Checklist: 5 vragen om te bepalen of je onder de wet valt
Loop de vragen hieronder na. Hoe meer je met "ja" beantwoordt, hoe groter de kans dat jouw bedrijf onder de Cyberbeveiligingswet valt.
1. Werk je in een aangewezen sector?
Denk aan energie, transport/logistiek, drinkwater, digitale infrastructuur, financiële dienstverlening, gezondheidszorg, overheid, productie van kritieke goederen, of digitale dienstverleners (cloud, datacenters, managed service providers).
Denk aan energie, transport/logistiek, drinkwater, digitale infrastructuur, financiële dienstverlening, gezondheidszorg, overheid, productie van kritieke goederen, of digitale dienstverleners (cloud, datacenters, managed service providers).
2. Heeft je bedrijf 50 of meer medewerkers?
Of een jaaromzet/balanstotaal van €10 miljoen of meer? De wet richt zich primair op middelgrote en grote ondernemingen, niet op eenmanszaken of kleine zzp-bedrijven.
Of een jaaromzet/balanstotaal van €10 miljoen of meer? De wet richt zich primair op middelgrote en grote ondernemingen, niet op eenmanszaken of kleine zzp-bedrijven.
3. Lever je diensten aan andere bedrijven binnen kritieke sectoren?
Ook toeleveranciers en dienstverleners van essentiële/belangrijke entiteiten kunnen indirect eisen opgelegd krijgen via contractuele ketenverantwoordelijkheid.
Ook toeleveranciers en dienstverleners van essentiële/belangrijke entiteiten kunnen indirect eisen opgelegd krijgen via contractuele ketenverantwoordelijkheid.
4. Verwerk je gevoelige klant- of bedrijfsdata online?
Ook als je formeel net onder de drempel valt, is dit een indicatie dat digitale weerbaarheid sowieso verstandig is — vaak vragen klanten en partners er zelf al om.
Ook als je formeel net onder de drempel valt, is dit een indicatie dat digitale weerbaarheid sowieso verstandig is — vaak vragen klanten en partners er zelf al om.
5. Heb je momenteel geen concreet zicht op je eigen kwetsbaarheden?
Geen recente security-scan, geen actuele header-configuratie, geen incident-responsplan? Dan loop je sowieso risico, los van of de wet je verplicht.
Geen recente security-scan, geen actuele header-configuratie, geen incident-responsplan? Dan loop je sowieso risico, los van of de wet je verplicht.
Wat betekent het als je onder de wet valt?
Organisaties die onder de Cyberbeveiligingswet vallen, krijgen te maken met een zorgplicht (aantoonbaar passende beveiligingsmaatregelen nemen) en een meldplicht (significante incidenten binnen een vaste termijn melden bij de toezichthouder). Niet voldoen kan leiden tot handhaving en boetes, vergelijkbaar met de AVG-structuur.
Twijfel je nog?
De exacte toepasselijkheid hangt af van je specifieke sector-classificatie en cijfers — raadpleeg bij twijfel een jurist gespecialiseerd in NIS2. Wat je wél zelf nu al kunt doen, ongeacht de uitkomst: een gratis security scan laten uitvoeren om te zien waar de basis nog niet op orde is.