← Alle artikelen

NIS2 Nederland: valt uw zorgorganisatie onder de Cbw?

Gepubliceerd op 12 oktober 2026 · 7 min lezen · CyberNovaLabs.io

In de zorg is de vraag "vallen wij eronder?" sneller beslist dan in veel andere sectoren: vanaf 50 fte zit u erin, en een overgangsperiode is er niet. Hieronder de exacte drempels, de toezichthouder, het sectorale CSIRT en vijf acties voor deze week.

Het korte antwoord

Ja, in de meeste gevallen. Voor NIS2 Nederland zorg is de wet duidelijker dan in veel andere sectoren: de Cyberbeveiligingswet (Cbw) geldt sinds 15 augustus 2026 en raakt ruim 8.000 organisaties in Nederland^[1]. Een zorgaanbieder met 50 fte of meer valt eronder^[4].

Twee Nederlandse eigenaardigheden wegen zwaarder dan de Europese tekst. Ten eerste is er geen overgangsperiode: volgens de IGJ moesten zorgorganisaties de zorgplicht al grotendeels op orde hebben, omdat de NEN 7510 al jaren wettelijk verplicht is^[2]. Ten tweede is de zorg de enige sector met een eigen ministeriële regeling: de Cyberbeveiligingsregeling voor de Zorg, op 14 augustus 2026 in de Staatscourant gepubliceerd^[3].

De valkuil zit bij laboratoria. De wet noemt EU-referentielaboratoria, niet elk diagnostisch lab^[4]. Een Nederlands laboratorium valt onder de Cbw als het zelf zorgaanbieder is in de zin van de wet. Zo niet, dan komt de wet alsnog binnen via het contract: als toeleverancier van een ziekenhuis dat zijn ketenverplichtingen doorlegt.

Valt u eronder? De Nederlandse criteria

De Cbw noemt vijf categorieën in de zorg^[4]: zorgaanbieders, EU-referentielaboratoria, entiteiten die onderzoek en ontwikkeling doen naar geneesmiddelen, vervaardigers van farmaceutische basisproducten en bereidingen, en vervaardigers van medische hulpmiddelen.

Daarna volgt de omvangsdrempel, de size cap:

• minimaal 50 fte in dienst; of
• anders zowel een jaaromzet van meer dan 10 miljoen euro als een balanstotaal van meer dan 10 miljoen euro^[4].

Drie uitzonderingen die organisaties binnentrekken die dachten erbuiten te vallen:

• een vervaardiger van medische hulpmiddelen is altijd een belangrijke entiteit, ongeacht de omvang^[4];
• een organisatie die door VWS wordt aangewezen is automatisch essentiële entiteit, ook onder de size cap; hetzelfde geldt bij aanwijzing als kritieke entiteit onder de Wet weerbaarheid kritieke entiteiten^[4];
• jeugdhulpaanbieders vallen níet onder de Cbw: voor hen geldt via de Jeugdwet de ISO 27001 of een vergelijkbare norm^[2].

Essentieel of belangrijk: wat het echt verandert

Drempels en toezichtregime: VWS en de IGJ^[4][5]. Alle bepalingen van de Cbw gelden voor beide categorieën; het verschil zit in de manier waarop de inspectie langskomt^[4]. Een algemeen ziekenhuis is dus vrijwel zeker essentieel. Een zelfstandige kliniek met 60 medewerkers is belangrijk: dezelfde plichten, maar toezicht dat pas op gang komt bij een signaal.

Wat de wet in Nederland eist

De IGJ is toezichthouder voor de zorg en Z-CERT is het sectorale CSIRT, formeel aangewezen bij regeling in de Staatscourant van 5 oktober 2026^[6]. De inspectie noemt vijf verplichtingen en één recht^[5]:

1. Registratieplicht: registreren bij het landelijke portaal van het NCSC en de gegevens actueel houden^[5].
2. Zorgplicht: u voert zelf de risicobeoordeling uit en neemt passende maatregelen, inclusief ketenbeveiliging^[4].
3. Bestuurlijke verantwoordelijkheid: het bestuur is eindverantwoordelijk en volgt een passende training om risico's en maatregelen te kunnen beoordelen^[5].
4. Meldplicht: een significant incident meldt u binnen 24 uur via MijnNCSC. Het NCSC geeft elke melding uit de zorg automatisch door aan de IGJ en Z-CERT^[5].
5. Informatieplicht: betrokkenen — patiënten, medewerkers, ketenpartners — zo snel mogelijk informeren over de gevolgen en over wat zij zelf kunnen doen^[5].

Het recht is bijstand van Z-CERT, vóór en tijdens een incident^[4]. Let op: een Cbw-melding vervangt geen datalekmelding bij de Autoriteit Persoonsgegevens. De IGJ werkt bij privacyzaken samen met de AP, en met negen andere Nederlandse toezichthouders in een gezamenlijk samenwerkingsprotocol^[5].

Wat de inspectie in de praktijk aantreft

Dit is geen theorie. Eind 2025 onderzocht de IGJ de informatiebeveiliging bij 87 ggz-organisaties. De bevindingen verschenen op 27 mei 2026: de inspectie maakt zich zorgen en verwacht dat organisaties die nog niet volgens de norm werken dat jaar minimaal één onafhankelijke en deskundige beoordeling laten uitvoeren^[9]. Eerder deed zij hetzelfde bij ziekenhuizen, huisartsenspoedposten, zelfstandige klinieken en organisaties in de ouderenzorg^[9].

Met andere woorden: het sectorale toezicht op NEN 7510 bestond al vóór de Cbw en gaat door. Wat de wet vooral toevoegt is de registratie, de klok van 24 uur en een bestuur dat met naam verantwoordelijk is.

De eerste vijf acties

1. Leg de reikwijdte schriftelijk vast. Download de beslisboom Cyberbeveiligingswet van VWS en bewaar de uitkomst met datum^[4]. Iedere organisatie moet zelf beoordelen of de wet van toepassing is^[8]; bij toezicht is dat vastgelegde besluit uw verhaal.
2. Registreer bij het NCSC-portaal als u eronder valt, en wijs iemand aan die de gegevens actueel houdt^[5].
3. Schrijf de 24-uursprocedure uit. Wie bepaalt dat een incident "significant" is, wie meldt 's nachts en in het weekend via MijnNCSC, wie belt Z-CERT, wie meldt bij de AP als er persoonsgegevens bij zijn. Doe één droge run.
4. Leg de brug van NEN 7510 naar de Cbw. Neem bijlage E van NEN 7510-2:2024+A1:2026 en markeer regel voor regel wat staat en wat ontbreekt^[7].
5. Train het bestuur en noteer de datum. De trainingsplicht voor bestuurders staat in de wet, niet in een advies^[5].

Wilt u over de grens vergelijken? Dezelfde oefening voor België staat in onze gids over NIS2 in België voor de zorg, ziekenhuizen en laboratoria, met een andere toezichthouder en een ander tijdpad. Voor een andere sector onder dezelfde Nederlandse wet: NIS2 Nederland voor transport en logistiek. De reikwijdte voor de zorg vatten we samen op onze pagina NIS2 Nederland, sector zorg.

Bij CyberNovaLabs.io

Wij beginnen bij reikwijdte en bewijs, niet bij een tool. De NIS2-check van twee minuten is gratis en plaatst u. Daarna zijn twee dingen goed uit te besteden: de training voor bestuur en management die de Cbw eist, en het op orde brengen van het bewijs waar de IGJ om vraagt. Wij werken op basis van een voorstel, zonder minimale looptijd. Wij beloven geen compliance-resultaat: het besluit over toepasselijkheid blijft bij u, en deze gids is geen juridisch advies.

Uw NIS2-dossier bespreken

Bronnen

1. Digitale Overheid — Cyberbeveiligingswet (NIS2-richtlijn)
2. IGJ — Vragen over cyberbeveiliging
3. Data voor gezondheid (VWS) — Cyberbeveiligingsregeling voor de Zorg gepubliceerd in de Staatscourant
4. Data voor gezondheid (VWS) — De zorgsector onder de Cyberbeveiligingswet
5. IGJ — Toezicht op cyberbeveiliging
6. Staatscourant 2026, 28763 — aanwijzing Z-CERT als CSIRT voor de zorg
7. NEN — NEN 7510-2 geactualiseerd met amendement (31/03/2026)
8. NEN — Cyberbeveiligingswet van kracht: bouw voort op uw NEN 7510-aanpak
9. IGJ — Inspectie maakt zich zorgen over informatiebeveiliging in de ggz (27/05/2026)
10. NEN — NEN 7510: informatiebeveiliging in de zorg

Lees ook