De NIS2-verplichtingen gelden in Nederland via de Cyberbeveiligingswet (Cbw). Die is op 15 augustus 2026 in werking getreden, en daarmee is ook de registratieplicht ingegaan. Val je onder de wet, dan moet je er nu aan voldoen. Een ruime overgangsperiode om op te wachten is er niet meer.
De tijdlijn
Om de datum in perspectief te plaatsen:
- 2022 tot 2024: de Europese NIS2-richtlijn wordt vastgesteld. Lidstaten moesten deze uiterlijk 17 oktober 2024 in nationale wetgeving omzetten.
- Nederland: die omzetting liep vertraging op. Het wetsvoorstel is begin 2026 door de Tweede en Eerste Kamer aangenomen, waarna de Cyberbeveiligingswet op 15 augustus 2026 in werking is getreden.
Omdat de invoerdatum lang is opgeschoven, leeft bij veel organisaties nog het idee dat er tijd is. Dat klopt niet meer: de wet is er, en de verplichtingen lopen.
Waar en hoe registreer je?
Registreren doe je bij het NCSC (het Nationaal Cyber Security Centrum), via het portaal MijnNCSC op mijn.ncsc.nl. Inloggen gaat met eHerkenning, of met SSO Rijk voor rijksorganisaties. De uitleg en de aanmeldpagina vind je op de registratiepagina van het NCSC.
Bij de registratie geef je onder meer je organisatiegegevens, sector en contactpersonen op. Het NCSC adviseert om er twee mensen bij te betrekken: iemand met inhoudelijke kennis van je cyberbeveiliging (zoals een CISO of security-verantwoordelijke) en iemand met beslissingsbevoegdheid (zoals een bestuurder of eigenaar). Doe dit tijdig, zodat de toezichthouder weet dat je onder het regime valt en je op de hoogte blijft van wat er van je wordt verwacht.
Wat betekent ‘voldoen’ qua timing?
Zodra de wet op je van toepassing is, gelden de verplichtingen in de kern direct:
- Registratie: meld je organisatie aan via MijnNCSC.
- Zorgplicht: je beveiligingsmaatregelen moeten aantoonbaar op orde zijn, niet “ergens volgend jaar”.
- Meldplicht: een significant incident meld je met korte termijnen. In de regel gaat het om een eerste melding (early warning) binnen 24 uur, een uitgebreidere melding binnen 72 uur en een eindrapportage binnen een maand. Die klok kun je niet achteraf inhalen, dus je meldproces moet vooraf staan.
Waarom nu beginnen?
De zorgplicht goed invullen kost tijd. Risicomanagement, technische en organisatorische maatregelen, afspraken met leveranciers en bestuurlijke borging bouw je niet in een week op. Wie nu start, is op tijd klaar en voorkomt dat een incident of een controle je overvalt. Ook je klanten en ketenpartners zullen er steeds vaker naar vragen, omdat de zorgplicht doorwerkt in de toeleveringsketen.
Eerst weten of je eronder valt?
Bepaal eerst je positie. In valt jouw organisatie onder NIS2? lopen we de afbakening door. Het NCSC heeft daarvoor ook een flowchart en uitleg, en de RDI biedt een zelfevaluatie aan. Weet je dat je eronder valt, breng dan de gaten in kaart met een NIS2 / Cbw gap-analyse. Even sparren over waar je staat? Plan een kennismaking.
Let op: exacte data, termijnen en de precieze reikwijdte liggen in wetgeving vast en kunnen wijzigen. Controleer voor je definitieve planning altijd de actuele informatie van het NCSC en de rijksoverheid.