← Alle artikelen

NIS2 Nederland: valt de bouw onder de Cyberbeveiligingswet?

Gepubliceerd op 9 oktober 2026 · 8 min lezen · CyberNovaLabs.io

De Cyberbeveiligingswet geldt sinds 15 augustus 2026. De bouw staat niet in bijlage 1 of 2. Toch zijn er drie situaties waarin een bouwbedrijf er wel onder valt, en een vierde route via het contract raakt bijna elke aannemer die voor waterschappen of gemeenten werkt.

Het korte antwoord

Nee. Een bouwbedrijf, een GWW-aannemer of een technisch installateur valt in Nederland niet onder NIS2 omdat het bouwt. De Cyberbeveiligingswet (Cbw) geldt sinds 15 augustus 2026, vervangt de Wbni en is de Nederlandse uitwerking van de NIS2-richtlijn. De wet geldt voor organisaties die essentiële of belangrijke diensten leveren in 18 sectoren: energie, drinkwater, digitale infrastructuur, zorg, overheid, vervoer en een handvol andere^[1]. De bouw staat niet in bijlage 1 en niet in bijlage 2.

Daarmee is het onderwerp nog niet van de baan. Er zijn drie situaties waarin een bouwbedrijf er wel onder valt. En een vierde, die veel vaker voorkomt, bereikt je via het contract: je opdrachtgevers vallen er namelijk wel onder, en de wet verplicht hen hun toeleveringsketen te beveiligen^[4]. Bij jou komt dat binnen als een beveiligingsvragenlijst voor de gunning en als cybereisen in het contract.

Val je eronder? De criteria op een rij

De NCTV beschrijft drie stappen. Organisaties moeten zelf vaststellen of zij onder de wet vallen: je krijgt geen brief waarin dat staat^[2].

• Stap 1 — de sector. Hoort je activiteit bij een soort entiteit uit bijlage 1 of 2 van de Cbw? Voor een hoofdaannemer is het antwoord nee.
• Stap 2 — de omvang. Alleen als stap 1 positief is: aantal medewerkers, jaaromzet en balanstotaal. Voor sommige categorieën gelden geen omvangscriteria — aanbieders van openbare elektronische communicatienetwerken en -diensten, verleners van vertrouwensdiensten, registers voor topleveldomeinnamen, DNS-dienstverleners en overheidsorganisaties^[2].
• Stap 3 — essentieel of belangrijk. Dat verschil bepaalt het toezicht: essentiële entiteiten staan onder proactief toezicht en worden ook zonder incident gecontroleerd; belangrijke entiteiten staan onder reactief toezicht, na signalen of een incident^[2].

NIS2 Nederland: drie gevallen waarin de bouw er toch onder valt

Niet je SBI-code is beslissend, maar wat je feitelijk doet. Drie bedrijfsonderdelen die in de Nederlandse bouw gewoon voorkomen, staan zelf wel in de bijlagen.

Situatie	Waarom het eronder valt	Wat je nagaat
Je produceert, niet alleen monteert	Bijlage 2 van de Cbw dekt de vervaardiging van machines en apparaten, elektrische apparatuur en elektronische producten — beton en baksteen niet[2]	Een fabriek van kranen, liften, schakelkasten of geprefabriceerde modules met ingebouwde elektronica toets je los van de rest van de groep
Je beheert op afstand wat je hebt aangelegd	Beheer van ICT-diensten tussen bedrijven staat in bijlage 1: een installateur die continu het gebouwbeheersysteem, de toegangscontrole of de klimaatbewaking van klanten bedient, lijkt op een managed service provider	Lees het contract: incidenteel onderhoud, of permanent beheer met vaste toegang op afstand en een storingsdienst?
Je bent aangewezen als kritieke entiteit	Wie door de vakminister wordt aangewezen onder de Wet weerbaarheid kritieke entiteiten (circa 500 organisaties, waaronder keren en beheren) kwalificeert van rechtswege als essentiële entiteit onder de Cbw[2]	Beheert of exploiteert je bedrijf een waterbouwkundig object? Ga na of er een aanwijzing loopt

Waar het echt om gaat: de keten van je opdrachtgever

Maatregel 4 van de zorgplicht, artikel 21 lid 2 sub d Cbw, verplicht entiteiten die eronder vallen hun toeleveringsketen te beveiligen, inclusief de beveiligingsaspecten in de relatie met directe leveranciers en dienstverleners^[4]. In Nederland raakt dat de bouw om een structurele reden: waterschappen, gemeenten, provincies en ministeries zijn overheidsinstanties die ongeacht hun omvang onder de wet vallen^[2]. Grond-, weg- en waterbouwers werken daar dagelijks voor.

Lees het niet te ruim. Artikel 21 maakt de aannemer niet zelf Cbw-plichtig. Het verplicht de opdrachtgever het risico te beheersen dat de aannemer meebrengt. In de Nederlandse praktijk komt dat via de aanbestedingsstukken binnen, niet via de wet: beveiligingseisen in de vraagspecificatie, contractuele meldplicht, auditrecht, continuïteitseisen. Een kader als de BIO richt zich op de overheidsopdrachtgever en bindt niet automatisch elke onderaannemer; het contract bepaalt wat jou kan worden tegengehouden. Lees de vraagspecificatie en de bijlagen dus voor je inschrijft.

Wat de Cbw eist van wie er wel onder valt

Geldt een van de drie situaties, dan gaan vier verplichtingen in^[1].

• Registratieplicht in het nationaal entiteitenregister van het NCSC. Na registratie kun je gebruikmaken van de dienstverlening van het NCSC of het CSIRT van je sector: dreigingsinformatie en bijstand bij incidenten^[7].
• Zorgplicht: passende en evenredige maatregelen. Het NCSC werkt ze uit per maatregel met artikelverwijzing: risicoanalyse, incidentrespons, bedrijfscontinuïteit en back-ups, veilige toeleveringsketen, cyberhygiëne en opleiding, beveiliging bij aanschaf en onderhoud van systemen met patchmanagement, personeel en toegangsbeleid, passkeys of multifactorauthenticatie, cryptografiebeleid en het periodiek beoordelen van de effectiviteit^[4].
• Meldplicht in drie stappen, geteld vanaf het moment dat je kennis krijgt van het incident: vroegtijdige waarschuwing binnen 24 uur, melding binnen 72 uur, eindverslag binnen 1 maand. Duurt het incident langer dan een maand, dan stuur je een voortgangsverslag. Een melding via MijnNCSC bereikt in een keer je sectorale CSIRT en je toezichthouder. De drempelwaarden staan in ministeriële regelingen en verschillen per sector: raadpleeg de regeling voor jouw sector^[5].
• Bestuurlijke verantwoordelijkheid: het bestuur keurt de maatregelen goed, ziet toe op de uitvoering en bestuurders moeten een passende training volgen om risico's te kunnen beoordelen^[1].

De Nederlandse cijfers voor de bouw

Het CBS meet in de Cybersecuritymonitor 2025 een brede daling: in 2024 had 4 procent van de bedrijven minstens een cyberincident door een aanval van buitenaf, tegen 11 procent in 2016. Op een punt blijft de bouw achter: 12 procent van de bedrijven in de bouwnijverheid is verzekerd tegen cyberincidenten, een van de laagste aandelen van alle bedrijfstakken, samen met vervoer en opslag en de horeca, bij een landelijk gemiddelde van 19 procent^[10]. Bouwend Nederland haalt daarnaast onderzoek van ABN AMRO aan: een op de drie bouwbedrijven wordt door hackers geraakt, terwijl veel partijen zichzelf niet als aantrekkelijk doelwit zien^[11]. Dat is onderzoek van een bank, geen officiële statistiek — hanteer het als orde van grootte.

Samen gelezen is de conclusie praktisch: het risico is niet nul, het is slecht afgedekt, en de blootstelling loopt steeds vaker via projectdata die opdrachtgever, ingenieursbureau en onderaannemers delen.

De eerste vijf acties

1. Doorloop de officiële zelfevaluatie^[3] en bewaar de uitkomst met datum. Komt er nee uit, dan is dat precies het stuk dat je meestuurt als een opdrachtgever naar je NIS2-status vraagt.
2. Toets je bedrijfsonderdelen apart: productie, beheer op afstand van installaties, buitenlandse dochters. Bij meerdere vestigingen gebruik je de handreiking complexe bedrijfsmodellen^[9].
3. Haal je drie grootste lopende overheidsopdrachten erbij en lijst de cybereisen op die je al hebt ondertekend: meldplicht, toegang op afstand, back-ups, auditrecht. Veel bedrijven ontdekken dan verplichtingen die ze niet nakomen.
4. Zet de basis vast: passkeys of multifactorauthenticatie op e-mail en toegang op afstand, een offline back-up die je met een echte restore hebt getest, en patchen van VPN-ingangen en laptops op de bouwplaats. Dat zijn maatregel 6, 8 en 3 van de zorgplicht^[4] — en tegelijk de eerste drie regels van elke klantvragenlijst.
5. Maak een standaard antwoordblad voor beveiligingsvragenlijsten en wijs een eigenaar aan. Zonder dat begint elke aanbesteding weer bij nul.

Bij CyberNovaLabs.io

CyberNovaLabs.io werkt in Nederland, België, Frankrijk en Luxemburg. Begin met de gratis NIS2-check en daarna de e-mailbeveiliging-check: SPF, DKIM en DMARC zijn het eerste wat een opdrachtgever controleert zonder het te vragen. Zit de pijn in klantvragenlijsten, start dan bij de beveiligingsvragenlijst voor leveranciers.

Voor de Nederlandse context lees je ook onze gids over NIS2 voor transport en logistiek in Nederland — die sector staat wel in de bijlagen — en NIS2 voor advocatenkantoren in Nederland, met dezelfde invalshoek van buiten de reikwijdte maar wel in de keten. Het landenoverzicht staat op NIS2 Nederland, met pagina's over maakindustrie en managed IT-diensten voor de twee onderdelen die een bouwbedrijf alsnog onder de wet brengen.

Wil je een blik op een concrete vraagspecificatie, of de basis op orde voor een Nederlandse inschrijving? Vertel ons je situatie — wij werken op maat en geven een prijs na het lezen van de stukken.

Bronnen

1. Rijksoverheid — Cyberbeveiligingswet en Wet weerbaarheid kritieke entiteiten vanaf vandaag van kracht (15-08-2026)
2. NCTV — Welke organisaties vallen onder de Cyberbeveiligingswet?
3. Regelhulpen voor bedrijven — NIS2 Zelfevaluatie NL
4. NCSC — Zorgplicht Cyberbeveiligingswet (art. 21 Cbw)
5. NCSC — Meld incidenten onder de Cyberbeveiligingswet (meldplicht)
6. Staatsblad 2026, 187 — Cyberbeveiligingswet (art. 80 lid 3 en art. 87 lid 3)
7. NCSC — Registreren in het nationaal entiteitenregister
8. NCTV — Doorverwijsboom Cyberbeveiligingswet (18-03-2026)
9. NCTV — Handreiking complexe bedrijfsmodellen (18-03-2026)
10. CBS — Minder bedrijven met cyberincident, vooral grote bedrijven weerbaarder (Cybersecuritymonitor 2025)
11. Bouwend Nederland — ABN AMRO peilt cyberveiligheid in de bouw

Lees ook