NIS2 vs Cbw: het verschil en de overlap
NIS2 en de Cyberbeveiligingswet zijn niet twee kaders waartussen je kiest. Dit is het verhaal van hoe de richtlijn Nederlandse wet werd: de Cyberbeveiligingswet ís NIS2, omgezet in Nederlands recht.
NIS2 is Richtlijn (EU) 2022/2555. Een richtlijn werkt niet rechtstreeks: hij verplicht lidstaten om het resultaat in eigen wetgeving vast te leggen. Voor jou als organisatie volgt er dus geen enkele verplichting rechtstreeks uit NIS2.
De Cyberbeveiligingswet (Cbw) is die Nederlandse omzetting, in werking getreden op 15 augustus 2026 (Rijksoverheid, 2026). Daar staan je verplichtingen, en daarop wordt gehandhaafd.
Dat heeft één praktisch gevolg: een verwijzing naar een NIS2-artikel klopt niet automatisch voor de Nederlandse wet. De nummering verschilt, en dat leidt tot verwijzingen naar het verkeerde wetsartikel.
De wet geldt voor essentiële en belangrijke entiteiten in de sectoren uit bijlage 1 en bijlage 2 van die wet. De richtlijn richt zich niet tot jou maar tot de lidstaat, en schept voor een organisatie dus geen enkele verplichting.
De Nederlandse wet volgt de richtlijn op de meeste punten, maar niet overal. Op twee plekken voegt de wetgever iets toe dat niet uit de richtlijn volgt: het weren van leveranciers op grond van nationale veiligheid en een certificaatplicht voor bestuurders. Daarnaast maakt Nederland drie eigen keuzes: gemeenten, provincies en waterschappen zijn van rechtswege essentiële entiteit, hoger onderwijs kan worden aangewezen en de bestuurdersplichten zijn doorgetrokken naar Nederlandse rechtsvormen als de maatschap en de vennootschap onder firma.
Omgekeerd laat de wet een deel van de invulling over aan lagere regelgeving. De tien maatregelcategorieën zijn uitgewerkt in het Cyberbeveiligingsbesluit (Cyberbeveiligingsbesluit, 2026), en per sector geldt een eigen ministeriële regeling.
Waarom je met de Cyberbeveiligingswet te maken hebt en niet met NIS2
Je hebt met de Cyberbeveiligingswet te maken en niet met NIS2, omdat een Europese richtlijn geen rechtstreekse werking heeft. Dat verschil is geen formaliteit.
Een verordening, zoals DORA of de AVG, geldt rechtstreeks in alle lidstaten. Een richtlijn niet: die verplicht de lidstaat tot omzetting, en pas de nationale wet schept verplichtingen voor organisaties.
Voor NIS2 betekent dat: de richtlijn bepaalt wat Nederland moest regelen, de Cyberbeveiligingswet bepaalt wat jij moet doen. Val je onder de wet, dan is de wettekst je referentie, niet de richtlijn.
Waar je dat merkt
Op drie momenten wordt dat verschil concreet.
Bij het bepalen of je onder de wet valt, want de Nederlandse wet kent eigen bijlagen met sectoren en eigen aanwijzingscriteria. Bij het naslaan van een verplichting, want de artikelnummers verschillen. En bij handhaving, want de toezichthouder toetst aan de wet.
Wanneer de richtlijn toch relevant is
De richtlijn blijft van belang voor uitleg. Wijkt de wettekst af of is die onduidelijk, dan is de richtlijn de bron waarnaar wordt teruggegrepen, samen met de overwegingen daarin.
Ook voor grensoverschrijdend werk telt de richtlijn. Lever je in meerdere lidstaten, dan heb je met verschillende omzettingen te maken die allemaal op dezelfde richtlijn teruggaan.
Werkplekbeheer en Compliant
Audit-klaar wórden is stap één. Met compliant werkplekbeheer houd je het daarna aantoonbaar werkend, vaste prijs per werkplek, van MKB tot Enterprise.
Kies dit als je op je eigen Microsoft 365-licentie blijft en de technische basis op orde wilt: beheer, back-up, endpointbescherming en toegangsbeheer.
Kies dit als je naast de techniek ook je mensen wilt meenemen. Inclusief Business Premium en security awareness-training.
Kies dit als een opdrachtgever, tender of norm bewijs van je vraagt. Inclusief de Purview- en Defender-suites, monitoring en de rapportage waar een auditor om vraagt.
Kies dit als je organisatie uit Compliant MKB groeit en op Microsoft 365 E5 wilt draaien.
NIS2 en Cbw mappen
NIS2 en Cbw mappen betekent bij dit paar: artikel voor artikel nagaan waar een bepaling uit de richtlijn in de Nederlandse wet is geland, want de nummering loopt niet gelijk.
Waar de Nederlandse nummering afwijkt van de richtlijn
De belangrijkste afwijking zit in artikel 21. In de NIS2-richtlijn staan de tien maatregelcategorieën in artikel 21 lid 2; in de Cyberbeveiligingswet staan ze in artikel 21 lid 3.
Dat is geen slordigheid van de wetgever maar een gevolg van de opbouw. De Nederlandse wet gebruikt lid 1 voor de kernverplichting en lid 2 voor de wegingsfactoren, waaronder de stand van de techniek, de uitvoeringskosten en de mate waarin je aan risico’s blootstaat. Pas lid 3 bevat de opsomming a tot en met j.
| Onderwerp | NIS2-richtlijn | Cyberbeveiligingswet |
|---|---|---|
| Kernverplichting zorgplicht | Artikel 21 lid 1 | Artikel 21 lid 1 |
| Wegingsfactoren voor evenredigheid | Artikel 21 lid 1, slot | Artikel 21 lid 2 |
| De tien maatregelcategorieën | Artikel 21 lid 2 | Artikel 21 lid 3 |
| Weging bij ketenbeveiliging | Artikel 21 lid 3 | Artikel 21 lid 4 |
| Grondslag voor nadere regels | Artikel 21 lid 5 | Artikel 21 lid 5 |
| Governance en bestuur | Artikel 20 | Artikel 24 |
Wie in een document over de Nederlandse wet leest dat een eis in artikel 21 lid 2 staat, leest dus een verwijzing naar de wegingsfactoren en niet naar de maatregelen.
De praktische regel: verwijs je naar de richtlijn, gebruik dan lid 2. Verwijs je naar de Nederlandse wet, gebruik dan lid 3. En zet er expliciet bij welk van de twee je bedoelt.
Cbw op NIS2 mappen
Cbw op NIS2 mappen levert twee bepalingen op die in de richtlijn geen tegenhanger hebben: artikel 21a over het weren van leveranciers en de certificaatplicht in artikel 24. Daarnaast maakt de wet drie eigen keuzes binnen de ruimte die de richtlijn laat. Beide groepen komen verderop op deze pagina terug. De koppeling met de Wet weerbaarheid kritieke entiteiten in artikel 8 hoort niet in dat rijtje: die volgt de richtlijn, en is dus omzetting en geen toevoeging.
De belangrijkste verschillen tussen NIS2 en de Cyberbeveiligingswet
Het belangrijkste verschil tussen NIS2 en de Cyberbeveiligingswet is hun juridische aard. De richtlijn richt zich tot de lidstaat, de wet tot jou.
| Kenmerk | NIS2-richtlijn | Cyberbeveiligingswet |
|---|---|---|
| Wat het is | Europese richtlijn (EU) 2022/2555 | Nederlandse wet |
| Richt zich tot | De lidstaten | Essentiële en belangrijke entiteiten |
| Rechtstreekse werking | Nee | Ja, sinds 15 augustus 2026 |
| De tien maatregelen | Artikel 21 lid 2 | Artikel 21 lid 3 |
| Governance | Artikel 20 | Artikel 24, met certificaatplicht |
| Weren van leveranciers | Niet geregeld | Artikel 21a, op grond van nationale veiligheid |
| Lokale overheden | Aan de lidstaat gelaten | Provincies, gemeenten en waterschappen essentiële entiteit, artikel 8 lid 1 |
| Onderwijsinstellingen | Aan de lidstaat gelaten | Hoger onderwijs aan te wijzen, artikel 11 |
| Bestuurders van maatschap of vof | Niet geregeld | Artikel 24 lid 7 tot en met 10 |
| Uitwerking van de maatregelen | Aan de lidstaat gelaten | Cyberbeveiligingsbesluit |
| Drempelwaarden voor melding | Open criteria | Per sector in een ministeriële regeling |
| Toezicht | Per lidstaat in te richten | Sectorale toezichthouder, voor veel sectoren de RDI |
| Handhaving | Kader voor sancties | Aanwijzing, boete, openbaarmaking, schorsing van een bestuurder |
Zijn NIS2 en de Cyberbeveiligingswet allebei verplicht?
Van NIS2 en de Cyberbeveiligingswet is er maar één verplicht voor jou, en dat is de wet. De richtlijn richt zich tot de lidstaat en schept voor een organisatie geen enkele verplichting.
De Cyberbeveiligingswet geldt van rechtswege voor essentiële en belangrijke entiteiten in de aangewezen sectoren die de drempel halen. Er komt geen brief vooraf: je toetst zelf of je eronder valt en registreert je bij het NCSC.
Dat betekent niet dat de richtlijn er niet toe doet. Wijkt de wettekst af of is die onduidelijk, dan is de richtlijn de bron waarnaar wordt teruggegrepen. En lever je in meerdere lidstaten, dan heb je te maken met verschillende omzettingen die allemaal op dezelfde richtlijn teruggaan.
Voor de vraag waar je op wordt afgerekend, is het antwoord dus enkelvoudig: de Cyberbeveiligingswet, sinds 15 augustus 2026, zonder overgangstermijn voor de zorgplicht, de meldplicht en de registratieplicht.
Overeenkomsten tussen NIS2 en de Cyberbeveiligingswet
De overeenkomsten tussen NIS2 en de Cyberbeveiligingswet zijn per definitie groot, want de wet is bedoeld om de richtlijn getrouw om te zetten.
Wat één op één overeenkomt:
- De indeling in essentiële en belangrijke entiteiten, met verschillend toezichtregime.
- De drie pijlers: zorgplicht, meldplicht en registratieplicht.
- De tien maatregelonderwerpen, inhoudelijk identiek al staan ze in een ander lid.
- De vier meldmomenten: vroegtijdige waarschuwing binnen 24 uur, melding binnen 72 uur, een tussentijds verslag over relevante updates van de situatie op verzoek van het CSIRT of de bevoegde autoriteit, en een eindverslag uiterlijk één maand na die melding (Cyberbeveiligingswet, art. 26 lid 1, 27 lid 1, 28 en 29 lid 1, 2026).
- De boetemaxima voor de kernverplichtingen (zorgplicht, weren van leveranciers en meldplicht, art. 21, 21a en 25 tot en met 30): tot tien miljoen euro of twee procent wereldwijde jaaromzet voor essentiële entiteiten en tot zeven miljoen euro of 1,4 procent voor belangrijke entiteiten (Cyberbeveiligingswet, art. 80 lid 3 en 87 lid 3, 2026). Voor andere overtredingen geldt een lager maximum: één miljoen euro voor een belangrijke entiteit (Cyberbeveiligingswet, art. 87 lid 3 onder b, 2026), en artikel 80 lid 3 maakt voor essentiële entiteiten hetzelfde onderscheid.
- De benadering die alle gevaren omvat, dus ook stroomuitval, brand en fysieke toegang.
Het verschil zit dus niet in wat er moet, maar in waar het staat en wie het afdwingt.
Hoeveel van de zorgplicht dekt de Cyberbeveiligingswet af?
De Cyberbeveiligingswet dekt alle tien de maatregelcategorieën van de NIS2-zorgplicht af, want zij ís de zorgplicht in Nederlands recht. De tien onderwerpen uit artikel 21 lid 2 van de richtlijn staan inhoudelijk ongewijzigd in artikel 21 lid 3 van de wet. De telling per artikel staat in de tabel hierboven.
Waarom hier geen dekkingspercentage staat
Een dekkingspercentage staat hier niet, omdat het bij dit paar niets zou meten. Zo’n getal veronderstelt twee onafhankelijke kaders met een noemer, een definitie van gedekt en een telling. De Cyberbeveiligingswet is geen alternatief voor NIS2 maar de uitvoering ervan. Vragen hoeveel procent de wet van de richtlijn dekt, is vragen hoeveel procent een vertaling het origineel dekt. Wat wél te tellen is, staat hierboven: tien van de tien categorieën, twee Nederlandse toevoegingen zonder tegenhanger in de richtlijn, drie eigen keuzes en één verschuiving in de nummering van artikel 21.
Welke NIS2-eisen dekt de Cyberbeveiligingswet niet?
De Cyberbeveiligingswet dekt geen enkele NIS2-eis niet, en dat is bij dit paar het eerlijke antwoord. De wet is de omzetting van de richtlijn, dus inhoudelijk ontbreekt er niets.
Wat er gebeurt, is dat een aantal onderwerpen uit de richtlijn in Nederland pas concreet wordt via lagere regelgeving.
De tien maatregelcategorieën
De richtlijn benoemt tien onderwerpen. De wet neemt die over in artikel 21 lid 3, maar de uitwerking staat in het Cyberbeveiligingsbesluit, dat per onderwerp een eigen artikel kent (Cyberbeveiligingsbesluit, 2026).
Wie wil weten wat er precies van hem verwacht wordt op het gebied van bijvoorbeeld cryptografie of toegangsbeheer, moet dus in het besluit kijken en niet in de wet.
De drempelwaarden voor melding
De richtlijn geeft open criteria voor wanneer een incident significant is. De wet neemt die over, maar de concrete drempelwaarden staan per sector in een ministeriële regeling.
Voor de sector overheid is dat de Cyberbeveiligingsregeling sector overheid, voor de zorg de Cyberbeveiligingsregeling voor de Zorg. Zonder die regeling weet je niet wanneer je moet melden.
De sectorale invulling van de zorgplicht
De wet maakt in artikel 21 lid 5 mogelijk dat per sector aanvullende eisen worden gesteld. Daar maken de sectorregelingen gebruik van.
Voor de overheid betekent dat bijvoorbeeld dat ISO 27001, ISO 27002 en de BIO2 verplicht zijn voorgeschreven. Dat volgt niet uit de richtlijn en ook niet uit de wet zelf, maar uit de regeling daaronder.
Welke Cyberbeveiligingswet-eisen dekt NIS2 niet?
NIS2 dekt twee eisen uit de Cyberbeveiligingswet niet, omdat ze niet uit de richtlijn volgen maar door de Nederlandse wetgever zijn toegevoegd: een bevoegdheid om leveranciers te weren en een certificaatplicht voor bestuurders. Daarnaast heeft Nederland op drie punten een eigen keuze gemaakt binnen de ruimte die de richtlijn laat; die staan hieronder apart, want daar wijkt de wet niet af van de richtlijn maar vult hij hem in.
Het weren van leveranciers op grond van nationale veiligheid
Artikel 21a van de Cyberbeveiligingswet geeft de vakminister de bevoegdheid om, in overeenstemming met Onze Minister en ter uitwerking van artikel 21, een essentiële of belangrijke entiteit te verplichten in de daarbij aangewezen onderdelen van haar netwerk- en informatiesystemen uitsluitend gebruik te maken van producten of diensten van anderen dan een met name genoemde partij (Cyberbeveiligingswet, art. 21a lid 1, 2026).
Dat kan bij een staat, entiteit of persoon waarvan bekend is of waarvoor gronden zijn te vermoeden dat die de intentie heeft de beveiliging van je systemen aan te tasten of incidenten te veroorzaken, en bij een partij die nauwe banden heeft met of onder invloed staat van zo’n partij (Cyberbeveiligingswet, art. 21a lid 1, 2026).
De wet bouwt daar twee waarborgen in. De minister beoordeelt in elk geval of beheersmaatregelen mogelijk en realiseerbaar zijn die de nationale veiligheidsrisico’s die in het geding zijn voldoende beschermen (Cyberbeveiligingswet, art. 21a lid 2, 2026).
Gaat het om producten en diensten die al in gebruik zijn in de aangewezen onderdelen, dan stelt de minister een termijn vast waarbinnen de vervanging moet gebeuren (Cyberbeveiligingswet, art. 21a lid 3, 2026).
Dit is voor een ICT-dienstverlener het meest ingrijpende artikel van de wet, want het kan een bestaande leverancier uit je architectuur halen.
De certificaatplicht voor bestuurders
De richtlijn verplicht bestuursorganen in artikel 20 tot goedkeuring van de maatregelen, toezicht op de uitvoering en het volgen van opleiding. De Nederlandse wet werkt dat in artikel 24 concreter uit: de maatregelen behoeven de goedkeuring van het bestuur (Cyberbeveiligingswet, art. 24 lid 1, 2026).
Elk bestuurslid moet de risico’s voor de netwerk- en informatiesystemen kunnen onderkennen, de maatregelen kunnen beoordelen en de gevolgen daarvan voor de dienstverlening kunnen inschatten, en bezit als bewijs een certificaat van deelname aan een training over die onderwerpen (Cyberbeveiligingswet, art. 24 lid 2 en 5, 2026).
Daarvoor geldt een overgangstermijn tot 15 augustus 2028; wie later wordt benoemd heeft twee jaar vanaf de benoeming (Cyberbeveiligingswet, art. 24 lid 3, 2026). Die certificaatplicht en die termijn staan niet in de richtlijn.
Lokale overheden en hoger onderwijs onder de wet
De richtlijn laat het aan de lidstaat om overheidsinstanties op lokaal niveau en onderwijsinstellingen onder de regels te brengen. Nederland doet dat. Provincies, gemeenten en waterschappen zijn van rechtswege essentiële entiteit, en dat geldt ook voor de openbare lichamen, gemeenschappelijke organen en bedrijfsvoeringsorganisaties uit een gemeenschappelijke regeling, voor zover die kwalificeren als overheidsinstantie (Cyberbeveiligingswet, art. 8 lid 1, 2026). Instellingen voor hoger onderwijs en wetenschappelijk onderzoek kunnen bij besluit als essentiële entiteit worden aangewezen (Cyberbeveiligingswet, art. 11, 2026).
Een gemeente van dertig medewerkers valt dus onder dezelfde zorgplicht en meldplicht als een netbeheerder. Wie de richtlijn leest, ziet die gemeente niet; wie de wet leest wel.
Een uitzondering bij de omvangtoets voor telecom en bijlage 1
Of een organisatie de drempel haalt, bepaalt de wet aan de hand van Aanbeveling 2003/361/EG. Voor drie onderdelen van artikel 8 lid 1 zet de Cyberbeveiligingswet één regel uit die aanbeveling opzij: voor aanbieders van openbare elektronische communicatienetwerken, voor aanbieders van openbare elektronische communicatiediensten en voor de overige entiteiten uit bijlage 1 die de drempel voor middelgrote ondernemingen overschrijden, is artikel 3 lid 4 van de bijlage bij die aanbeveling niet van toepassing (Cyberbeveiligingswet, art. 8 lid 2, 2026).
Die uitzondering geldt dus niet voor de eerste drie onderdelen van dat artikel. Gekwalificeerde verleners van vertrouwensdiensten, aanbieders van registers voor topleveldomeinnamen en DNS-dienstverleners zijn essentiële entiteit zonder dat er een omvangtoets aan te pas komt (Cyberbeveiligingswet, art. 8 lid 1, 2026).
Bestuurdersplichten voor Nederlandse rechtsvormen
De richtlijn spreekt over leidinggevende organen en laat de vertaling naar nationaal vennootschapsrecht aan de lidstaat. De Cyberbeveiligingswet trekt de bestuurdersplichten uit artikel 24 door naar situaties die de richtlijn niet kent: een rechtspersoon die bestuurder is, de uitvoerende bestuurders in een bestuur met uitvoerende en niet-uitvoerende bestuurders, iedere maat van een maatschap en de beherende vennoten van een vennootschap onder firma of commanditaire vennootschap (Cyberbeveiligingswet, art. 24 lid 7 tot en met 11, 2026). Voor een adviesbureau of accountantskantoor dat als maatschap werkt, geldt de certificaatplicht dus per maat.
De koppeling met de Wet weerbaarheid kritieke entiteiten is geen toevoeging
De Cyberbeveiligingswet bepaalt dat kritieke entiteiten als bedoeld in artikel 6 lid 1 van de Wet weerbaarheid kritieke entiteiten van rechtswege essentiële entiteit zijn (Cyberbeveiligingswet, art. 8 lid 1, 2026). Dat wordt vaak als Nederlandse keuze gepresenteerd, maar het volgt de richtlijn, die entiteiten die onder Richtlijn (EU) 2022/2557 als kritieke entiteit zijn aangemerkt tot essentiële entiteit rekent.
Beide wetten zijn op dezelfde dag in werking getreden, en de bevoegde autoriteit onder de Wwke is voor die entiteit tevens de bevoegde autoriteit onder de Cyberbeveiligingswet (Cyberbeveiligingswet, art. 15 lid 5, 2026). Die verwevenheid in de uitvoering is Nederlands; de koppeling zelf is Europees.
Wat betekent dit voor je ICT-omgeving?
Voor je ICT-omgeving verandert er niets door dit onderscheid. Het werk volgt uit de zorgplicht, en die is inhoudelijk gelijk in richtlijn en wet.
De maatregelen landen in de bekende componenten van je Microsoft 365-omgeving: identiteiten en toegang in Entra ID, werkplekken en endpoints in Intune en Defender, e-mail en samenwerking in Exchange Online en Teams, data en encryptie in Purview, plus back-up en herstel en de koppelingen met leveranciers.
Waar het onderscheid wél doorwerkt, is in je documentatie. Verwijs je in je beleid naar artikel 21 lid 2 terwijl je de Nederlandse wet bedoelt, dan staat er een verwijzing naar de wegingsfactoren waar de maatregelen bedoeld zijn. Een toezichthouder ziet dat.
En artikel 21a raakt je architectuur direct. Een aanwijzing om een bepaalde leverancier te weren, betekent vervanging binnen een door de minister gestelde termijn. Dat is een risico dat je in je leveranciersbeoordeling meeneemt.
Waar je welke eis naslaat
De belangrijkste praktische vaardigheid bij dit onderwerp is weten in welk document je moet kijken.
| Wat je zoekt | Waar het staat |
|---|---|
| Of je onder de wet valt | Cyberbeveiligingswet, artikelen 5 tot en met 13 en de bijlagen |
| De zorgplicht in hoofdlijnen | Cyberbeveiligingswet, artikel 21 lid 1 en lid 3 |
| Wat een maatregel concreet inhoudt | Cyberbeveiligingsbesluit, de maatregelartikelen |
| Wanneer een incident meldplichtig is | De ministeriële regeling voor jouw sector |
| Welk normenkader verplicht is in jouw sector | De ministeriële regeling voor jouw sector |
| De vier meldmomenten | Cyberbeveiligingswet, artikelen 26 tot en met 29 |
| De registratieplicht | Cyberbeveiligingswet, de artikelen over het entiteitenregister |
| Wat het bestuur moet | Cyberbeveiligingswet, artikel 24 |
| Uitleg bij een onduidelijke bepaling | NIS2-richtlijn en de overwegingen daarbij |
Die gelaagdheid is de reden dat veel organisaties denken dat ze het overzicht kwijt zijn. Dat is geen onvermogen: de eisen staan werkelijk in vier verschillende documenten.
Kun je NIS2 en de Cyberbeveiligingswet samen invoeren?
NIS2 en de Cyberbeveiligingswet samen invoeren is geen keuze maar een gegeven: het is één traject. Je voert de wet in, en daarmee de richtlijn.
Waar het bij dit paar wél om keuzes gaat, is de gelaagdheid eronder. De wet geeft de hoofdlijn, het Cyberbeveiligingsbesluit werkt de maatregelen uit en de ministeriële regeling voor jouw sector bepaalt de drempelwaarden voor melding en soms een verplicht normenkader. Die drie documenten voer je in samenhang in, niet achter elkaar.
Werk je met een norm als ISO 27001 of NEN 7510, dan is dat de praktische invulling van de zorgplicht. Val je onder de sector overheid, dan is die invulling bovendien voorgeschreven: ISO 27001, ISO 27002 en de BIO2.
Hoe begin je hiermee?
Begin niet bij de richtlijn maar bij de wet, en werk van daar naar beneden.
De volgorde die werkt:
- Toets aan de Cyberbeveiligingswet of je eronder valt, en of je essentiële of belangrijke entiteit bent.
- Registreer je in het entiteitenregister van het NCSC. Die plicht geldt sinds 15 augustus 2026 en is snel geregeld.
- Zoek op welke ministeriële regeling voor jouw sector geldt, want daar staan de drempelwaarden en het eventueel verplichte normenkader.
- Richt de meldprocedure in, inclusief wie binnen 24 uur mag besluiten dat er gemeld wordt.
- Werk de tien maatregelcategorieën uit aan de hand van het Cyberbeveiligingsbesluit.
- Regel de bestuurderstraining, met de termijn tot 15 augustus 2028 in het achterhoofd.
Zonder de sectorregeling weet je niet wanneer je moet melden en welk normenkader voor jou verplicht is.
Andere normvergelijkingen
Andere normvergelijkingen met NIS2 staan hieronder. De Cyberbeveiligingswet komt op al die pagina’s terug als de Nederlandse vertaling.
Vergelijkingen met NIS2
Zo helpt ClickOn met de Cyberbeveiligingswet
ClickOn richt je Microsoft 365-werkplek zo in dat de technische compliance-maatregelen uit het Cyberbeveiligingsbesluit in één keer staan, met de aantoonbaarheid erbij. ClickOn is zelf ISO 27001-gecertificeerd sinds 2021 via TÜV Nord, sloot alle vijftien compliance-trajecten succesvol af en doorstond vijfentwintig van de vijfentwintig audits zonder afwijking (ClickOn, 2026).
Het uitzoeken of je onder de wet valt, het bepalen welke sectorregeling geldt en de bestuurlijke verankering zijn werk van je eigen organisatie of je juridisch adviseur. Wat ClickOn levert is de technische laag en het bewijs daaruit.
- Compliance Sprint. Binnen 30 dagen technisch klaar voor het toezicht dat de Cbw meebrengt, tegen een vaste prijs per werkplek (ClickOn, 2026). Week 1 de nulmeting en de gap-analyse, week 2 en 3 de inrichting, week 4 het dashboard als bewijs. Haal je het niet, dan doen we het over.
- ClickOn Compliant MKB. Doorlopend beheer dat compliant blijft, voor 148 euro per werkplek per maand tot driehonderd werkplekken (ClickOn, 2026). Met 24/7 monitoring door een SOC, continue detectie, automatische respons, maandelijkse rapportage, geteste back-upherstellen, dataclassificatie met encryptie en 16 uur audit-ondersteuning per jaar.
Wat ClickOn niet doet is juridisch advies, governance-advies of bedrijfsbreed beleid buiten de IT-omgeving, en ClickOn is niet de partij die de formele audit uitvoert.
Weten waar je staat ten opzichte van de Cyberbeveiligingswet? De gap-analyse is week 1 van de Compliance Sprint en laat per onderdeel zien wat al gedekt is.
Kies per stap de route die past
ClickOn voert de ICT-laag van NIS2 uit en leveren het bewijs. Beleid, governance en de formele audit blijven bij je adviseur of auditor.