← Alle artikelen

NIS2 Nederland: valt uw maakindustrie onder de Cbw?

Gepubliceerd op 26 oktober 2026 · 8 min lezen · CyberNovaLabs.io

In Nederland heet NIS2 de Cyberbeveiligingswet, van kracht sinds 15 augustus 2026. Voor een productiebedrijf is de toets niet "wij maken iets": zes precieze categorieen uit bijlage II bepalen het, en daarna uw omvang. Dit artikel geeft het schema, de toezichthouder, het registratieloket en de meldtermijnen.

Het korte antwoord

NIS2 Nederland, bekeken vanaf de werkvloer: een deel van de maakindustrie valt eronder, niet alles. De Nederlandse uitvoering heet de Cyberbeveiligingswet (Cbw) en is op 15 augustus 2026 in werking getreden^[1][2]. Het kabinet schat dat ongeveer 8.000 organisaties onder de Cbw vallen, en ongeveer 500 onder de aparte Wet weerbaarheid kritieke entiteiten^[1].

Voor een productiebedrijf is de toets niet "wij maken iets". Eerst geldt een precieze activiteitencategorie uit bijlage II van de richtlijn, en daarna uw omvang. Maakt u machines, elektronica, elektrische apparatuur, voertuigen of medische hulpmiddelen, dan valt u er vrijwel zeker onder. Doet u verspaning in opdracht, plaatwerk, kunststof, verpakking of meubels, dan valt u waarschijnlijk niet rechtstreeks onder de wet — en haalt de keten u alsnog in, via de securityvragenlijsten van klanten die er wel onder vallen.

De zes categorieen uit bijlage II die het bepalen

Bijlage II van richtlijn (EU) 2022/2555 neemt "industrie" niet als geheel. Er staan precieze bedrijfsindelingen in^[7]:

Let op de valkuil bij medische hulpmiddelen: bijlage II verwijst naar de wettelijke definitie van een medisch hulpmiddel, niet naar een enkele NACE-afdeling^[7]. Een toeleverancier die een kritiek onderdeel van een implantaat verspaant, kan dus onder de wet vallen terwijl zijn SBI-code bij de KvK daar niets over zegt.

Valt u eronder? Vier vragen

• Past mijn feitelijke activiteit in een van de zes categorieen hierboven? Uw SBI-code bij de KvK is een aanwijzing, geen antwoord: de activiteitomschrijving in bijlage II is beslissend^[7].
• Hoe groot ben ik? De RDI vat de drempel samen als meer dan 50 medewerkers of een omzet boven 10 miljoen euro^[6]. De officiele NCTV-brochure geeft de exacte matrix: groot vanaf 250 medewerkers, of boven 50 miljoen euro omzet en 43 miljoen balanstotaal; middelgroot bij 50 tot 249 medewerkers, of boven 10 miljoen omzet en 10 miljoen balanstotaal^[11]. De NIS2-Zelfevaluatie van de RDI is het officiele hulpmiddel om die toets te doorlopen^[6].
• Ontsla mijn kleine omvang mij? Sommige categorieen vallen onder de Cbw ongeacht hun omvang: aanbieders van openbare elektronische communicatienetwerken en -diensten, verleners van vertrouwensdiensten, registers voor topleveldomeinnamen, DNS-dienstverleners, verleners van domeinnaamregistratiediensten en overheidsorganisaties^[11]. Vervaardiging staat niet op dat lijstje: onder de drempel valt een fabriek buiten de directe scope.
• Ben ik een belangrijke of een essentiele entiteit? De productiesubsectoren staan in bijlage II, dus in beginsel in de categorie belangrijke entiteit; alleen een bijzondere aanwijzing maakt er een essentiele entiteit van^[7]. Dat verschil bepaalt het toezichtregime — proactief bij essentiele entiteiten^[11] — en het boeteplafond.

En een vijfde vraag die niet in de wet staat: lever ik aan een entiteit die eronder valt? Zo ja, dan geldt de Cbw niet voor u, maar bereiken de ketenverplichtingen van uw klant u via het contract.

NIS2 Nederland: wie houdt toezicht, en waar registreert u

Twee toezichthouders verdelen de Nederlandse productie:

• De RDI (Rijksinspectie Digitale Infrastructuur) is toezichthouder voor de sector vervaardiging^[6].
• Uitzondering: de vervaardiging van medische hulpmiddelen en hulpmiddelen voor in-vitrodiagnostiek valt onder de Inspectie Gezondheidszorg en Jeugd (IGJ)^[8].

De registratie is wel centraal geregeld: die loopt via het Nationaal Cyber Security Centrum op mijn.ncsc.nl^[1][4]. Voor de inwerkingtreding was registratie vrijwillig, sindsdien is zij verplicht^[4]. Dit is de stap die productiebedrijven vergeten, omdat het niet op een technisch project lijkt.

De wet geldt al: in welke volgorde inhalen

1. Leg de scope schriftelijk vast. Een A4: activiteit, categorie bijlage II, aantal medewerkers, omzet, balanstotaal, conclusie, datum, ondertekend door een bestuurder. Dat is het eerste wat een toezichthouder opvraagt.
2. Registreer op mijn.ncsc.nl als u onder de wet valt^[4].
3. Inventariseer de OT. PLC's, HMI's, gateways en de inbelverbindingen voor onderhoud van machinebouwers. Een inventarisatie die bij de kantoor-pc's stopt, is waardeloos.
4. Schrijf de meldprocedure voordat u die nodig hebt: wie bepaalt dat een incident significant is, wie belt, welk account op mijn.ncsc.nl, welk nummer 's nachts.
5. Zet de keten vast. Beveiligingseisen in onderhoudscontracten, en sluimerende externe toegang eruit.

Een incident melden: 24 uur, 72 uur, een maand

De termijnen staan in de artikelen 26 tot en met 29 van de Cyberbeveiligingswet en zijn strak^[5]:

Let op het startpunt van die laatste termijn: een maand na de melding, niet na het incident. In een fabriek vallen die 24 uur 's nachts of in het weekend, als de lijn stilvalt en de productieploeg eerst de machineleverancier belt. Hangt uw procedure niet op de plek waar de lijn stilvalt, dan bestaat zij niet.

Boetes en bestuurdersverantwoordelijkheid

De bedragen staan in de wet zelf, in artikel 80 (essentiele entiteiten) en artikel 87 (belangrijke entiteiten)^[5]:

De Cbw legt ook verantwoordelijkheid bij de directie, met een plicht tot passende training^[1], en de toezichthouder ziet daarop toe bij de individuele bestuursleden, niet alleen bij de onderneming^[11]. De goedkoopste maatregel in het hele dossier is dus een vastgelegde halve dag training voor het MT.

Wat 356 zelfevaluaties zeggen over de Nederlandse maakindustrie

De RDI publiceert de uitkomsten van haar NIS2-Quickscan per sector. Voor vervaardiging is de vragenlijst tussen februari 2024 en september 2025 356 keer volledig ingevuld^[3]. Respondenten schatten zichzelf redelijk in op authenticatie en incidentbehandeling, en duidelijk zwakker op de toeleveringsketen, de meldprocedures en training^[3]. De RDI benadrukt dat het een zelfinschatting is en geen garantie op naleving^[3].

Dat helpt bij het stellen van prioriteiten: waar de meeste Nederlandse maakbedrijven zichzelf zwak inschatten, wordt het gat bij de eerste inspecties zichtbaar. De keten is bovendien waar uw klanten als eerste naar vragen — zie onze uitleg over het beantwoorden van een securityvragenlijst van een klant.

De Nederlandse voorziening die weinig maakbedrijven gebruiken

Het Cyberweerbaarheidscentrum Maakindustrie (CWM) is in Zuid-Holland opgericht door FME en de Koninklijke Metaalunie, samen met Hi Delta, Security Delta (HSD) en InnovationQuarter^[10]. Het biedt een cyberveiligheidsmeting, praktisch advies, workshops, dreigingsinformatie en toegang tot experts, voor IT en OT^[10]. Het is geen landelijk programma, en deelname maakt niemand compliant — maar voor een fabriek in Rotterdam of Delft is het de goedkoopste ingang.

De eerste 5 acties

1. Doe de gratis NIS2-check, daarna de NIS2-Zelfevaluatie van de RDI, en leg het resultaat met datum vast.
2. Registreer op mijn.ncsc.nl als u onder de wet valt.
3. Breng alle externe toegang van machineleveranciers in kaart en sluit de sluimerende verbindingen deze week af.
4. Schrijf de procedure 24 uur / 72 uur / 1 maand en hang hem op waar de lijn stilvalt.
5. Plan de MT-training en bewaar het bewijs.

Lees verder: ons artikel over NIS2 in Belgie voor de maakindustrie, dat hetzelfde schema volgt met het CCB en het CyberFundamentals-raamwerk, en NIS2 Nederland voor softwarebedrijven en IT-dienstverleners, nuttig als uw MES of ERP bij een derde staat. Over het OT-risico zelf: industriele regelaars die open op internet staan.

Bij CyberNovaLabs.io

Begin met de gratis NIS2-check: in een paar minuten weet u of de zes categorieen uit bijlage II u raken, en op welk niveau. De pagina NIS2 Nederland — maakindustrie zet de drempels en de toezichthouders op een rij. Voor de MT-training die de Cbw vraagt, zie onze incompany trainingen. En wilt u dat wij met u meekijken, schrijf ons in twee regels wat u produceert: u krijgt antwoord over de scope, niet een prijsopgave.

Bronnen

1. Rijksoverheid — Cyberbeveiligingswet en Wet weerbaarheid kritieke entiteiten vanaf 15 augustus 2026 van kracht
2. RDI — De Cyberbeveiligingswet treedt in werking (15/08/2026)
3. RDI — Resultaten NIS2-Quickscan, sector vervaardiging
4. NCSC — Veelgestelde vragen Cyberbeveiligingswet (NIS2)
5. Cyberbeveiligingswet, Staatsblad 2026, 187 — art. 26 à 29 (meldplicht), art. 80 et 87 (bestuurlijke boete)
6. RDI — Cyberbeveiligingswet (toezicht et NIS2-Zelfevaluatie)
7. EUR-Lex — Directive (UE) 2022/2555 (NIS2), annexe II
8. CMS — Cyberbeveiligingswet voor fabrikanten van medische hulpmiddelen (toezicht IGJ)
9. NCSC — DTC en NCSC vanaf 2026 verder als versterkt NCSC
10. Cyberweerbaarheidscentrum Maakindustrie (FME, Koninklijke Metaalunie, HSD)
11. NCTV — Informatiebrochure Cyberbeveiligingswet 2026 (omvangscriteria)

Lees ook