Hoe werkt de registratieplicht onder de Cyberbeveiligingswet?

De registratieplicht onder de Cyberbeveiligingswet verplicht organisaties die vallen binnen de reikwijdte van de wet om zich actief te registreren bij de bevoegde nationale toezichthouder, de Rijksinspectie Digitale Infrastructuur (RDI). Dit geldt voor zowel essentiële als belangrijke entiteiten in aangewezen sectoren. De Cyberbeveiligingswet is de Nederlandse implementatie van de Europese NIS2-richtlijn en is in 2025 in werking getreden. In dit artikel beantwoorden we de meest gestelde vragen over de registratieplicht, het registratieproces en wat er van jouw organisatie verwacht wordt.

Voor welke organisaties geldt de registratieplicht?

De registratieplicht onder de Cyberbeveiligingswet geldt voor organisaties die actief zijn in sectoren die de wet aanwijst als kritiek of maatschappelijk relevant. Concreet gaat het om twee categorieën: essentiële entiteiten en belangrijke entiteiten. Welke categorie van toepassing is, hangt af van de sector en de omvang van de organisatie.

Essentiële entiteiten zijn doorgaans grote organisaties in sectoren zoals energie, transport, drinkwater, digitale infrastructuur, bancaire diensten en gezondheidszorg. Belangrijke entiteiten omvatten middelgrote organisaties in aanvullende sectoren, zoals afvalbeheer, chemische industrie, voedselproductie en digitale dienstverleners. Woningcorporaties en dienstverleners in bepaalde segmenten kunnen ook binnen de reikwijdte vallen, afhankelijk van hun omvang en maatschappelijke functie.

De wet hanteert als vuistregel de Europese definitie van middelgrote en grote ondernemingen: organisaties met meer dan 50 medewerkers of een jaaromzet van meer dan 10 miljoen euro kunnen registratieplichtig zijn. Kleinere organisaties zijn in principe uitgesloten, tenzij zij een bijzonder kritieke rol vervullen in hun sector. Het is verstandig om dit per situatie te beoordelen, want de grens is niet altijd scherp.

Wanneer moet een organisatie zich registreren?

Organisaties die onder de Cyberbeveiligingswet vallen, moeten zich registreren zodra zij voldoen aan de criteria die de wet stelt. In de praktijk betekent dit dat registratie niet wacht op een uitnodiging van de toezichthouder: de verantwoordelijkheid ligt bij de organisatie zelf om te bepalen of zij registratieplichtig is en om vervolgens actie te ondernemen.

De Cyberbeveiligingswet is in 2025 in werking getreden. Organisaties die op dat moment al actief waren in een aangewezen sector, hadden een overgangsperiode om aan de registratieplicht te voldoen. Voor organisaties die in 2026 voor het eerst in scope komen, bijvoorbeeld door groei of een wijziging van activiteiten, geldt dat zij zich zo snel mogelijk na het moment waarop zij in scope komen moeten registreren.

Wacht niet tot de toezichthouder contact opneemt. De NIS2-registratieplicht is een actieve verplichting: jij bent verantwoordelijk voor het signaleren dat jouw organisatie eronder valt en voor het tijdig doorlopen van het registratieproces.

Hoe verloopt het registratieproces stap voor stap?

Het registratieproces onder de Cyberbeveiligingswet verloopt via een online portal van de Rijksinspectie Digitale Infrastructuur. Het proces bestaat uit een aantal duidelijke stappen die organisaties zelfstandig kunnen doorlopen, al is het verstandig om de voorbereiding serieus te nemen.

1. Bepaal of jouw organisatie registratieplichtig is. Analyseer in welke sector je actief bent, wat je organisatieomvang is en of je valt onder de categorie essentiële of belangrijke entiteit.
2. Verzamel de benodigde organisatiegegevens. Denk aan contactgegevens van de verantwoordelijke voor informatiebeveiliging, een beschrijving van de aangeboden diensten en relevante sectorinformatie.
3. Registreer via het RDI-portaal. Het RDI stelt een digitaal registratieformulier beschikbaar waarmee je de organisatiegegevens invoert en de registratie formeel indient.
4. Ontvang bevestiging en sectorindeling. Na verwerking ontvang je een bevestiging van registratie en wordt vastgesteld onder welke toezichthouder jouw organisatie valt.
5. Houd gegevens actueel. Bij wijzigingen in de organisatie, zoals een fusie, een verandering van diensten of een nieuwe verantwoordelijke voor beveiliging, moet de registratie worden bijgewerkt.

Het registreren zelf is relatief eenvoudig, maar de voorbereiding vraagt meer aandacht. Zorg dat je intern helder hebt wie verantwoordelijk is voor de naleving van de beveiliging van digitale systemen en dat die persoon ook het aanspreekpunt is richting de toezichthouder.

Wat zijn de gevolgen van niet registreren?

Organisaties die verplicht zijn zich te registreren maar dit nalaten, riskeren handhavingsmaatregelen van de toezichthouder. De Cyberbeveiligingswet geeft toezichthouders bevoegdheden om bestuurlijke boetes op te leggen, aanwijzingen te geven en in ernstige gevallen zelfs tijdelijk de dienstverlening te beperken.

Voor essentiële entiteiten kunnen boetes oplopen tot 10 miljoen euro of 2% van de wereldwijde jaaromzet, afhankelijk van welk bedrag hoger is. Voor belangrijke entiteiten geldt een maximum van 7 miljoen euro of 1,4% van de jaaromzet. Dit zijn maxima: de daadwerkelijke boete hangt af van de ernst van de overtreding, de mate van verwijtbaarheid en de omvang van de organisatie.

Naast financiële risico’s is er ook reputatieschade. Toezichthouders kunnen besluiten handhavingsmaatregelen openbaar te maken, wat voor organisaties in sectoren waar vertrouwen centraal staat een aanzienlijk risico vormt. Voor directeuren en bestuurders geldt bovendien dat zij persoonlijk aansprakelijk kunnen worden gesteld als zij aantoonbaar nalatig zijn geweest.

Wat is het verschil tussen registratie en melding onder de Cyberbeveiligingswet?

Registratie en melding zijn twee afzonderlijke verplichtingen onder de Cyberbeveiligingswet die los van elkaar bestaan. Registratie is een eenmalige administratieve verplichting waarbij een organisatie zichzelf kenbaar maakt bij de toezichthouder. Melding is een operationele verplichting die in werking treedt zodra zich een significant beveiligingsincident voordoet.

Registratie gaat over wie je bent: het vastleggen van de organisatie, haar activiteiten en haar verantwoordelijken in het register van de toezichthouder. Dit doe je bij aanvang en update je bij relevante wijzigingen.

Melding gaat over wat er is gebeurd: wanneer een cyberincident een significante impact heeft op de continuïteit van diensten, moet dit binnen 24 uur worden gemeld bij de toezichthouder via een eerste melding, gevolgd door een gedetailleerder rapport binnen 72 uur. Een volledig eindrapport volgt daarna binnen een maand. Beide verplichtingen staan dus naast elkaar: registratie is de basis, melding is de reactie op een incident.

Hoe blijft een organisatie compliant na registratie?

Registratie is het startpunt van compliance onder de Cyberbeveiligingswet, niet het eindpunt. Na registratie moet een organisatie aantoonbaar voldoen aan de beveiligingseisen die de wet stelt, de registratiegegevens actueel houden en incidenten tijdig melden. Compliance is daarmee een doorlopend proces.

De wet verplicht organisaties tot het nemen van passende technische en organisatorische maatregelen op het gebied van risicobeheer. Denk aan toegangsbeheer, encryptie, back-upbeleid, incidentrespons en bewustzijnstraining voor medewerkers. Deze maatregelen moeten niet alleen worden ingevoerd, maar ook periodiek worden geëvalueerd en bijgesteld op basis van nieuwe dreigingen of veranderingen in de organisatie.

Praktisch gezien betekent dit dat je als organisatie een heldere eigenaar nodig hebt voor informatiebeveiliging, een actueel risicoregister bijhoudt en regelmatig toetst of de genomen maatregelen nog afdoende zijn. Een betrouwbare ICT-beheerpartner kan daarin een structurele rol spelen door proactief te monitoren, te rapporteren en bij te sturen waar nodig.

Hoe Puur ICT helpt bij de Cyberbeveiligingswet registratie

Wij begrijpen dat de registratieplicht onder de Cyberbeveiligingswet voor veel organisaties nieuw terrein is. Als Microsoft 365-specialist helpen wij organisaties niet alleen met de technische kant van beveiliging, maar ook met de structuur en het beleid dat nodig is om aantoonbaar compliant te zijn. Wat wij voor je kunnen betekenen:

• Inventarisatie van jouw verplichtingen: Wij helpen bepalen of en hoe jouw organisatie onder de Cyberbeveiligingswet valt, zodat je niet voor verrassingen staat.
• Technische beveiligingsmaatregelen: Via onze Puur Moderne Werkplek zorgen we voor een veilige digitale omgeving met Microsoft-technologie als fundament, inclusief toegangsbeheer, apparaatbeheer en gegevensbeveiliging.
• Doorlopend beheer en monitoring: We bewaken de beveiliging van jouw omgeving continu, signaleren afwijkingen en zorgen dat je altijd een actueel beeld hebt van de staat van je beveiliging.
• Heldere rapportage: We leveren de inzichten die jij nodig hebt om verantwoording af te leggen richting toezichthouders, je RvC of aandeelhouders.

Wil je weten wat de Cyberbeveiligingswet concreet betekent voor jouw organisatie en hoe je de registratie goed aanpakt? Neem contact met ons op voor een vrijblijvend gesprek. We denken graag met je mee in begrijpelijke taal en concrete stappen.

Gerelateerde artikelen

• Welke kwetsbaarheden hebben de meeste bedrijven in hun digitale infrastructuur zonder dat ze het weten?
• Hoe weet ik of mijn bedrijfsnetwerk en systemen goed beveiligd zijn tegen een cyberaanval?
• Valt een MKB-bedrijf ook onder de NIS2-wetgeving?
• Wat zijn de stappen van een eerste gesprek tot een volledig ingerichte Microsoft 365-werkplek?
• Waarom vinden medewerkers bestanden niet terug terwijl ze er zeker van zijn ze opgeslagen te hebben?