Niet elk bedrijf valt onder de nieuwe wet, maar de lijst met sectoren is breder dan de meeste ondernemers denken. Zo check je het zelf.
Sinds 15 augustus 2026 is de Cyberbeveiligingswet (de Nederlandse uitwerking van de Europese NIS2-richtlijn) van kracht. De wet verplicht bedrijven in een vastgestelde lijst van sectoren om hun cyberbeveiliging aantoonbaar op orde te hebben, incidenten te melden en bestuurders persoonlijk verantwoordelijk te maken voor naleving. De vraag die de meeste ondernemers zich stellen is simpel: valt mijn bedrijf hier eigenlijk onder? Het antwoord hangt af van twee dingen: je sector, en je omvang.
Eerst de omvang
Voordat je naar de sectorenlijst kijkt: de wet geldt in de basis voor middelgrote en grote organisaties, dat wil zeggen 50 werknemers of meer, of een jaaromzet vanaf 10 miljoen euro. Kleinere bedrijven vallen doorgaans buiten de directe verplichting, tenzij ze een sleutelrol vervullen in een sector (bijvoorbeeld de enige aanbieder van een dienst in een regio) of onderdeel zijn van de toeleveringsketen van een bedrijf dat wél onder de wet valt. Dat laatste is een punt waar veel MKB-bedrijven overheen kijken: ook als je zelf niet direct onder de wet valt, kan een klant die dat wel doet, eisen dat jij als leverancier aantoonbaar veilig werkt.
De 18 sectoren
De wet onderscheidt twee categorieën: essentiële entiteiten (strengere eisen en toezicht) en belangrijke entiteiten (dezelfde verplichtingen, minder streng toezicht). Samen zijn dat 18 sectoren:
Essentieel: energie, vervoer, bankwezen, financiëlemarktinfrastructuur, gezondheidszorg, drinkwater, afvalwater, digitale infrastructuur, beheer van ICT-diensten (business-to-business), overheid, ruimtevaart.
Belangrijk: post- en koeriersdiensten, afvalstoffenbeheer, productie en distributie van chemische stoffen, productie/verwerking/distributie van levensmiddelen, vervaardiging (o.a. medische hulpmiddelen, elektronica, machines, transportmiddelen), digitale aanbieders (online marktplaatsen, zoekmachines, sociale netwerkdiensten), onderzoek.
Twijfel je nog?
Sta je niet met zoveel woorden op deze lijst, maar lever je wel aan bedrijven die er wel op staan? Dan is de kans groot dat je via de ketenverantwoordelijkheid alsnog met NIS2-eisen te maken krijgt, niet omdat de wet je verplicht, maar omdat je klant het van je vraagt. Dat maakt de vraag “val ik eronder” eigenlijk breder dan de sectorenlijst alleen.
Niet zeker of je bedrijf onder de wet valt, of onder de ketenverantwoordelijkheid van een klant die er wel onder valt? Wij brengen dat in een gratis scan van 30 minuten voor je in kaart.