Wat de registratieplicht precies is
De Cyberbeveiligingswet kent drie kernverplichtingen: registratieplicht, zorgplicht en meldplicht. De registratieplicht is de eerste en de meest concrete. Je schrijft je organisatie in in het nationale entiteitenregister dat het NCSC beheert, via mijn.ncsc.nl. Inloggen gaat met eHerkenning of, voor rijksorganisaties, met Single Sign On Rijk.
Twee dingen vallen op aan hoe de wetgever dit heeft ingericht:
- Je krijgt geen uitnodiging. De Rijksinspectie Digitale Infrastructuur en het NCSC schrijven het expliciet zo op: je bent zelf verantwoordelijk voor een tijdige registratie en voor het actueel houden van je gegevens.
- Er is geen overgangsperiode. De plicht geldt vanaf de dag van inwerkingtreding, 15 augustus 2026, en niet vanaf een later moment waarop je het toevallig ontdekt.
Naast essentiële en belangrijke entiteiten moeten ook domeinnaamregistratiediensten zich inschrijven. Het register is overigens geen openbare lijst: het is er voor het toezicht en voor de dienstverlening van het NCSC aan de organisaties zelf.
Welke gegevens je bij de hand moet hebben
De registratie kost weinig tijd als je de juiste informatie klaar hebt liggen. Het NCSC vraagt om:
- Organisatiegegevens, die grotendeels automatisch worden opgehaald op basis van je inlog
- De hoofd- en subsector waarin je valt, en de dienst of diensten die je levert
- De EU-lidstaten waarin je die diensten aanbiedt
- Het type entiteit: essentieel of belangrijk
- Contactgegevens, inclusief een aanspreekpunt dat bij een incident daadwerkelijk bereikbaar is
- Netwerkgegevens: publieke IP-adressen of IP-reeksen, domeinnamen en het AS-nummer, oftewel het ASN
Dat laatste blok is in de praktijk het struikelblok. Veel organisaties weten niet uit hun hoofd welke publieke IP-reeksen en domeinnamen bij hun diensten horen, vooral als hosting, mailrouting en applicaties bij verschillende partijen staan. Vraag die gegevens dus op bij je hostingpartij en je IT-beheerder voordat je het formulier opent. Houd de lijst daarna bij, want wijzigingen moet je binnen veertien dagen doorgeven. Een migratie naar een andere cloud of een nieuw domein is dus ook een registratiewijziging.
Hoe je weet of je onder de Cyberbeveiligingswet valt
De wet werkt met drie criteria: je sector, de omvang van je organisatie en de dienst die je levert. De Cbw wijst achttien sectoren aan, van energie, transport en drinkwater tot zorg, digitale infrastructuur, overheid, post, afvalbeheer, chemie, levensmiddelen, industrie en onderzoek.
Binnen die sectoren geldt de wet voor organisaties die minstens middelgroot zijn: vanaf vijftig medewerkers, of met een jaaromzet en balanstotaal boven de tien miljoen euro. Grote organisaties in de meest kritieke sectoren zijn essentiële entiteiten, de rest belangrijke entiteiten. Inhoudelijk hebben beide groepen dezelfde verplichtingen; het verschil zit in het toezicht, dat bij essentiële entiteiten proactief is en bij belangrijke entiteiten vooral reactief, dus na een incident of een signaal.
Weet je niet zeker of je eronder valt, gebruik dan de zelfevaluatie van de Rijksoverheid en lees ons overzicht over voor wie NIS2 verplicht is en wanneer. Val je er niet onder, dan is je werk niet klaar: via de ketenverplichting van je klanten krijg je de eisen alsnog voorgelegd. Dat werken we uit in wat de Cyberbeveiligingswet betekent voor je softwareleveranciers.
Duizenden organisaties staan nog niet in het register
Kort na de inwerkingtreding waren ongeveer 3.200 van de ruim 8.000 organisaties ingeschreven. Weken later ontbrak nog een aanzienlijk deel. De oorzaken die in de praktijk langskomen zijn bijna altijd dezelfde drie:
- De organisatie denkt dat de wet alleen over vitale infrastructuur gaat en checkt niet of zij er zelf onder valt
- Niemand is formeel eigenaar van het dossier, waardoor het tussen IT, juridische zaken en de directie blijft hangen
- De benodigde netwerkgegevens zijn niet op één plek beschikbaar, waardoor de inschrijving halverwege blijft liggen
Het toezicht is verdeeld over sectorale toezichthouders, met een centrale rol voor de Rijksinspectie Digitale Infrastructuur. Zij kunnen handhavend optreden met bindende aanwijzingen en een last onder dwangsom. De bestuurlijke boetes zijn niet symbolisch: voor essentiële entiteiten tot tien miljoen euro of twee procent van de wereldwijde jaaromzet, voor belangrijke entiteiten tot zeven miljoen euro of 1,4 procent. Daarbij geldt het hoogste bedrag. Even belangrijk: de verantwoordelijkheid ligt expliciet bij het bestuur. Bestuurders moeten de maatregelen goedkeuren, toezien op de uitvoering en zich laten bijscholen.
Registratie is stap een, zorgplicht en meldplicht volgen direct
Met een vinkje in het register ben je niet compliant. De zorgplicht vraagt om een risicoanalyse en passende, evenredige maatregelen voor je netwerk- en informatiesystemen: beleid voor risicobeheer en incidentafhandeling, bedrijfscontinuïteit, toegangsbeheer, beveiliging van de toeleveringsketen en bewustwording bij medewerkers.
De meldplicht kent harde termijnen. Een significant incident meld je zo snel mogelijk en uiterlijk binnen 24 uur als vroegtijdige waarschuwing, binnen 72 uur volgt de incidentmelding en uiterlijk een maand na die melding het eindverslag. Drempelwaarden voor wat significant is verschillen per sector. Dat betekent dat je nu moet weten wie er binnen 24 uur mag melden, met welke gegevens en via welk kanaal. Een meldprocedure die pas tijdens een incident wordt bedacht, haalt die termijn niet.
Overweeg je om je maatregelen aantoonbaar te maken voor klanten, dan is het nuttig om te weten wanneer een keurmerk helpt en wanneer een norm logischer is. Dat zetten we naast elkaar in NIS2 Quality Mark: wat is het en heb je het nodig.
Wat dit betekent voor je software en je leveranciers
De registratie legt bloot hoe goed je je eigen digitale landschap kent. Wie moeite heeft met het invullen van IP-reeksen, domeinnamen en ASN heeft meestal ook geen compleet beeld van welke applicaties waar draaien, wie er toegang heeft en welke leverancier welk stuk beheert. Precies dat overzicht heb je nodig voor de zorgplicht en voor elke incidentmelding.
Drie dingen die we bij softwareontwikkeling standaard inrichten en die onder de Cbw direct nut hebben: logging waarmee je achteraf kunt vaststellen wat er is gebeurd, toegangsbeheer met rollen in plaats van gedeelde accounts, en een actueel overzicht van gebruikte componenten en koppelingen. Hoe wij zelf met informatiebeveiliging omgaan lees je in ontwikkelaar met ISO 27001.
Maak je zelf software, apps of apparatuur die je op de Europese markt aanbiedt, dan heb je sinds 11 september 2026 een tweede meldplicht, die uit de Cyber Resilience Act. Die staat los van de Cbw en heeft eigen termijnen, zie Cyber Resilience Act: de meldplicht sinds 11 september 2026.
Wil je weten waar je staat en wat er na de registratie nog openstaat, plan dan een vrijblijvend gesprek. We lopen je registratiegegevens, je meldprocedure en je softwarelandschap langs en benoemen wat er als eerste moet gebeuren.