Let op: BOVAG-leden kunnen ook (rechtstreeks) te maken krijgen met de nieuwe Cyberbeveiligingswet

De nieuwe Cyberbeveiligingswet is op 15 augustus 2026 in werking getreden. Deze wet is de Nederlandse implementatie van de Europese NIS2-richtlijn. Hierdoor zijn zogenaamde 'essentiële organisaties' en 'belangrijke organisaties' verplicht om hun digitale weerbaarheid te vergroten en bijbehorende (beveiligings)maatregelen te treffen. Ook moeten deze organisaties toezien op de beveiliging van de toeleveringsketen. Hoewel de verwachting is dat veel BOVAG-leden niet rechtstreeks onder deze wet zullen vallen, kunnen de aard van je activiteiten en de omvang van je organisatie ertoe leiden dat je in bepaalde gevallen toch rechtstreeks onder de Cyberbeveiligingswet valt. Dat kan ook het geval zijn in situaties waarin je dit niet direct zou verwachten. Bijvoorbeeld wanneer het ICT-beheer voor andere entiteiten binnen een groep centraal wordt gedaan door de holding en de organisatie ook aan de omvangseisen voldoet.

Of jouw organisatie rechtstreeks onder de Cyberbeveiligingswet valt, hangt kort gezegd af van twee zaken:

• de activiteiten van de organisatie, én
• de omvang van de organisatie

Driestappenplan

Hieronder volgt een driestappenplan waarmee je kunt nagaan of jouw organisatie rechtstreeks onder deze wet valt:

• Stap 1: lees de nadere toelichting op de website van het Nationaal Cyber Security Centrum (NCSC).

• Stap 2: controleer dit voor jouw bedrijf met de NIS2-Zelfevaluatie.

• Stap 3: heeft jouw organisatie een complexe bedrijfsstructuur, bijvoorbeeld met meerdere vestigingen in Nederland, andere Europese lidstaten of daarbuiten? Raadpleeg dan ook de Handreiking Complexe Bedrijfsmodellen.

Wanneer kun je rechtstreeks onder de wet vallen?

Uit de Cyberbeveiligingswet volgt dat BOVAG-leden rechtstreeks onder deze wet kunnen vallen als zij zich bijvoorbeeld bezighouden met het beheer van ICT-diensten (bijlage 1 bij de wet) of met vervaardiging (bijlage 2 bij de wet).

Beheer van ICT-diensten (bijlage 1)

Heb je bijvoorbeeld een holding met meerdere entiteiten waarbij het beheer van ICT-diensten centraal wordt geregeld (bijvoorbeeld vanuit het hoofdkantoor) voor andere entiteiten binnen de groep, dan bestaat het risico dat je als beheerder van ICT-diensten wordt aangemerkt.

Mede uit navraag die BOVAG heeft laten doen, volgt dat hierbij de volgende gezichtspunten relevant kunnen zijn:

• Het moet gaan om ICT-beheerdiensten die (mede) ten behoeve van andere entiteiten binnen (of buiten) de groep worden verricht.
• Mogelijk kan ook sprake zijn van ICT-beheer als je dit (gedeeltelijk) hebt uitbesteed aan een externe partij. Hierbij kan onder andere relevant zijn of je als holding – ondanks deze (gedeeltelijke) uitbesteding – feitelijk toch ICT-beheer verricht voor de andere entiteiten binnen je groep.
• Van ICT-beheer kan ook sprake zijn als deze dienst qua omvang gering is. ICT-beheer hoeft dus niet de hoofdactiviteit te zijn. Ook is niet relevant of deze wel of niet op commerciële basis wordt verricht.
• Heb je alleen een ‘gezamenlijk gedeelde infrastructuur’ zonder dat één entiteit als aanbieder optreedt? Dan is dat waarschijnlijk onvoldoende om te kunnen spreken van ICT-beheer.
• Bij de vraag of sprake is van ICT-beheerdiensten zal in de praktijk vermoedelijk de belangrijkste toets zijn of er sprake is van een zogenaamde ‘herkenbare dienstverlener-afnemer-relatie’ (één entiteit die beheer ‘levert’ aan de rest).
• Een situatie die in de praktijk alertheid vraagt, doet zich bijvoorbeeld voor wanneer een holding centraal ICT inkoopt en vervolgens zelf de installatie en/of het onderhoud verzorgt bij de andere entiteiten binnen de groep.
• Blijkt daadwerkelijk sprake te zijn van ICT-beheerdiensten, en voldoe je ook aan de eisen voor de omvang van de organisatie? Dan val je dus rechtstreeks onder de wet (bijlage 1).

Let op: deze gezichtspunten zijn in ontwikkeling. Sommige punten kunnen daarom nog niet volledig duidelijk zijn. Dat kan nog veranderen. Houd daarom de berichtgeving van toezichthouders goed in de gaten, bijvoorbeeld via de website van het NCSC.

Tips

Hieronder geven we nog enkele tips om na te gaan of sprake is van ICT-beheerdiensten:

1. Ga na hoe je ICT is ingericht en of sprake is van ICT-beheer binnen de groep. De kernvraag is: is er sprake van een herkenbare ‘dienstverlener-afnemer-relatie’?
2. Zo ja, check of je boven de drempels uitkomt inzake de omvang van je organisatie.
3. Doorloop ook het eerdergenoemde driestappenplan.
4. Beoordeel je situatie en hoe deze zich tot de Cyberbeveiligingswet verhoudt. Het kan verstandig zijn om je interne en/of externe ICT-adviseurs hierover te raadplegen. Een juridisch adviseur kan ook nodig zijn. In overleg met je adviseurs zou je bij twijfel ook contact kunnen opnemen met het NCSC.

Vervaardiging (bijlage 2)

Hiervan kan onder andere sprake zijn bij de vervaardiging van motorvoertuigen, aanhangers en opleggers. Volgens bijlage 2 bij de wet gaat het om 'Ondernemingen die economische activiteiten uitvoeren als bedoeld in sectie C, afdeling 29, van NACE Rev. 2'.

Tip

De NACE-codes die corresponderen met de activiteiten waarvoor jouw bedrijf bij de KvK staat geregistreerd, kunnen een aanwijzing zijn dat sprake is van zulke vervaardiging. Maar ook als deze codes niet geregistreerd zijn en feitelijk wel sprake is van zulke vervaardiging, kan dat onder ’vervaardiging’ als gedefinieerd in bijlage 2 bij de wet vallen.

Een overzicht van alle NACE-codes, waaronder de code voor de vervaardiging van motorvoertuigen, aanhangers en opleggers, is hier te vinden.

Verder raden we ook hier aan het driestappenplan te doorlopen, waarbij ook naar de omvang van de organisatie moet worden gekeken.

Let op: de hiervoor genoemde voorbeelden dienen uitsluitend ter illustratie. Er zijn meer gevallen denkbaar waarin jouw organisatie rechtstreeks onder de wet kan vallen.

Wat moet je doen om aan de wet te voldoen?

Val je op basis van je activiteiten en omvang rechtstreeks onder de Cyberbeveiligingswet, dan gelden verschillende verplichtingen, zoals:

1. Registratieplicht

Valt jouw organisatie onder de wet valt, dan geldt een registratieplicht sinds 15 augustus 2026 in het nationaal entiteitenregister via MijnNCSC. Je verstrekt daarbij onder andere organisatie-, contact- en netwerkgegevens. Laat de registratie doen door iemand met een hoge beslissingsbevoegdheid, bij voorkeur iemand met kennis van cybersecurity. Indien registratie nodig is en nog niet is gedaan, lijkt het verstandig om dit zo snel mogelijk alsnog te doen.

2. Zorgplicht
Organisaties moeten passende maatregelen nemen om risico’s te beheersen, incidenten te voorkomen en de gevolgen ervan zoveel mogelijk te beperken. Daarvoor is beleid nodig op onder andere het gebied van risicoanalyse, incidentrespons en bedrijfscontinuïteit.

Aanbevolen maatregelen zijn onder meer:

• Voer een risicoanalyse uit
• Richt incidentrespons in
• Bereid je voor op uitval
• Beveilig de toeleveringsketen
• Zorg voor goede cyberhygiëne
• Beveilig netwerk- en informatiesystemen
• Versterk de beveiliging op het gebied van personeel, toegangs- en assetbeheer
• Stel multifactorauthenticatie in
• Stel cryptografiebeleid op
• Beoordeel de effectiviteit van de maatregelen

3. Trainingsplicht voor bestuurders
Bestuurders van de organisatie moeten voldoende kennis hebben om ervoor te zorgen dat de organisatie aan de zorgplicht voldoet. Om dit aan te tonen moet ieder bestuurslid binnen twee jaar een training volgen en een certificaat behalen.

4. Meldplicht
Bij een cyberincident moet de organisatie binnen 24 uur na kennisname een vroegtijdige melding doen via het centrale meldportaal van het NCSC. Binnen 72 uur dient nadere informatie te volgen. Daarna volgen (mogelijk): een update, eventueel een tussentijds verslag en een eindverslag.

Hoe wordt toezicht gehouden?

Hierbij wordt onderscheid gemaakt tussen de zogenaamde essentiële organisaties en belangrijke organisaties (zie hiervoor de zelfevaluatietool om te kijken of je hieronder valt).

• Voor essentiële organisaties geldt proactief toezicht. Dat betekent dat de naleving actief wordt gecontroleerd, ook als er geen incidenten zijn.

• Voor belangrijke organisaties geldt reactief toezicht: controles vinden vooral achteraf plaats, bijvoorbeeld naar aanleiding van signalen van niet-naleving of na een incident.

Wat als je niet aan de wet voldoet?

De Cyberbeveiligingswet is ingegaan op 15 augustus 2026. Valt jouw organisatie rechtstreeks onder de wet en voldoe je niet aan de verplichtingen, dan kan de toezichthouder een boete opleggen of bijvoorbeeld een last onder dwangsom. Essentiële organisaties riskeren een boete van maximaal € 10 miljoen of 2 procent van hun wereldwijde omzet. Voor belangrijke bedrijven bedraagt deze maximaal € 7 miljoen of 1,4 procent van de wereldwijde jaaromzet. Het hoogste bedrag geldt. Daarnaast kunnen bestuurders een persoonlijke boete krijgen van maximaal € 25.000 wanneer zij niet voldoen aan de wettelijke verplichtingen zoals de trainingsplicht. Bij een cyberincident kunnen bestuurders onder omstandigheden bovendien aansprakelijk worden gesteld. Zorg er daarom voor dat jouw organisatie tijdig voldoet aan de verplichtingen van de Cyberbeveiligingswet. Meer informatie, inclusief veelgestelde vragen, vind je op de website van NCTV.

Lever je aan een essentiële of belangrijke organisatie?

Val je zelf niet rechtstreeks onder de Cyberbeveiligingswet, maar ben jij onderdeel van een toeleveringsketen aan een organisatie die onder de wet valt? Dan kun je indirect te maken krijgen met de wet. Jouw klant kan vragen om aan te tonen dat jouw cyberveiligheid op orde is. Dat kan bijvoorbeeld met een certificering, zoals het NIS2 Supply Chain-certificaat. Zie hier een voorbeeld van een aanbieder van dergelijke certificaten.

Let op: val je zelf rechtstreeks onder de wet, dan is een dergelijk certificaat niet voldoende.

Tot slot

Dit bericht is uitsluitend bedoeld om BOVAG-leden te informeren over hoofdpunten van de Cyberbeveiligingswet. Het is geen juridisch advies, maar uitsluitend informatief bedoeld. Deze wet- en regelgeving is in ontwikkeling. De ervaring leert dat later meer duidelijkheid komt, bijvoorbeeld door handhavingsmaatregelen, aanvullende toelichting van toezichthouders etc.

Omdat de toepassing van de Cyberbeveiligingswet per entiteit beoordeeld moet worden, kan het verstandig zijn om je interne en/of externe ICT-adviseurs hierover te raadplegen. Een juridisch adviseur kan ook nodig zijn. In overleg met je adviseurs zou je bij twijfel ook contact kunnen opnemen met het NCSC.