← Alle artikelen

NIS2 Nederland: valt uw softwarebedrijf onder de Cbw?

Gepubliceerd op 22 oktober 2026 · 9 min lezen · CyberNovaLabs.io

Software uitgeven staat niet in de Cyberbeveiligingswet. Het ICT-landschap van een klant beheren, hosten of monitoren wel. Zo beslist u in tien minuten over uw eigen situatie: de Nederlandse data, de juiste toezichthouder en de hoofdvestigingsregel die bepaalt wie u inspecteert.

Het korte antwoord

In Nederland is NIS2 omgezet in de Cyberbeveiligingswet (Cbw), in werking sinds 15 augustus 2026^[1][6]. Of NIS2 Nederland op u van toepassing is, leest u niet af van uw SBI-code maar van de dienst die u verkoopt. "Uitgeven van software" staat noch in bijlage I noch in bijlage II van de richtlijn^[9]. Drie profielen die in de IT volstrekt gewoon zijn, vallen er wel rechtstreeks onder: aanbieders van beheerde diensten (MSP) en van beheerde beveiligingsdiensten (MSSP), samen de sector "beheer van ICT-diensten (B2B)"; aanbieders van cloudcomputing, datacentra, CDN en DNS; en onlinemarktplaatsen, zoekmachines en socialenetwerkplatforms in bijlage II^[9].

Anders gezegd: verkoopt u een licentie die de klant zelf installeert en beheert, dan valt u vermoedelijk buiten de wet. Host, monitort, patcht of beheert u namens de klant, dan valt u er vrijwel zeker onder. En buiten het toepassingsgebied vallen betekent niet: vrij van verplichtingen. Uw Nederlandse klanten die wél Cbw-entiteit zijn, moeten hun toeleveringsketen beveiligen — en dat bent u.

Valt u eronder? De punten om af te vinken

• Groottedrempel: minstens 50 werknemers en een jaaromzet of balanstotaal van meer dan 10 miljoen euro. Boven 250 werknemers of 50 miljoen euro omzet wordt een organisatie in een zeer kritieke sector een essentiële entiteit; de overige zijn belangrijke entiteiten^[8].
• Beheerde dienst: installeert, beheert, exploiteert of onderhoudt u ICT-producten, netwerken, infrastructuur of toepassingen namens klanten? De wet splitst beheerde diensten van beheerde beveiligingsdiensten: de eerste categorie zijn de grotere IT-dienstverleners die zich als MSP profileren en structureel (deels) het ICT-landschap van een organisatie overnemen, de tweede de gespecialiseerde MSSP's die beveiliging als dienst leveren^[3]. Uren verkopen is niet genoeg; het stuur overnemen wel.
• SaaS: host en exploiteert u uw eigen software, dan verkoopt u geen licentie maar een clouddienst — digitale infrastructuur, bijlage I^[9].
• Hoofdvestiging: zie de volgende paragraaf. Dit is het punt waarop IT-groepen struikelen.
• Zonder groottedrempel: sommige categorieën vallen eronder ongeacht hun omvang, met name DNS-dienstverleners, registers voor topleveldomeinnamen en vertrouwensdienstverleners^[9].

Wat de Cbw vraagt: de data die tellen

Het Nederlandse eigene zit in de rolverdeling. Het bevoegde CSIRT voor "beheer van ICT-diensten" en voor "digitale aanbieders" is het NCSC; de toezichthouder is de Rijksinspectie Digitale Infrastructuur (RDI); het vakdepartement is EZK^[4]. De RDI houdt toezicht op negen sectoren, waaronder digitale infrastructuur, beheer van ICT-diensten en digitale aanbieders^[1]. U krijgt dus twee loketten: het NCSC om te melden, de RDI om te inspecteren.

Twee Nederlandse details om te onthouden. Eén: de bestuurstraining vraagt een certificaat waaruit blijkt dat de kennis van alle bestuursleden actueel is, en geldt alleen voor uitvoerende bestuurders — commissarissen en niet-uitvoerende bestuurders zijn uitdrukkelijk uitgezonderd^[3]. Twee: de Cbw trad in werking op dezelfde dag als de Wet weerbaarheid kritieke entiteiten (Wwke), de omzetting van de CER-richtlijn^[6]. Twee wetten, twee toepassingsgebieden, dezelfde 15de augustus.

De bestuurlijke boetes: maximaal 10 miljoen euro of 2% van de totale wereldwijde jaaromzet voor een essentiële entiteit, 7 miljoen euro of 1,4% voor een belangrijke entiteit, waarbij het hoogste bedrag geldt^[8].

Waar ligt uw hoofdvestiging? De cascade in drie stappen

Voor aanbieders van beheerde diensten, beheerde beveiligingsdiensten, cloud, datacentra, CDN en DNS volgt de jurisdictie niet uw klanten maar uw hoofdvestiging. Het NCSC publiceert een handreiking voor organisaties met complexe bedrijfsmodellen die de regel in drie stappen uitschrijft^[5]:

Het praktische gevolg voor een Nederlandse MSP met Belgische of Franse klanten: de RDI inspecteert, niet het Belgische CCB en niet het Franse ANSSI. En voor een IT-groep met een Nederlandse holding maar een SOC in Polen valt het antwoord bij stap 1, op de plaats van de besluitvorming — niet op de plaats van uitvoering. De handreiking meldt zelf dat zij niet juridisch bindend is^[5]; ze blijft het beste vertrekpunt.

De drie zwakke plekken van de sector, gemeten door de RDI

De RDI publiceerde de uitkomsten van haar NIS2-Quickscan voor de sector "beheer van ICT-diensten". Respondenten scoren zichzelf op precies drie onderwerpen het laagst^[3]:

1. Een meldingsprocedure opstellen voor significante incidenten. De 24-uurstermijn houdt geen stand zonder piketregeling, zonder de gegevens van het CSIRT en zonder iemand die op zondag bevoegd is te melden.
2. Alle bestuursleden trainen. Het is een verplichting op naam, met certificaat, en de makkelijkste om af te ronden vóór een inspectie.
3. De risico's van de toeleveringsketen verminderen. Voor een IT-dienstverlener snijdt dat twee kanten op: u bent zelf de kritieke leverancier van uw klanten.

Over het eerste jaar van toezicht zegt de RDI dat zij de sectoren eerst wil leren kennen: brieven, uitnodigingen voor een kennismakingsgesprek, vragenlijsten die u moet invullen^[2]. Toezicht kent twee vormen: ex ante, zonder voorafgaand incident, en ex post, naar aanleiding van een incident of een signaal^[2]. Op essentiële entiteiten wordt proactief toezicht gehouden; op belangrijke entiteiten in beginsel reactief^[8].

Het softwarebedrijf dat erbuiten valt

Geeft u software uit die bij de klant wordt geïnstalleerd, met minder dan 50 mensen en onder 10 miljoen euro? Dan bent u vermoedelijk geen Cbw-entiteit. Twee verplichtingen bereiken u toch. Eerst via uw klanten: een Nederlandse Cbw-entiteit moet de beveiliging van haar toeleveringsketen meenemen, en dat is de uwe — in de praktijk beveiligingsvragenlijsten, contractclausules en afdwingbare hersteltermijnen. Daarnaast de Cyber Resilience Act, die geldt voor elk product met digitale elementen, los van NIS2 en los van uw omvang. Wilt u twee buurlandse omzettingen vergelijken, lees dan ons stuk over NIS2 België voor softwarebedrijven en IT-dienstverleners: België koos een nationaal referentiekader en een registratie in twee golven, waar Nederland alles op 15 augustus 2026 liet beginnen.

De eerste vijf acties

1. Bepaal het toepassingsgebied per rechtspersoon, niet per groep: doe de NIS2 Zelfevaluatie voor elke vennootschap die een beheerde dienst, hosting of SaaS verkoopt.
2. Stel uw hoofdvestiging vast met de cascade hierboven en leg het antwoord vast in een notitie van één pagina — die notitie wijst uw toezichthouder aan.
3. Registreer u op Mijn.NCSC.nl als u eronder valt: de plicht loopt sinds 15 augustus 2026 en u bent zelf verantwoordelijk voor een tijdige registratie^[2][7].
4. Schrijf de 24-uurs- en 72-uursprocedure: wie detecteert, wie kwalificeert een incident als significant, wie meldt, met welk account, en wie neemt 's nachts over.
5. Laat de training van de uitvoerende bestuurders certificeren en start de leveranciersreview — de twee andere zwakke plekken die de RDI meet^[3].

Zijn uw klanten Cbw-entiteiten, dan komt de beveiligingsvragenlijst eerder dan de inspectie. Ons stuk over NIS2 Nederland voor de zorg onder de Cyberbeveiligingswet laat zien wat die klanten straks van u moeten eisen. En wilt u juist aan deze bedrijven verkopen, lees dan B2B-afspraken laten maken in Nederland: de regels op een rij.

Bij CyberNovaLabs.io

Onze gratis NIS2-check plaatst u in enkele minuten, en de pagina NIS2 Nederland — managed IT-diensten gaat dieper in op MSP's en MSSP's. Is uw vraag commercieel in plaats van juridisch, dan is ons aanbod B2B-afspraken laten maken er ook voor IT-dienstverleners, zonder looptijdverplichting en op maat geprijsd.

Uw situatie bespreken met CyberNovaLabs.io

Bronnen

1. RDI — De Cyberbeveiligingswet treedt in werking (15/08/2026)
2. RDI — Veelgestelde vragen (FAQ) Cyberbeveiligingswet
3. RDI — NIS2-quickscan, sector 'beheer van ICT-diensten'
4. NCSC — Doorverwijsboom Cyberbeveiligingswet 2026 (CSIRT en toezichthouder per sector)
5. NCSC — Handreiking voor organisaties met complexe bedrijfsmodellen
6. Rijksoverheid — Cyberbeveiligingswet en Wet weerbaarheid kritieke entiteiten vanaf 15 augustus 2026 van kracht
7. RDI — Registratieplicht Cyberbeveiligingswet
8. Houthoff — Cyberbeveiligingswet vanaf 15 augustus van kracht (drempels, boetemaxima, toezicht)
9. Richtlijn (EU) 2022/2555 (NIS2), bijlagen I en II

Lees ook