Valt mijn organisatie onder de Cyberbeveiligingswet? Zo bepaal je dat.

Op 15 augustus 2026 treedt de Cyberbeveiligingswet in werking, zonder overgangsperiode. In een eerdere post schreven we wat de wet van organisaties vraagt: een zorgplicht, een meldplicht en bestuurders die persoonlijk aansprakelijk zijn.

Maar veel organisaties zitten nog een stap daarvoor. Ze weten niet of de wet op hen van toepassing is.

Dat is geen onwil. Het toepassingsbereik is een samenspel van sector, omvang en een reeks uitzonderingen waarin de omvang er niets toe doet. Hieronder staat hoe je het bepaalt, en waar organisaties het meestal mis inschatten.

De hoofdregel: sector en omvang

Voor de meeste organisaties komt het neer op twee vragen die je in volgorde beantwoordt.

Ben je actief in een aangewezen sector? De Cbw kent achttien sectoren, verdeeld over twee bijlagen. Bijlage 1 bevat de zeer kritieke sectoren: energie, vervoer, bankwezen, financiële markten, gezondheidszorg, drinkwater, afvalwater, digitale infrastructuur, ICT-dienstenbeheer, overheid en ruimtevaart. Bijlage 2 bevat de overige kritieke sectoren: post- en koeriersdiensten, afvalstoffenbeheer, chemie, levensmiddelen, vervaardiging van bepaalde producten, digitale aanbieders en onderzoek.

Let op de formulering. Het gaat niet om je SBI-code of hoe je jezelf omschrijft, maar om het soort entiteit binnen die sector. In de bijlagen staan concrete typen organisaties benoemd.

Haal je de omvangsdrempel? De wet volgt de Europese definitie van bedrijfsgrootte:

• Middelgroot: vanaf 50 medewerkers, of meer dan 10 miljoen euro jaaromzet of balanstotaal.
• Groot: vanaf 250 medewerkers, of meer dan 50 miljoen euro jaaromzet.

Val je onder beide drempels, dan val je in de hoofdregel buiten de wet.

Essentieel of belangrijk, en waarom dat uitmaakt

Haal je de drempel wel, dan bepaalt de combinatie van bijlage en omvang je kwalificatie. Grote organisaties in een bijlage 1-sector zijn essentiële entiteiten. Middelgrote organisaties, en organisaties in bijlage 2, zijn doorgaans belangrijke entiteiten.

Alle verplichtingen uit de wet gelden voor beide. Het verschil zit in het toezicht, en dat verschil is groot.

Essentiële entiteiten staan onder proactief toezicht. De toezichthouder kan naleving controleren zonder dat er iets is gebeurd. Belangrijke entiteiten vallen onder reactief toezicht: controle vindt vooral achteraf plaats, na een incident of bij signalen van niet-naleving.

Voor een essentiële entiteit betekent dat concreet dat je gevraagd kan worden je maatregelen aan te tonen op een moment dat jij niet kiest.

Vier manieren waarop organisaties dit verkeerd inschatten

De hoofdregel dekt de meeste gevallen. De uitzonderingen zijn waar het misgaat.

1. Voor sommige organisaties is omvang irrelevant

Een aantal typen entiteiten valt onder de wet ongeacht hoe klein ze zijn. Dat geldt voor centrale en decentrale overheden, gekwalificeerde vertrouwensdienstverleners, aanbieders van registers voor topleveldomeinnamen en verleners van DNS-diensten. Zij kwalificeren altijd als essentiële entiteit.

Ook middelgrote aanbieders van openbare elektronische communicatienetwerken of -diensten zijn essentiële entiteiten, terwijl ze op basis van hun omvang belangrijk zouden zijn. En kleinere telecomaanbieders kunnen onder de wet vallen zonder de drempel van 50 medewerkers te halen.

Een gemeente met veertig ambtenaren valt er dus onder. Een DNS-dienstverlener van zes man ook.

2. Een minister kan je aanwijzen

De verantwoordelijke vakminister kan een individuele organisatie aanwijzen als essentiële entiteit, ook als die niet automatisch onder de wet valt. Dat kan bijvoorbeeld wanneer je de enige aanbieder van een dienst bent, of wanneer uitval ernstige maatschappelijke gevolgen heeft.

Dit is geen theoretische mogelijkheid. De minister van OCW heeft aangekondigd alle hogeronderwijsinstellingen aan te wijzen als belangrijke entiteit.

3. De koppeling met de Wet weerbaarheid kritieke entiteiten

Word je op grond van de Wkte aangewezen als kritieke entiteit, dan word je automatisch ook als essentiële entiteit aangemerkt onder de Cyberbeveiligingswet. Twee wetten, één gevolg. Organisaties die de Wkte-aanwijzing volgen maar de Cbw niet, missen dit.

4. Je valt er niet onder, je klant wel

Dit raakt de grootste groep. De ketenbepalingen verplichten organisaties binnen scope om het cyberrisico van hun leveranciers te beheersen. In de praktijk betekent dat: zij gaan het aan jou vragen.

Lever je aan een ziekenhuis, een bank, een nutsbedrijf of een overheidsorganisatie, dan komt de vraag naar je beveiliging via je contract binnen, of de wet je nu noemt of niet. Voor veel toeleveranciers wordt dit het moment waarop de Cbw hun probleem wordt.

Wie er juist buiten valt

Niet iedere overheidsinstantie valt eronder. Organisaties die hoofdzakelijk actief zijn op het gebied van nationale veiligheid, openbare veiligheid, defensie of rechtshandhaving zijn uitgezonderd. Denk aan het ministerie van Defensie, de AIVD en MIVD, de politie, het Openbaar Ministerie en de veiligheidsregio's. Hun digitale beveiliging is geregeld via eigen sectorale wetgeving.

Doe de check

Wij bouwden een gratis Cbw-checker die deze stappen voor je doorloopt. Je beantwoordt een aantal vragen over je sector, omvang en dienstverlening en krijgt een eerste indicatie of de wet waarschijnlijk op je van toepassing is.

Geen account, klaar in een paar minuten.

→ Doe de gratis check

Het blijft een indicatie. Bij twijfel, en zeker bij groepsstructuren of grensgevallen rond de drempelwaarden, is juridisch advies op zijn plaats. Maar voor de meeste organisaties beantwoordt de check de vraag waar ze nu op vastlopen.

En als je eronder valt

Dan begint de registratieplicht bij het entiteitenregister van het NCSC, en daarna de zorgplicht. Onderdeel van die zorgplicht is dat je de effectiviteit van je incidentrespons test. Een responsplan dat nooit onder druk is doorlopen, houdt geen stand tegenover een toezichthouder die vraagt om bewijs dat het werkt.

Daar helpen wij bij: tabletop-oefeningen op basis van je eigen beleid en organisatie, met een debriefrapport dat je in je auditdossier kunt opnemen.