← Alle artikelen

NIS2 Nederland: vallen vastgoedkantoren en verhuurders eronder?

Gepubliceerd op 17 oktober 2026 · 8 min lezen · CyberNovaLabs.io

De Cyberbeveiligingswet geldt sinds 15 augustus 2026 voor ongeveer 8.000 organisaties. Vastgoed hoort er niet bij. Wat u wel bindt: de Wet goed verhuurderschap, klantvragenlijsten en de ICT-leverancier die u deelt.

Het korte antwoord

Nee, in bijna alle gevallen niet. De Cyberbeveiligingswet (Cbw) is op 15 augustus 2026 in werking getreden^[4] en geldt voor ongeveer 8.000 organisaties in achttien (zeer) kritieke sectoren^[1][2]. Makelaardij, verhuurbeheer en VvE-beheer staan niet in bijlage 1 en niet in bijlage 2. Een vastgoedkantoor van veertig man heeft dus geen registratieplicht en geen meldplicht onder de Cbw.

Wat u wél raakt, zit ergens anders — en daar lopen aanbestedingen vast: de beveiligingsvragenlijsten van uw institutionele opdrachtgevers, de Wet goed verhuurderschap met haar schriftelijke bewijslast, en de ICT-leverancier die u deelt met twintig collega's. Acht woningcorporaties merkten dat laatste in maart 2022 via één servicebedrijf^[7].

NIS2 Nederland en vastgoed: valt u eronder?

Het NCSC brengt de vraag terug tot twee stappen, in deze volgorde^[1].

Stap 1: staat uw sector in een bijlage? Dit zijn beide lijsten, zoals de wet ze vastlegt.

Bijlage 1 — zeer kritieke sectoren	Bijlage 2 — andere kritieke sectoren
Energie · Vervoer · Bankwezen · Infrastructuur financiële markt · Gezondheidszorg · Drinkwater · Afvalwater · Digitale infrastructuur · Beheer van ICT-diensten · Overheid · Ruimtevaart	Digitale aanbieders · Post- en koeriersdiensten · Afvalstoffenbeheer · Levensmiddelen · Chemische stoffen · Onderzoek · Vervaardiging

Vastgoed, verhuur en beheer komen er niet in voor. Dat is geen vergissing: NIS2 beschermt diensten waarvan uitval de samenleving raakt, niet de bemiddelingsberoepen.

Stap 2: uw omvang. U haalt de omvangscriteria als u 50 fte of meer heeft, of minder dan 50 fte maar zowel een jaaromzet als een balanstotaal boven de 10 miljoen euro^[1]. Let op: partner- en verbonden ondernemingen — een moederbedrijf, dochters — tellen mee bij medewerkers, omzet en balanstotaal. Een vastgoedgroep van driehonderd man blijft buiten de wet als stap 1 niet wordt gehaald: de sector beslist, de omvang filtert alleen daarna.

Twijfelt u? De Zelfevaluatie van de RDI geeft binnen enkele minuten uitsluitsel en zegt er bovendien bij of u 'essentieel' of 'belangrijk' zou zijn^[1][4]. De beoordeling ligt bij u: de RDI benadrukt dat organisaties zelf verantwoordelijk zijn om vast te stellen of de wet voor hen geldt^[4].

De drie deuren waardoor de Cbw toch binnenkomt

1. U levert aan een organisatie die er wél onder valt. Het NCSC schrijft uitdrukkelijk dat sommige toeleveranciers onder de wet kunnen vallen^[1], en de zorgplicht van een Cbw-plichtige organisatie strekt zich uit tot haar toeleveringsketen. In de praktijk: een ziekenhuis, een netbeheerder of een gemeente die u haar vastgoedportefeuille toevertrouwt, legt haar eisen contractueel bij u neer, niet wettelijk. Hetzelfde mechanisme speelt bij bouwbedrijven in Nederland, die ook buiten de wet vallen en toch worden doorgevraagd.

2. Eén entiteit in uw groep staat wel in een bijlage. Een corporatie die een warmtenet exploiteert, een servicebedrijf dat op een locatie drinkwater beheert: een nevenactiviteit kan één rechtspersoon uit de groep binnen de wet trekken. Het bereik beoordeelt u per entiteit en per dienst, nooit per logo.

3. U wordt beoordeeld zonder dat u eronder valt. Dit komt het vaakst voor en kost het meeste verkooptijd: Nederlandse institutionele uitvragen nemen Cbw-eisen over in hun leveranciersformulier. U beantwoordt dezelfde vragen als een essentiële entiteit, zonder de begeleiding die bij die status hoort. Een model-beveiligingsvragenlijst voor leveranciers scheelt ongeveer twee weken bij de eerste uitvraag.

Wat de Nederlandse wet echt van u eist: de Wet goed verhuurderschap

Dit is de wet die u wél bindt. De Wet goed verhuurderschap (Wgv) geldt voor verhuurders, verhuurbemiddelaars en beheerders van woon- en verblijfsruimte. Artikel 2 verplicht onder meer tot een heldere en transparante selectieprocedure, objectieve selectiecriteria bij het openbaar aanbieden, het motiveren van de keuze voor de gekozen huurder aan afgewezen kandidaten, een schriftelijke huurovereenkomst, en schriftelijke informatie aan de huurder over rechten en plichten, de hoogte en afwikkeling van de waarborgsom, een contactpunt, en de contactgegevens van het meldpunt van de gemeente^[6].

Twee Nederlandse bijzonderheden worden vaak gemist. Bij verhuur aan arbeidsmigranten moet de huurovereenkomst afzonderlijk van de arbeidsovereenkomst worden vastgelegd, en moet de informatie worden verstrekt in een taal waaraan de huurder de voorkeur geeft^[6]. En de gemeenteraad kan voor aangewezen gebieden of woningcategorieën een verhuurvergunning invoeren^[6]. Het toezicht is gemeentelijk, niet landelijk.

De link met informatiebeveiliging is direct, en bijna niemand legt hem: elk van die verplichtingen is een verplichting tot schriftelijk bewijs. Ransomware die uw huurdossiersysteem versleutelt levert niet alleen een datalek op; u kunt dan niet aan de gemeente aantonen dat u een afwijzing heeft gemotiveerd, de waarborgsominformatie heeft verstrekt of de servicekosten heeft gespecificeerd. Beschikbaarheid van uw dossiers is een voorwaarde voor naleving van het huurrecht geworden.

Het precedent dat telt: acht corporaties stil door één leverancier

Op 27 maart 2022 kregen acht Nederlandse woningcorporaties op dezelfde dag te horen dat een criminele organisatie had ingebroken. Alwel, Laurentius en Trivire hoorden daarbij. Bij de meeste werkte de mail niet meer; bestuurders weken uit naar Teams, WhatsApp en privémailadressen. Ook de interne crisis-app, juist daarvoor gemaakt, lag eruit. Er moest worden afgewogen of er losgeld in bitcoins betaald zou worden, en wat het risico was dat gegevens van huurders, leveranciers en medewerkers op het dark web zouden verschijnen^[7].

Wat de acht gemeen hadden: een gedeeld extern ICT-servicebedrijf. Dat is het werkmodel van Nederlands vastgoed — vaksoftware bundelen tussen middelgrote organisaties — en precies dat maakt van een leveranciersincident een sectorincident. Aedes publiceerde de gezamenlijke evaluatie onder de titel 'Samen uit, samen thuis'^[7] en onderhoudt de Baseline Informatiebeveiliging Corporaties (BIC), een sectorrichtlijn voor informatiebeveiliging die niet verplicht is^[8]. Voor een particuliere beheerder blijft de BIC het normenkader dat het dichtst bij uw vak staat en in het Nederlands beschikbaar is.

Het risico dat echt geld kost: de omgeleide betaling

Vóór de ransomware komt de aangepaste factuur. De Fraudehelpdesk registreerde in 2025 101.734 meldingen, 60% meer dan in 2024, 15.116 financieel gedupeerden (+65%) en een gemeld schadebedrag van 68.492.848 euro (+30%)^[9]. Dit zijn landelijke cijfers over alle doelgroepen: ze meten geen vastgoedfraude, en het zou oneerlijk zijn ze zo te presenteren. Ze geven de orde van grootte van een werkwijze waarvoor uw vak structureel kwetsbaar is, omdat er waarborgsommen, huren en servicekostenafrekeningen heen en weer gaan tussen partijen die elkaar nooit hebben gezien.

De eerste vijf acties

1. Leg uw status één keer schriftelijk vast. Doorloop de Zelfevaluatie van de RDI, print de uitkomst, zet er een datum op. Die ene pdf beantwoordt het komende jaar elke klantvraag 'valt u onder NIS2?'.
2. Breng uw mail op niveau. SPF, DKIM en DMARC op een handhavend beleid: de directe tegenmaatregel tegen omgeleide betalingen en de eerste regel in elk leveranciersformulier. Onze gratis e-mailbeveiligingscheck geeft binnen een minuut een oordeel over uw domein.
3. Benoem uw ICT-afhankelijkheid. Eén pagina: wie host uw vaksoftware, wie beheert uw accounts, welke hersteltijd is contractueel afgesproken, wie informeert huurders als die leverancier eruit ligt. De acht corporaties van 2022 zochten die antwoorden midden in de crisis^[7].
4. Maak back-ups buiten bereik. Eén kopie van huurdossiers en administratie, losgekoppeld van het domein, elk kwartaal getest op terugzetten. Daarmee kunt u uw Wgv-verplichtingen ook tijdens een incident aantonen.
5. Schrijf uw standaardantwoorden op de vragenlijst. Dezelfde twintig vragen komen terug. Eén keer goed beantwoord, verkort dat elke volgende institutionele uitvraag.

Voor het landbeeld: onze pagina NIS2 Nederland. Voor hetzelfde vak onder een andere nationale wet: onze analyse van Belgische vastgoedkantoren en syndici, waar het regime en de toezichthouder afwijken.

Bij CyberNovaLabs.io

CyberNovaLabs.io werkt in Nederland, België, Frankrijk en Luxemburg. Begin met de gratis NIS2-check: die plaatst uw organisatie en zegt, als u net als de meeste vastgoedbedrijven buiten de wet valt, wat uw opdrachtgevers toch van u verlangen.

Is uw vraag net zo commercieel als regulatoir? Wij vullen ook agenda's: zie B2B-afspraken laten maken in bedrijfsvastgoed en onze pagina Amsterdam. Op maat geprijsd, zonder looptijdverplichting.

Vraag een review van 30 minuten van uw blootstelling aan: e-mail, ICT-afhankelijkheid, klantvragenlijsten.

Bronnen

1. NCSC — Valt mijn organisatie onder de Cyberbeveiligingswet (NIS2)?
2. NCSC — Cyberbeveiligingswet (NIS2)
3. NCSC — Meld incidenten onder de Cyberbeveiligingswet (meldplicht)
4. RDI — De Cyberbeveiligingswet treedt in werking (15 augustus 2026)
5. RDI — Registratieplicht Cyberbeveiligingswet
6. Wet goed verhuurderschap (wetten.overheid.nl)
7. Aedes — De digitale inbraak bij 8 corporaties
8. Aedes — Informatiebeveiliging en privacy (Baseline Informatiebeveiliging Corporaties)
9. Fraudehelpdesk — Terugblik 2025

Lees ook