--- title: "NIS2 en de Cyberbeveiligingswet: wie valt eronder?" description: "NIS2 (Network and Information Security 2) is een Europese richtlijn met cyberbeveiligingseisen voor organisaties in kritieke sectoren." canonical: https://www.keurigonline.nl/begrippenlijst/nis2 last_modified: 2025-12-18 --- [Terug naar begrippenlijst](https://www.keurigonline.nl/begrippenlijst) # NIS2 NIS2 (Network and Information Security 2) is een Europese richtlijn met cyberbeveiligingseisen voor organisaties in kritieke sectoren. NIS2 is de Europese richtlijn (EU) 2022/2555 die organisaties in kritieke sectoren verplicht hun netwerken en informatiesystemen goed te beveiligen. Nederland heeft NIS2 omgezet in de Cyberbeveiligingswet (Cbw). Die wet is op 15 augustus 2026 in werking getreden (stand op 22 oktober 2026) en vervangt de Wet beveiliging netwerk- en informatiesystemen (Wbni). Je sector en je omvang bepalen of de wet voor je geldt. De wet noemt achttien sectoren, van energie en zorg tot digitale infrastructuur, waaronder ook cloud- en datacenterdiensten vallen. Meestal geldt de wet vanaf 50 medewerkers, of bij minder medewerkers als zowel de jaaromzet als het balanstotaal boven 10 miljoen euro ligt. DNS-dienstverleners en registers voor topleveldomeinen vallen er altijd onder. Volgens de overheid gaat het om ruim 8.000 organisaties. Wie eronder valt, moet zich registreren bij het NCSC, een risicoanalyse maken en passende maatregelen nemen. Een significant incident meld je binnen 24 uur met een eerste waarschuwing, binnen 72 uur volgt een melding en binnen een maand een eindverslag. Het bestuur keurt de maatregelen goed en is zelf verantwoordelijk. De richtlijn eist boetes tot minstens 10 miljoen euro of 2 procent van de wereldwijde jaaromzet voor essentiële entiteiten. Een gewone mkb-website valt meestal niet onder de wet, maar de Cbw kan je toch raken als toeleverancier. Cbw-organisaties moeten ook de risico's bij hun rechtstreekse leveranciers beheersen, dus een webbouwer of IT-dienstverlener van zo'n organisatie kan vragen krijgen over beveiliging en afspraken. Twijfel je of de wet voor je organisatie geldt, doe dan de NIS2-zelfevaluatie van de RDI, waarnaar het NCSC verwijst. ## Geschiedenis NIS2 volgt de eerste NIS-richtlijn uit 2016 op, die in Nederland in de Wbni terechtkwam. Omdat lidstaten die eerste richtlijn heel verschillend toepasten, verbreedde de EU met [richtlijn (EU) 2022/2555](https://eur-lex.europa.eu/legal-content/NL/TXT/HTML/?uri=CELEX:32022L2555) het aantal sectoren en maakte ze de regels strenger. Lidstaten moesten de richtlijn uiterlijk 17 oktober 2024 in nationale wetgeving omzetten. Nederland haalde die datum niet: de Eerste Kamer nam de Cyberbeveiligingswet op 7 juli 2026 aan, en de wet geldt sinds 15 augustus 2026 ([Staatsblad 2026, 187](https://zoek.officielebekendmakingen.nl/stb-2026-187.html)). Belangrijke mijlpalen: - **2016:** de eerste NIS-richtlijn, (EU) 2016/1148 - **14 december 2022:** NIS2 wordt vastgesteld; de richtlijn geldt vanaf 16 januari 2023 - **17 oktober 2024:** uiterste datum om NIS2 om te zetten - **15 augustus 2026:** de [Cyberbeveiligingswet](https://www.rijksoverheid.nl/actueel/nieuws/2026/07/07/cyberbeveiligingswet-en-wet-weerbaarheid-kritieke-entiteiten-vanaf-15-augustus-2026-van-kracht) treedt in Nederland in werking ## Bronnen 1. **EUR-Lex (2022)** - [Richtlijn (EU) 2022/2555 (NIS2-richtlijn)](https://eur-lex.europa.eu/legal-content/NL/TXT/HTML/?uri=CELEX:32022L2555) 2. **NCSC** - [Cyberbeveiligingswet (NIS2)](https://www.ncsc.nl/cyberbeveiligingswet-nis2) 3. **NCSC** - [Valt mijn organisatie onder de Cyberbeveiligingswet (NIS2)?](https://www.ncsc.nl/cyberbeveiligingswet-nis2/valt-mijn-organisatie-onder-de-cyberbeveiligingswet-nis2) 4. **NCSC** - [De Cyberbeveiligingswet en toeleveranciers](https://www.ncsc.nl/cyberbeveiligingswet-nis2/de-cyberbeveiligingswet-en-toeleveranciers) 5. **Rijksoverheid (2026)** - [Cyberbeveiligingswet en Wet weerbaarheid kritieke entiteiten vanaf 15 augustus 2026 van kracht](https://www.rijksoverheid.nl/actueel/nieuws/2026/07/07/cyberbeveiligingswet-en-wet-weerbaarheid-kritieke-entiteiten-vanaf-15-augustus-2026-van-kracht) ## Gerelateerde artikelen E-mail 11 aug 2026 [Phishing e-mail uit naam van KeurigOnline: let op](https://www.keurigonline.nl/blog/waarschuwing-phishing-e-mails-in-omloop) KeurigOnline vraagt je nooit via e-mail om je wachtwoord in te voeren, je account te "registreren" of berichten "vrij te geven" via een link. Twijfel je over een e-mail die zogenaamd van ons komt? Log dan rechtstreeks in via [KeurigOnline](https://www.keurigonline.nl) of neem contact op via een kanaal dat je zelf hebt opgezocht, nooit via een link of telefoonnummer uit de verdachte mail. Wil je je domein en mail structureel beter beschermen tegen dit soort spoofing en gerichte aanvallen? Bekijk het [stappenplan voor phishing-herkenning](https://www.keurigonline.nl/blog/website-beveiliging-phishing-ai), lees wat [de NIS2-meldplicht](https://www.keurigonline.nl/blog/wdrp-en-nis2) voor jouw domein betekent, en zorg dat ook je [inlogbeveiliging tegen aanvallen](https://www.keurigonline.nl/blog/website-inlogbeveiliging-aanvallen) op orde is. Deze waarschuwing is voor het laatst bijgewerkt op 11 augustus 2026, naar aanleiding van een actieve campagne die op dat moment liep. Beveiliging 22 jun 2026 [MKB website beveiliging checklist 2026: praktische roadmap](https://www.keurigonline.nl/blog/mkb-website-beveiliging-checklist-2026) - **Minimum Viable Company**: de focus verschuift van "voorkomen" naar "doorwerken bij een incident". Plan nu wat er minimaal overeind moet blijven als het misgaat. Daar komt de juridische context bij: de Cyberbeveiligingswet (de Nederlandse NIS2-implementatie) is op 15 april 2026 aangenomen door de Tweede Kamer en treedt naar verwachting op 1 juli 2026 in werking, zonder overgangstermijn.[\[8\]](https://www.rijksoverheid.nl/actueel/nieuws/2026/04/15/tweede-kamer-stemt-in-met-wetsvoorstellen-cyberbeveiligingswet-en-wet-weerbaarheid-kritieke-entiteiten) Session hijacking steeg daarboven op in 180 dagen tijd met 23%; een aanvalsvorm die zelfs goed ingestelde MFA omzeilt.[\[3\]](https://www.techzine.nl/nieuws/security/577564/bijna-iedere-mkber-heeft-minimaal-een-gecompromitteerde-user/) De centrale boodschap: basishygiëne stopt meer dan 90% van aanvallen. De investering is minimaal; de impact maximaal. ## De beveiligingslagen van een MKB-website E-mail 22 jun 2026 [Eigen mailserver versus hosting: voor- en nadelen 2026](https://www.keurigonline.nl/blog/eigen-mailserver-versus-hosting) Het gevolg is zichtbaar in de cijfers: bijna 17% van alle e-mail komt momenteel niet aan door DNS-misconfiguraties en authenticatiefouten.[\[3\]](https://jorijn.com/nl/blog/eigen-mailserver-2026/) Voor een eigen mailserver zonder volledige DNS-suite daalt inbox placement vrijwel onmiddellijk naar nul. Daar komt een wettelijke verplichting bij. Per 1 juli 2026 zijn SPF, DKIM en DMARC verplichte technische beveiligingsmaatregelen onder Artikel 21 van de Cyberbeveiligingswet (de Nederlandse implementatie van NIS2). Niet alleen voor essentiële entiteiten, maar ook voor MKB-leveranciers in hun toeleveringsketen: opdrachtgevers in essentiële sectoren nemen e-mailbeveiliging op als inkoopvereiste.[\[5\]](https://samendigitaalveilig.nl/nieuws/gevaarlijke-e-mails-tussen-nis2-organisaties-en-hun-leveranciers/) Dit geldt voor zowel eigen servers als gehoste mailboxen: de DNS-records stel je zelf in, ongeacht wie de server beheert. Een goede [DNS-configuratie voor je domein](https://www.keurigonline.nl/blog/alle-domeinnamen-gemigreerd-naar-nieuw-dns-cluster) is de kritieke variabele, bij elke oplossing die je kiest. ## Eigen mailserver: voordelen