werkt:
- Toets aan de Cyberbeveiligingswet of je eronder valt, en of je essentiële of belangrijke entiteit bent.
- Registreer je in het entiteitenregister van het NCSC. Die plicht geldt sinds 15 augustus 2026 en is snel geregeld.
- Zoek op welke ministeriële regeling voor jouw sector geldt, want daar staan de drempelwaarden en het eventueel verplichte normenkader.
- Richt de meldprocedure in, inclusief wie binnen 24 uur mag besluiten dat er gemeld wordt.
- Werk de tien maatregelcategorieën uit aan de hand van het Cyberbeveiligingsbesluit.
- Regel de bestuurderstraining, met de termijn tot 15 augustus 2028 in het achterhoofd.
Zonder de sectorregeling weet je niet wanneer je moet melden en welk normenkader voor jou verplicht is.
Andere normvergelijkingen
Andere normvergelijkingen met NIS2 staan hieronder. De Cyberbeveiligingswet komt op al die pagina's terug als de Nederlandse vertaling.
Vergelijkingen met NIS2
- NIS2 vs ISO 27001
- NIS2 vs NEN 7510
- NIS2 vs DORA
- NIS2 vs BIO
- NIS2 vs CER-richtlijn
- NIS2 vs NIST CSF
- NIS2 vs SOC 2
- NIS2 vs ISAE 3402
- NIS2 vs AVG
- NIS2 vs CRA
Zo helpt ClickOn met de Cyberbeveiligingswet
ClickOn richt je Microsoft 365-werkplek zo in dat de technische compliance-maatregelen uit het Cyberbeveiligingsbesluit in één keer staan, met de aantoonbaarheid erbij. ClickOn is zelf ISO 27001-gecertificeerd sinds 2021 via TÜV Nord, sloot alle vijftien compliance-trajecten succesvol af en doorstond vijfentwintig van de vijfentwintig audits zonder afwijking (ClickOn, 2026).
Het uitzoeken of je onder de wet valt, het bepalen welke sectorregeling geldt en de bestuurlijke verankering zijn werk van je eigen organisatie of je juridisch adviseur. Wat ClickOn levert is de technische laag en het bewijs daaruit.
- Compliance Sprint. Binnen 30 dagen technisch klaar voor het toezicht dat de Cbw meebrengt, tegen een vaste prijs per werkplek (ClickOn, 2026). Week 1 de nulmeting en de gap-analyse, week 2 en 3 de inrichting, week 4 het dashboard als bewijs. Haal je het niet, dan doen we het over.
- ClickOn Compliant MKB. Doorlopend beheer dat compliant blijft, voor 148 euro per werkplek per maand tot driehonderd werkplekken (ClickOn, 2026). Met 24/7 monitoring door een SOC, continue detectie, automatische respons, maandelijkse rapportage, geteste back-upherstellen, dataclassificatie met encryptie en 16 uur audit-ondersteuning per jaar.
Wat ClickOn niet doet is juridisch advies, governance-advies of bedrijfsbreed beleid buiten de IT-omgeving, en ClickOn is niet de partij die de formele audit uitvoert.
Weten waar je staat ten opzichte van de Cyberbeveiligingswet? De gap-analyse is week 1 van de Compliance Sprint en laat per onderdeel zien wat al gedekt is.
Gap-analyse aanvragen · Compliant voor NIS2 en de Cyberbeveiligingswet aanvragen
