Hoe registreer je je organisatie voor de Cyberbeveiligingswet?

Je registreert je organisatie voor de Cyberbeveiligingswet via het digitale registratieportaal van de aangewezen toezichthouder in jouw sector. De registratieplicht geldt voor organisaties die onder de NIS2-richtlijn vallen en dus ook onder de Nederlandse Cyberbeveiligingswet. In dit artikel beantwoorden we de meest gestelde vragen over de registratieprocedure, de deadlines en wat er op het spel staat als je te laat bent.

Welke organisaties zijn verplicht zich te registreren?

Organisaties die actief zijn in sectoren die de Cyberbeveiligingswet aanwijst als essentieel of belangrijk, zijn verplicht zich te registreren voor de NIS2-registratie. Dit geldt ongeacht of je als directeur, IT-manager of bestuurder al op de hoogte bent van de wet. De registratieplicht is geen keuze, maar een wettelijke verplichting die rechtstreeks voortvloeit uit de Europese NIS2-richtlijn.

De wet maakt onderscheid tussen twee categorieën:

• Essentiële entiteiten: grote organisaties in kritieke sectoren zoals energie, transport, drinkwater, gezondheidszorg, financiële infrastructuur en digitale infrastructuur. Zij vallen onder het zwaarste toezichtregime.
• Belangrijke entiteiten: middelgrote organisaties in dezelfde of aanverwante sectoren, waaronder ICT-dienstverlening, cloud- en digitale diensten, voedselproductie, logistiek en de maakindustrie.

Als vuistregel geldt: val je in een aangewezen sector en heb je meer dan 50 medewerkers of een jaaromzet van meer dan 10 miljoen euro, dan is de kans groot dat je onder de Cyberbeveiligingswet in Nederland valt. Maar ook kleinere organisaties die onderdeel zijn van de keten van NIS2-plichtige partijen, doen er verstandig aan hun positie te laten toetsen. Onzekerheid over je status is geen excuus voor het uitstellen van actie.

Waar en hoe verloopt de registratie in de praktijk?

De registratie voor de Cyberbeveiligingswet verloopt via een digitaal portaal dat door de bevoegde toezichthouder in jouw sector wordt beheerd. In Nederland is het Nationaal Cyber Security Centrum (NCSC) de centrale coördinerende partij, maar sectorspecifieke toezichthouders zoals de ACM, DNB of IGJ spelen ook een rol, afhankelijk van de branche waarin je actief bent.

In de praktijk doorloop je de volgende stappen:

1. Bepaal je categorie: Stel vast of je organisatie als essentieel of belangrijk wordt aangemerkt op basis van sector, omvang en activiteiten.
2. Verzamel de benodigde informatie: Denk aan organisatiegegevens, contactpersonen voor incidentmeldingen, een overzicht van je digitale diensten en informatie over je toeleveringsketen.
3. Registreer via het aangewezen portaal: Vul het registratieformulier volledig in en zorg dat de gegevens actueel en correct zijn.
4. Wijs een contactpunt aan: De wet vereist dat je een aanspreekpunt benoemt voor communicatie met toezichthouders, met name bij incidenten.
5. Houd je registratie actueel: Wijzigingen in je organisatie, diensten of contactpersonen moeten worden doorgegeven.

Belangrijk: de registratie is het beginpunt, niet het eindpunt. Het aanmelden geeft toezichthouders zicht op wie er onder de wet valt en maakt handhaving mogelijk. De inhoudelijke verplichtingen, zoals risicoanalyses en incidentmeldingen, gelden los van de registratie zelf.

Wat zijn de gevolgen als je te laat of niet registreert?

Wie zich niet of te laat registreert voor de Cyberbeveiligingswet, riskeert stevige sancties. De cybersecuritywetgeving voor bedrijven voorziet in aanzienlijke boetes: voor essentiële entiteiten kan dit oplopen tot 10 miljoen euro of 2% van de wereldwijde jaaromzet, voor belangrijke entiteiten tot 7 miljoen euro of 1,4% van de omzet. Bovendien worden bestuurders persoonlijk aansprakelijk gesteld voor naleving.

Naast financiële sancties zijn er ook operationele gevolgen. Toezichthouders kunnen een tijdelijk verbod opleggen op het uitoefenen van leidinggevende functies of aanvullende auditverplichtingen opleggen. Voor organisaties die werken met publieke opdrachtgevers of in ketens van grotere bedrijven, kan het ontbreken van aantoonbare compliance ook leiden tot het verliezen van contracten of aanbestedingen.

Het reputatierisico is minstens zo groot. Als een incident plaatsvindt en blijkt dat je organisatie niet eens geregistreerd was, is de bestuurlijke en communicatieve schade moeilijk te beperken. Registratie is daarmee ook een kwestie van bestuurlijke geloofwaardigheid.

Welke beveiligingsmaatregelen moet je naast registratie treffen?

Registratie is een administratieve verplichting, maar de kern van de NIS2-richtlijnverplichtingen ligt in de zorgplicht: je moet aantoonbaar passende technische en organisatorische maatregelen treffen om je digitale weerbaarheid te borgen. De wet schrijft geen specifieke producten voor, maar benoemt wel concrete thema’s waarop je beleid moet voeren.

De belangrijkste verplichte maatregelen zijn:

• Risicoanalyse en informatiebeveiliging: Breng structureel in kaart welke risico’s je organisatie loopt en welke systemen en gegevens kritiek zijn.
• Incidentbeheer: Stel een incident response plan op en zorg dat je ernstige incidenten binnen 24 uur meldt bij de bevoegde autoriteit, met een volledig rapport binnen 72 uur.
• Ketenbeveiliging: Beoordeel de beveiligingspraktijken van leveranciers en verwerk afspraken over cybersecurity in contracten.
• Toegangsbeheer en authenticatie: Implementeer sterke authenticatie, minimale toegangsrechten en een helder beleid voor identiteitsbeheer.
• Continuïteitsplanning: Zorg voor back-upbeheer, herstelplannen en procedures om de bedrijfsvoering te kunnen voortzetten na een incident.
• Encryptie en gegevensbeveiliging: Pas encryptie toe op gevoelige gegevens, zowel in opslag als bij verzending.
• Bewustwording en training: Bestuurders moeten aantoonbaar beschikken over kennis van cyberrisico’s. Dit is expliciet vastgelegd in het Cyberbeveiligingsbesluit.

Voor organisaties die werken met Microsoft 365 biedt het platform al een solide basis voor veel van deze maatregelen, via functionaliteiten op het gebied van security binnen Microsoft 365 zoals Conditional Access, Microsoft Defender en geavanceerd identiteitsbeheer.

Wanneer moet de registratie uiterlijk zijn afgerond?

De Cyberbeveiligingswet treedt naar verwachting in het tweede kwartaal van 2026 in werking. Zodra de wet van kracht is, gaat ook de registratieplicht in. Organisaties krijgen vervolgens een beperkte termijn om zich te registreren. Voor de bestuurderstraining geldt een ruimere termijn van twee jaar na inwerkingtreding, maar ook die klok begint te lopen zodra de wet actief is.

Wacht niet op de officiële ingangsdatum om te beginnen. Wie nu al in kaart brengt of zijn organisatie onder de wet valt, welke maatregelen al getroffen zijn en welke nog ontbreken, staat straks niet voor verrassingen. De registratie zelf is een relatief eenvoudige stap, maar de voorbereiding erachter, de risicoanalyses, het beleid, de contracten met leveranciers, vraagt tijd. Organisaties die nu beginnen, halen die deadline comfortabel.

Hoe kan een IT-partner helpen bij de registratie en naleving?

Een ervaren IT-partner helpt je niet alleen bij de technische uitvoering van beveiligingsmaatregelen, maar ook bij het navigeren door de wet zelf. Veel organisaties weten niet zeker of ze onder de Cyberbeveiligingswet vallen, welke toezichthouder voor hen relevant is of hoe ze hun huidige beveiligingsniveau moeten beoordelen. Een goede partner neemt die onzekerheid weg en vertaalt de wettelijke verplichtingen naar concrete stappen.

Concreet kan een IT-partner bijdragen aan:

• Het bepalen van je scope: val je onder de wet en als welke categorie?
• Een nulmeting van je huidige beveiligingssituatie ten opzichte van de NIS2-vereisten
• De implementatie van technische maatregelen binnen je bestaande IT-omgeving
• Het opstellen of aanscherpen van beleidsdocumenten en procedures
• Ondersteuning bij het inrichten van incidentmeldprocessen
• Bestuurderstraining om aantoonbaar te voldoen aan de opleidingsplicht
• Doorlopend beheer en monitoring zodat je ook na de registratie compliant blijft

Hoe Puur ICT helpt met NIS2-registratie en compliance

Wij begrijpen dat de Cyberbeveiligingswet voor veel directeuren en IT-managers een complexe opgave is, zeker als je al verantwoordelijk bent voor de dagelijkse bedrijfsvoering. Als Microsoft 365-specialist en gecertificeerde ICT-dienstverlener helpen wij organisaties van 100 tot 600 werkplekken stap voor stap naar volledige naleving van de NIS2-richtlijnverplichtingen.

Wat wij concreet voor je doen:

• Scopebepaling: We brengen in kaart of en hoe je organisatie onder de Cyberbeveiligingswet valt.
• Nulmeting (Digicheck): We meten je huidige beveiligingsniveau en identificeren de grootste risico’s en hiaten.
• Technische implementatie: We vertalen de wettelijke eisen naar concrete maatregelen binnen het Microsoft-ecosysteem, van toegangsbeheer tot encryptie en monitoring.
• Bestuurderstraining: We verzorgen een tweedaagse training die bestuurders aantoonbaar in staat stelt te voldoen aan de opleidingsplicht uit het Cyberbeveiligingsbesluit.
• Doorlopend beheer: Via onze ICT-beheer en ondersteuning zorgen we dat je ook na de registratie compliant blijft en snel kunt handelen bij incidenten.

Wil je weten waar jouw organisatie nu staat en wat er nog nodig is voor de Cyberbeveiligingswet registratie? Neem contact op met Puur ICT voor een vrijblijvend gesprek. We spreken in begrijpelijke taal, denken proactief mee en zorgen dat je niet voor verrassingen komt te staan.

Gerelateerde artikelen

• Hoe zorg je dat medewerkers op elk apparaat veilig bij hun werk kunnen zonder gedoe?
• Hoe migreer je van een oude serveromgeving naar Microsoft 365 zonder downtime?
• Wat is een risicoanalyse en hoe voer je die uit voor NIS2?
• Hoe lang duurt het gemiddeld om 100 werkplekken over te zetten naar Microsoft 365?
• Hoe voorkom je datalekken via privéapparaten van thuiswerkende medewerkers?