Cyberbeveiligingswet (NIS2) in gewone taal: dit is wat je moet doen

We schreven al eerder over de NIS2-richtlijn. XIXO merkt dat veel relaties door de bomen het bos niet meer zien. In dit artikel geven we daarom een kort en helder overzicht.

Op 15 april jongstleden werden in de Tweede kamer wetsvoorstellen aangenomen voor de Cyberbeveiligingswet (Cbw) en de Wet weerbaarheid kritieke entiteiten (Wwke). De regering streeft ernaar deze in het tweede kwart van 2026 in werking te laten treden. Of dit gaat lukken hangt af van wat er met de voorstellen gebeurt in de Eerste Kamer. Om een snelle invoering mogelijk te maken wordt ondertussen al wel gewerkt aan de onderliggende regelgeving.

Wat zijn de verplichtingen onder de Cyberbeveiligingswet?

1. Registratieplicht

Organisaties die onder de Cbw vallen zijn verplicht zich te registreren in het nationale entiteitenregister. Dit register wordt in Nederland beheerd via Mijn.NCSC.nl. Je bent zelf verantwoordelijk voor het tijdig inschrijven van je organisatie in het register van het juiste land. Ook zorg je ervoor dat je gegevens actueel blijven.

1. Check via NIS2 Zelfevaluatie NL of je dient te registreren. Zo ja, ga door naar punt 2.

2. Registreer je via https://mijn.ncsc.nl/

Meer informatie vind je op de site van de RDI.

Als je geregistreerd bent, ontvang je informatie over cyberdreigingen.

2. Meldplicht

De Cyberbeveiligingswet schrijft voor dat entiteiten significante cyberincidenten moeten melden bij hun Computer Security Incident Response Team (CSIRT) en hun toezichthouder. Om te voorkomen dat deze melding door entiteiten dubbel moet worden gedaan, gebeurt dit via het NCSC-portaal.

Een digitaal beveiligingsincident is significant als deze grote gevolgen heeft of kan hebben voor de dienstverlening van een organisatie. Algemeen als het:

• een ernstige operationele verstoring van de diensten of financiële verliezen voor de betrokken organisatie veroorzaakt of kan veroorzaken;
• andere organisaties heeft getroffen of kan treffen door aanzienlijke materiële of immateriële schade te veroorzaken.

Meer informatie vind je hier. Dit is een overzicht van de stappen die je moet nemen als je een melding doet (pdf).

3. Zorgplicht

Organisaties die onder de Cyberbeveiligingswet (Cbw) vallen, hebben een zorgplicht. Dit betekent dat je zelf passende maatregelen moet nemen om de continuïteit van je diensten zoveel mogelijk te waarborgen en de informatie die je gebruikt, te beschermen. Je moet risico’s onderzoeken, beleid vastleggen en zorgen dat de beveiliging op orde blijft. Daarbij heeft ook het bestuur een duidelijke rol: die moet instemmen met de keuzes, en zorgen dat er voldoende middelen beschikbaar zijn.

Artikel 21 van NIS2 schrijft tien zorgplichtmaatregelen voor. Risicogebaseerd, dus afhankelijk van je sector en omvang. Op de website van het NCSC vind je een uitgebreide beschrijving bij elk van de maatregelen.

1. Maak een risicoanalyse
2. Richt Incident Response in
3. Bereid je voor op uitval
4. Maak je toeleveringsketen veilig
5. Zorg dat cyberhygiëne op orde is
6. Beveilig netwerk- en informatiesystemen
7. Versterk de beveiliging op het gebied van personeel, toegang en assetbeheer
8. Gebruik passkeys voor authenticatie
9. Stel cryptografiebeleid op
10. Beoordeel de effectiviteit van maatregelen

Meer informatie over de zorgplicht vind je op de site van de RDI.

Wat kan XIXO betekenen?

Er is veel wat we voor je kunnen doen. Hieronder een kort overzicht:

Nr.	Zorgplichtmaatregel	Wat kan XIXO verzorgen?
1	Risicoanalyse en informatiebeveiligingsbeleid	Vulnerability assessments, asset-discovery, beleidsontwikkeling samen met security officer
2	Incidentafhandeling	24/7 SOC, analyzer voor logging en forensics, incident response runbooks
3	Bedrijfscontinuïteit, back-up en crisisbeheer	Immutable back-up, S3 Object Lock, 3-2-1-1-0 strategie, restore tests en DR-draaiboek
4	Beveiliging van je toeleveringsketen	Leveranciersbeoordeling, contractuele securitybijlages, Secure Score voor SaaS-leveranciers
5	Veiligheid bij aanschaf, ontwikkeling en onderhoud	Patchmanagement, hardening van de omgeving, secure baseline configuraties
6	Effectiviteit beoordelen van risicomaatregelen	Periodieke security reviews, penetratietests via partners, analyzer rapportages, KPI dashboard
7	Cyberhygiëne en training	Attack Simulator phishingcampagnes, awarenesstrainingen, bestuurdersopleiding NIS2
8	Cryptografie en encryptie	Bitlocker en Microsoft Purview information Protection, IPsec/SSL-VPN, certificaatbeheer
9	Personeelsbeveiliging, toegangsbeleid en assetbeheer	Conditional access, MFA, Privileged Identity Management, UEM voor assets
10	Multifactor authenticatie en beveiligde communicatie	Verplichte MFA, beveiligde e-mail, SD-WAN

Dit is een flinke lijst. Maar we zijn natuurlijk een ICT-partner, geen advocatenkantoor en ook geen geaccrediteerde auditor. Eerlijkheid over de scope voorkomt teleurstellingen later. Hieronder een kort overzicht van wat we doen, en niet doen:

Wat XIXO levert	Wat buiten onze scope valt
GAP-analyse tegen de 10 zorgplichtmaatregelen (zie tabel hierboven) Technische implementatie (firewalls, identity, back-up, endpoint) Beleidsdocumenten en runbooks (template-based) Awareness-trainingen en phishing-simulaties Incident response-ondersteuning en CSIRT-coördinatie Managed services en periodieke audits	Juridisch advies (verwijzing naar een gespecialiseerd ICT-recht kantoor) Formele NIS2-certificering of audit (uitgevoerd door geaccrediteerde partij) Jouw eigen bestuurlijke besluitvorming en aansprakelijkheid OT/SCADA-beveiliging in industriële omgevingen (op aanvraag via partners)

Gratis intakegesprek

Plan een gratis intakegesprek van 60 minuten met je XIXO accountmanager waarin we gezamenlijk jouw plan van aanpak doornemen.