Valt uw organisatie onder de Cyberbeveiligingswet?

Sinds 15 augustus 2026 is de Cyberbeveiligingswet in Nederland van kracht — de nationale uitwerking van de Europese NIS2-richtlijn. Voor veel ondernemers roept de wet meteen een simpele vraag op, vaak letterlijk gezocht als "valt mijn bedrijf onder NIS2" of "valt mijn organisatie onder de Cyberbeveiligingswet": gaat dit over kritieke-infrastructuurreuzen zoals energiebedrijven en banken, of kan mijn eigen organisatie hier ook onder vallen? Voor een aanzienlijke groep Nederlandse bedrijven is het antwoord: mogelijk wel. De wet trekt de grens niet bij "groot bedrijf", maar bij concrete, meetbare drempelwaarden voor medewerkersaantal, omzet en balanstotaal, aangevuld met een sectorenlijst en een ketenverplichting die ook onder de drempel kan doorwerken.

Een verkeerde inschatting kost in beide richtingen geld: wie ten onrechte denkt buiten de wet te vallen, loopt reëel juridisch en compliance-risico zodra wordt gehandhaafd; wie ten onrechte denkt er wél onder te vallen, besteedt tijd en budget aan een programma dat niet nodig is. Deze pagina is een betrouwbare zelftoets, rechtstreeks gebaseerd op de officiële drempelwaarden, zodat u — met uw eigen cijfers bij de hand — zelf kunt vaststellen waar u staat. Wilt u eerst wat de wet precies inhoudt begrijpen? Lees die uitleg eerst; hier gaat het uitsluitend om de vraag óf, en hoe, de wet op uw organisatie van toepassing is.

De twee categorieën: essentiële en belangrijke entiteiten

De Cyberbeveiligingswet kent geen simpele "wel of niet"-indeling. Organisaties die onder de wet vallen, worden ingedeeld in een van twee categorieën: essentiële entiteiten en belangrijke entiteiten. Het onderscheid bepaalt vooral de intensiteit van het toezicht — essentiële entiteiten kunnen te maken krijgen met actief, vooraf gepland toezicht door de toezichthouder, terwijl belangrijke entiteiten doorgaans achteraf en op basis van signalen worden gecontroleerd.

Wat niet verschilt, is de kern van de verplichtingen zelf. Beide categorieën moeten voldoen aan dezelfde risicogebaseerde zorgplicht, dezelfde meldplicht bij incidenten en dezelfde registratieverplichting. "Belangrijke entiteit" is dus geen lichtere categorie in de zin van "eigenlijk niet echt verplicht" — dat is een van de meest voorkomende misverstanden bij de zelftoets. Beide categorieën hebben reële, afdwingbare verplichtingen; alleen de manier waarop dat wordt gecontroleerd, verschilt.

De officiële drempelwaarden op een rij

Of uw organisatie een essentiële entiteit, een belangrijke entiteit, of geen van beide is, wordt in de eerste plaats bepaald door drie officiële criteria: het aantal medewerkers, de jaaromzet en het balanstotaal. Hieronder staan de exacte drempelwaarden zoals deze zijn vastgelegd, en zoals Nederlandse organisaties deze ook via de zelftoets van Ondernemersplein kunnen nagaan.

Essentiële entiteit

Een organisatie is een essentiële entiteit wanneer zij meer dan 250 medewerkers heeft, óf wanneer zij zowel een jaaromzet van meer dan €50 miljoen als een balanstotaal van meer dan €43 miljoen heeft. Let op het verschil tussen "of" en "en": de medewerkersgrens staat op zichzelf, maar de twee financiële grenzen moeten allebei worden overschreden voordat de financiële route alleen tot een essentiële entiteit leidt.

Belangrijke entiteit

Een organisatie is een belangrijke entiteit wanneer zij 50 of meer medewerkers heeft, óf wanneer de jaaromzet dan wel het balanstotaal boven de €10 miljoen ligt. Dit is de drempel waar in de praktijk de meeste twijfel ontstaat — en waar ook de meest voorkomende zelftoets-fout wordt gemaakt. Organisaties kijken alleen naar het aantal medewerkers en concluderen: "wij hebben maar 30 man personeel, dus wij vallen erbuiten." Maar de voorwaarde is een of-voorwaarde, geen en-voorwaarde: een organisatie van 30 medewerkers met een jaaromzet van €12 miljoen valt wél onder de definitie van belangrijke entiteit, ook al wordt de medewerkersgrens niet gehaald. Wie de zelftoets doet, moet dus altijd beide routes checken — medewerkersaantal én de financiële cijfers — en niet stoppen zodra de eerste route geen overschrijding oplevert.

Automatisch aangewezen organisaties

Voor een beperkt aantal organisatietypen gelden de omvang-drempels niet: zij vallen automatisch onder de wet, ongeacht het aantal medewerkers of de omvang van de omzet. Dit geldt in elk geval voor aanbieders van domeinnaamregistratiediensten, vertrouwensdienstverleners (bijvoorbeeld aanbieders van elektronische handtekeningen) en telecomaanbieders. Ook een eenmanszaak of klein bedrijf in een van deze categorieën kan dus direct onder de wet vallen.

Valt uw sector onder de wet?

Naast de omvang-drempels bepaalt ook de sector waarin u actief bent of de wet op uw organisatie van toepassing kan zijn. De wet werkt met twee sectorenlijsten, gekoppeld aan de twee entiteitscategorieën, zoals gepubliceerd door Ondernemersplein.

Sectoren voor essentiële entiteiten: energie, transport, bankwezen, gezondheidszorg, drinkwater, digitale infrastructuur en overheid.

Sectoren voor belangrijke entiteiten: digitale aanbieders, post, voedsel, chemie, onderzoek en productie.

Deze lijsten zijn breed geformuleerd — "digitale infrastructuur" en "digitale aanbieders" omvatten bijvoorbeeld een reeks IT-gerelateerde dienstverleningsvormen, niet alleen de voor de hand liggende telecom- en hostingpartijen. Staat uw exacte branche er niet letterlijk bij, dan is dat op zichzelf geen garantie dat u buiten beeld blijft: de officiële toelichting werkt met omschrijvingen en subcategorieën die breder kunnen uitpakken dan de korte lijst hierboven doet vermoeden. Ondernemersplein geeft de volledige, actuele omschrijving per sector.

Ook zonder drempeloverschrijding: de ketenverplichting

Zelfs wanneer uw organisatie noch de omvang-drempels haalt, noch in een van de genoemde sectoren actief is, kan de Cyberbeveiligingswet u alsnog raken — via de zogeheten ketenverplichting. De wet verplicht essentiële en belangrijke entiteiten om risico's in hun eigen toeleveringsketen te beheersen. In de praktijk betekent dit dat een wél in-scope organisatie verplicht is om beveiligingseisen door te vertalen naar haar directe leveranciers — ook als die leveranciers zelf ver onder de drempels blijven.

Voor een leverancier voelt dit zelden als "NIS2", maar wel degelijk als een concrete eis: een klant die zelf essentiële of belangrijke entiteit is, kan contractueel beveiligingsmaatregelen, aantoonbaarheid of zelfs een vragenlijst of audit-traject opleggen. Dat is geen coulance van de klant, maar een verplichting die de klant zelf vanuit de wet draagt. Organisaties die vooral als toeleverancier werken — softwareleveranciers, IT-dienstverleners, facilitaire partijen — doen er daarom goed aan om niet alleen de eigen drempel te checken, maar ook te kijken of hun grootste klanten zelf onder de wet vallen. Voor IT-dienstverleners en MSP's specifiek is dit vraagstuk nog directer, omdat een deel van deze sector ook rechtstreeks — niet alleen via de keten — onder de wet kan vallen; lees specifiek als IT-dienstverlener of MSP hoe dat voor uw type dienstverlening uitpakt. Meer over de precieze werking van deze verplichting staat op de toeleveranciers-pagina van het NCSC.

Specifiek voor het MKB

Voor het MKB is de eerste reactie op deze wet vaak: "dit is voor grote bedrijven, niet voor ons." Die aanname is riskant. De drempel voor belangrijke entiteit — 50 medewerkers, óf een omzet of balanstotaal boven €10 miljoen — ligt voor een substantieel deel van het Nederlandse MKB binnen bereik, zeker bij bedrijven met een hogere omzet per medewerker (denk aan IT, professionele dienstverlening en groothandel), waar de financiële grens eerder wordt gehaald dan de personeelsgrens.

Daar komt de ketenverplichting bovenop: ook een MKB-bedrijf dat zelf ruim onder alle drempels blijft, kan als leverancier van een grotere, wél in-scope klant met vergelijkbare eisen te maken krijgen — niet omdat de wet dat bedrijf rechtstreeks aanwijst, maar omdat de klant die eisen contractueel doorlegt. Voor een MKB-onderneming is de praktische vraag dus zelden alleen "val ik onder de wet", maar ook "vraagt een van mijn belangrijkste klanten hier straks om, ook als ik er zelf niet onder val."

Goed nieuws voor MKB-organisaties die al met ISO 27001 werken: een bestaand ISMS dekt een groot deel van de onderliggende zorgplicht-maatregelen al af. De zelftoets hierboven blijft echter nodig om te bepalen óf, en in welke categorie, uw organisatie specifiek onder de Cyberbeveiligingswet zelf valt — dat is een aparte vraag naast de vraag of uw beveiligingsniveau al op orde is.

Wat als u twijfelt?

Twijfel na het doorlopen van bovenstaande criteria is normaal — de wet is met opzet risicogebaseerd en niet met een simpel ja/nee-vinkje ontworpen. Een paar concrete vervolgstappen:

Doe de toets met echte cijfers. Haal uw actuele medewerkersaantal, jaaromzet en balanstotaal erbij voordat u een conclusie trekt — een schatting "op gevoel" is precies waar de meest voorkomende zelftoets-fouten ontstaan: alleen naar medewerkers kijken, of een sector te snel als "niet van toepassing" afschrijven, zoals hierboven beschreven. Ondernemersplein biedt een eigen zelftoets waarmee u dit voor uw eigen organisatie kunt narekenen; deze pagina en die toets zijn met opzet gebaseerd op dezelfde officiële drempelwaarden.

Valt u er (mogelijk) onder? Dan is de volgende logische stap niet meteen een volledig programma optuigen, maar eerst scherp krijgen wát er precies ontbreekt. Een logische vervolgstap is een gap-analyse laten uitvoeren, zodat u ziet waar u al aan de zorgplicht voldoet en waar niet. Let ook op de ingangsdatum en tijdlijn — de wet kent geen overgangsperiode, dus wachten met de zelftoets is geen neutrale keuze.

Hoe groot is de groep die dit aangaat? Volgens Digitale Overheid vallen ruim 8.000 organisaties direct onder de wet; andere bronnen noemen een aantal richting de 10.000. Dat verschil komt doordat tellingen op net iets andere criteria of peildata zijn gebaseerd — behandel het dus als een indicatie van de orde van grootte, niet als een exact cijfer, en laat het zwaartepunt van uw beslissing bij uw eigen, concrete cijfers liggen, niet bij een landelijk totaal.

Blijft u ondanks de bovenstaande criteria onzeker — bijvoorbeeld bij een complexere groepsstructuur, meerdere vestigingen, of een sector die niet één-op-één op de lijst past — dan is een onafhankelijke, vrijblijvende doorspraak vaak sneller dan zelf blijven puzzelen. Secrotec ondersteunt organisaties bij NIS2-voorbereiding, van de eerste zelftoets tot een volledige gap-analyse. Vraag een audit-scan aan en bespreek uw specifieke situatie.

NCSC — Cyberbeveiligingswet en NIS2 (officiële bron).