De Cyberbeveiligingswet geldt. Val je eronder, en wat kost het?

Twee maanden, en geen overgangstermijn

Op 15 augustus 2026 zijn de Cyberbeveiligingswet en de Wet weerbaarheid kritieke entiteiten in werking getreden. Vanaf die dag gelden de registratieplicht, de zorgplicht en de meldplicht. Er zat geen fase tussen waarin de verplichtingen al bestonden maar nog niet handhaafbaar waren.

Dat is ongebruikelijk genoeg om op te merken. Bij veel nieuwe regelgeving is er een jaar om het op orde te krijgen, en dat jaar is hier niet gegeven. Wie vandaag begint, begint dus niet te vroeg.

De boete die overal wordt geciteerd is niet het plafond

Tien miljoen euro. Dat getal staat in vrijwel elke samenvatting, en het staat ook echt in de wettekst. Alleen staat er iets achter wat meestal wegvalt.

• Essentiële entiteiten, artikel 80 lid 3 onder a: bij overtreding van de zorgplicht (artikel 21) en de meldplicht (artikelen 25 tot en met 30) ten hoogste 10 miljoen euro of 2 procent van de totale wereldwijde jaaromzet over het voorgaande boekjaar, als dat hoger is.
• Belangrijke entiteiten, artikel 87 lid 3 onder a: voor diezelfde categorie ten hoogste 7 miljoen euro of 1,4 procent, als dat hoger is.

Let op dat woord of. Het vaste bedrag is geen plafond maar een bodem eronder: het is het hoogste van de twee. Voor een organisatie met een half miljard omzet is 2 procent precies tien miljoen, en daarboven telt alleen het percentage nog. Een concern van vijf miljard kijkt dus niet naar tien miljoen maar naar honderd. Wie “maximaal tien miljoen” zegt, noemt de ondergrens van het maximum.

Dat maakt het ook het verkeerde getal om mee te rekenen. Een percentage schaalt mee met de organisatie die het leest; een vast bedrag is voor de meeste lezers te hoog of te laag, en nooit het hunne.

En het hoort niet bij het register

Tweede plek waar de samenvattingen de bocht afsnijden. De wet kent namelijk twee bakken, en het register zit in de andere.

Artikel 80 lid 3 onder a noemt alleen de artikelen 21, 21a en 25 tot en met 30: de zorgplicht en de meldplicht. De informatieverstrekking voor het nationale register staat in artikel 44 en komt in dat rijtje niet voor. Niet registreren valt daarmee onder lid 3 onder b: ten hoogste 1 miljoen euro, zonder percentage ernaast. Bij belangrijke entiteiten staat dezelfde grens in artikel 87 lid 3 onder b.

Een miljoen is geen kleingeld. Maar het is niet tien miljoen en het is geen percentage, en het verschil doet ertoe zodra je het in een directiekamer gebruikt. Wie met het hoogste bedrag binnenkomt voor een verplichting waar het niet bij hoort, krijgt dat de volgende keer terug: *vorige keer zei je ook tien miljoen*. Dat kost je meer dan het argument waard was.

De bestuurder staat er persoonlijk in

Het deel dat in samenvattingen vrijwel altijd ontbreekt, en dat in een directiekamer het hardst aankomt.

• Artikel 93: een lid van het bestuur van een essentiële of belangrijke entiteit kan persoonlijk een bestuurlijke boete krijgen van ten hoogste 25.000 euro, onder meer bij overtreding van artikel 24, dat gaat over de kennis, vaardigheden en scholing van bestuursleden.
• Artikel 78: bij essentiële entiteiten kan worden verzocht om schorsing van leden van het bestuur.

Vijfentwintigduizend euro is naast een percentage van de omzet een klein bedrag, en het is het bedrag dat het gesprek verandert. Een boete voor de vennootschap is een post op een resultatenrekening. Een boete op naam is iets anders, en een verzoek tot schorsing is iets heel anders. Het is ook de reden dat scholing van bestuurders in deze wet geen zachte bepaling is maar een beboetbare, wat aansluit op wat we eerder schreven over van kennis naar aantoonbare weerbaarheid.

Val je eronder? Drie vragen

Je hoeft geen compliancetraject te starten om dit te weten. Drie vragen, in deze volgorde, en de meeste organisaties zijn er in een uur uit.

1. Welke dienst beoordeel je? Niet de rechtspersoon maar de dienst die je levert. Dit is de stap die het vaakst wordt overgeslagen en de duurste: een bedrijf met drie diensten kan drie verschillende uitkomsten hebben, en dat is geen fout maar het systeem.
2. Valt die dienst onder bijlage 1, bijlage 2 of geen van beide? Bijlage 1 zijn de sectoren met hoge kriticaliteit, bijlage 2 de andere kritieke sectoren. Een dienst die in geen van beide staat, valt er niet onder, en ook dat is een uitkomst die je opschrijft.
3. Welke omvangklasse hoor je bij? Gerekend over medewerkers, jaaromzet en balanstotaal, en inclusief partner- en verbonden ondernemingen. Hier zit de verrassing voor bedrijven in een groep: je telt niet alleen jezelf.

Daaruit volgt de uitkomst. Grote organisaties uit bijlage 1 zijn essentieel. Middelgrote uit bijlage 1 en middelgrote en grote uit bijlage 2 zijn belangrijk. Overheidsorganisaties zijn essentieel en kennen geen omvangcriterium. Op die hoofdregel staan uitzonderingen die je eerst moet nalopen, want ze zetten de omvangstap buitenspel:

• Aanbieders van openbare elektronische communicatienetwerken en -diensten, (gekwalificeerde) vertrouwensdienstverleners, topleveldomeinregisters, DNS-dienstverleners, domeinnaamregistratiediensten en overheidsorganisaties vallen eronder ongeacht omvang.
• Wie onder de Wet weerbaarheid kritieke entiteiten is aangewezen als kritieke entiteit, is van rechtswege essentieel. Die aanwijzing komt van buiten en overschrijft wat je zelf had geconcludeerd.
• Micro- en kleinbedrijven vallen in beginsel niet onder de wet, maar een vakminister kan er op basis van een risicobeoordeling alsnog een aanwijzen.

De zelfevaluatietool van de overheid geeft hier een eerste indicatie en is de moeite waard: regelhulpenvoorbedrijven.nl. Hij heeft geen juridische status, net zomin als de quickscan en het control framework die ernaast circuleren, en hij kent je groepsstructuur niet. De verantwoordelijkheid voor de eigen beoordeling blijft bij de organisatie.

Waarom “belangrijk” geen geruststelling is

Het is de meest voorkomende misvatting, en hij is begrijpelijk: het ene woord klinkt zwaarder dan het andere. Maar registratieplicht, zorgplicht en meldplicht gelden voor allebei, en in dezelfde vorm.

Het verschil zit in het toezicht. Op essentiële entiteiten wordt proactief toegezien: er wordt gekeken of je het op orde hebt, ook zonder dat er iets is gebeurd. Op belangrijke entiteiten wordt reactief toegezien: er wordt gekeken als er aanleiding toe is. Dat is een verschil in de agenda van de toezichthouder, niet in wat er bij jou moet liggen.

Het bewijs is de onderbouwing, niet de bevestiging

Een schermafdruk van je registratie bewijst dat je een formulier hebt ingevuld. Het is het enige stuk bewijs dat vrijwel elke organisatie wél heeft, en het beantwoordt de vraag niet die gesteld kan worden.

Die vraag is: waarom kwamen jullie tot deze indeling. Welke dienst, welke bijlage, welke cijfers over welk boekjaar, wie heeft dat besloten, en wanneer wordt het opnieuw bekeken. Zes antwoorden, en ze passen op één pagina. Ze bestaan alleen als iemand ze heeft opgeschreven op het moment dat het besluit viel, en in de meeste organisaties is dat besluit nooit als besluit genomen: het is afgeleid, door degene die het formulier voor zich had, op een middag, zonder dat iemand meekeek.

Hier zit de stille fout. De indeling is een momentopname van het jaar waarin je hem maakte, en bijna alles wat hem laat kantelen gebeurt zonder dat iemand aan deze wet denkt: een jaar groei dat je over een drempel tilt, een nieuwe dienst onder een andere bijlage, een overname waardoor je opeens meetelt met een moeder, een aanwijzing onder de Wwke. Een indeling zonder herzieningsdatum is een conclusie die stil blijft staan terwijl het bedrijf doorloopt.

En dat besluit hoort niet bij IT. Het gaat over welke diensten je levert en hoe groot je bent, en die kennis zit bij directie en financiën. Eén naam op het blad dus, en die persoon weet dat zijn naam er staat. Dat laatste is geen formaliteit: een eigenaar die het niet weet, is geen eigenaar.

Twee velden die verouderen terwijl je niets doet

De verplichting stopt niet bij registreren. Artikel 44 lid 2 zegt dat je een wijziging in de geregistreerde gegevens onverwijld doorgeeft, en in elk geval binnen twee weken na de datum van de wijziging.

Twee weken. Dat is korter dan de meeste organisaties nodig hebben om te merken dát er iets veranderd is. Het gaat om je naam en adres, je contactgegevens inclusief e-mailadressen, IP-reeksen en telefoonnummers, je sectoren en subsectoren, en de lidstaten waar je onder bijlage 1 of 2 vallende diensten levert.

Lees dat rijtje nog eens met je eigen organisatie ernaast. Een nieuw IP-blok, een doorkiesnummer dat vervalt, een securityteam dat van postbus wisselt, de eerste klant in België: stuk voor stuk wijzigingen die worden doorgevoerd door iemand die nog nooit van artikel 44 heeft gehoord. Dit is geen boete die je oploopt door nalatigheid, maar door organisatie. En het hangt samen met de meldplicht: als je binnen vierentwintig uur een vroegtijdige waarschuwing moet kunnen afgeven, moet het kanaal werken en moet de persoon bestaan. Dezelfde oefening als in de vijf vragen voor morgenochtend, een stap eerder.

Wat een boete niet is

Een bedrag is een aanleiding om iets te lezen, geen reden om iets te doen. Wie zijn beveiliging begroot op het hoogste boetebedrag dat hij kan vinden, bouwt een argument dat omvalt zodra iemand vraagt hoe waarschijnlijk die boete is. En dat is een eerlijke vraag, want toezicht op belangrijke entiteiten is reactief.

De betere reden staat een laag dieper en verandert niet met de hoogte van een boete. Een organisatie die niet weet of ze onder deze wet valt, weet ook niet wie er om drie uur 's nachts mag besluiten om iets stil te leggen, en weet niet van hoeveel leveranciers haar productie afhangt. De wet maakt die vragen afdwingbaar. Hij bedenkt ze niet.

Dat is ook waarom dit dezelfde vraag is als in onze andere twee domeinen. In OT heet scopebepaling zones en conduits: je kunt niets beschermen waarvan je de grens niet hebt getrokken. In AI-governance heet het de inventaris. Hier heet het de indeling van je entiteit. Drie keer: wat valt hieronder, wie heeft dat bepaald, en waarop steunt dat. Uitgewerkt in het hoeksteenartikel.

Veelgestelde vragen

Wij zitten onder de drempels. Hoeven we niets?

Voor de registratieplicht waarschijnlijk niet, maar schrijf dat besluit wél op, met de cijfers en het boekjaar erbij. Twee dingen kunnen het alsnog omdraaien: een vakminister kan een klein bedrijf aanwijzen op basis van een risicobeoordeling, en je groeit. Daarnaast komt de eis vaak langs de andere kant binnen, via een klant die wél onder de wet valt en zijn keten op orde moet hebben.

Geldt die 2 procent ook voor ons?

Voor de zorgplicht en de meldplicht wel, als je essentieel bent: artikel 80 lid 3 onder a noemt 10 miljoen euro of 2 procent van de wereldwijde jaaromzet, het hoogste van die twee. Ben je belangrijk, dan is het 7 miljoen of 1,4 procent. Voor andere overtredingen, waaronder het register, staat er ten hoogste 1 miljoen zonder percentage.

Onze klant is een essentiële entiteit. Moeten wij ons dan ook registreren?

Niet op die grond. De indeling gaat over jouw dienst en jouw omvang, niet over die van je klant. Wat wel gebeurt: je wordt onderdeel van zijn maatregelen voor ketenbeveiliging, en die komen als contractuele eisen bij je binnen. Dat is een ander gesprek, en het staat beschreven in het stuk over afhankelijkheid van een leverancier.

We zijn geregistreerd. Zijn we nu klaar?

Nee, en dat is de bedoeling van artikel 44 lid 2: een wijziging in je gegevens geef je onverwijld door, in elk geval binnen twee weken. Beleg dat bij één persoon met een vervanger, en koppel het aan de momenten waarop er iets verandert, want niemand controleert uit zichzelf een register.

Kan de boete echt bij een bestuurder persoonlijk terechtkomen?

Artikel 93 voorziet in een bestuurlijke boete van ten hoogste 25.000 euro voor een lid van het bestuur, onder meer bij overtreding van de bepalingen over kennis, vaardigheden en scholing van bestuursleden. Daarnaast kent artikel 78 bij essentiële entiteiten een verzoek tot schorsing van bestuursleden. Dit artikel is geen juridisch advies; laat de precieze reikwijdte door een jurist bevestigen.

Verandert de indeling als we groeien?

Ja, en dat is de reden dat het werkblad hieronder een herzieningsdatum heeft. Groei, een nieuwe dienst, een overname of een aanwijzing onder de Wwke kunnen de uitkomst laten kantelen. Zet de herbeoordeling op dezelfde lijst waar de fiscale en arbeidsrechtelijke gevolgen van een overname op staan; die lijst wordt wél gelezen.

Verder lezen

• Wettekst: Cyberbeveiligingswet, versie 15 augustus 2026
• NCTV: registratieplicht Cyberbeveiligingswet
• NCTV: welke organisaties vallen onder de Cyberbeveiligingswet
• RDI: veelgestelde vragen Cyberbeveiligingswet
• Zelfevaluatietool NIS2 (Regelhulpen voor bedrijven)
• EUR-Lex: Richtlijn (EU) 2022/2555 (NIS2)
• CyberBusters: van kennis naar aantoonbare weerbaarheid
• CyberBusters: het besluitpatroon achter OT, AI en NIS2

Wil je dit met je eigen team scherp krijgen, dan behandelt de PECB NIS 2 Foundation-opleiding de reikwijdte en de begrippen, en gaat de PECB NIS 2 Lead Implementer-opleiding over de maatregelen die hierop volgen.