RDI-zelfevaluatie toont 58 procent onder de Cyberbeveiligingswet

58 procent van de organisaties die de NIS2-zelfevaluatietool van de RDI raadpleegden, valt volgens de uitkomst onder de Cyberbeveiligingswet.

De RDI publiceerde de resultaten op 1 juni 2026. Tussen 1 januari 2023 en 30 september 2025 werd de tool anoniem 22.800 keer geraadpleegd door organisaties uit de 9 sectoren waarop de RDI toezicht gaat houden. De percentages gaan over 22.800 bruikbare en volledige datasets.

Van de organisaties waarvoor de wet geldt, ziet 22 procent zich als essentiële en 28 procent als belangrijke entiteit. Voor 37 procent geldt de NIS2 niet, en bij circa 5 procent moet de uitkomst nader worden vastgesteld. Bij 3 procent gaat andere cybersecuritywetgeving voor, zoals DORA voor de financiële sector, en 5 procent weet nog niet zeker of de wet geldt.

De cijfers gaan over 9 sectoren. Daarvan gelden er 5 als essentieel: energie, digitale infrastructuur, beheer van ICT-diensten, overheid zonder de waterschappen, en ruimtevaart. De 4 belangrijke sectoren zijn post- en koeriersdiensten, maakindustrie, digitale aanbieders en onderzoek.

Met de tool ziet een organisatie of de wet voor haar geldt, of ze essentieel of belangrijk is en of ze onder Nederlands toezicht valt. Het verschil tussen essentieel en belangrijk zit in de maatschappelijke impact bij uitval en bepaalt hoe intensief het toezicht is. Volgens de RDI geeft de uitkomst een eerste indruk en is ze geen definitief besluit over de vraag of een organisatie aan de Cyberbeveiligingswet moet voldoen. De resultaten gaan alleen over organisaties die de tool gebruikten.

Essentiële en belangrijke organisaties krijgen onder de Cyberbeveiligingswet dezelfde verplichtingen. Ze moeten zich inschrijven in het nationale entiteitenregister via Mijn.NCSC.nl, significante cyberincidenten binnen 24 uur melden bij hun sectorale CSIRT en hun afnemers informeren. De zorgplicht vraagt passende technische, organisatorische en operationele maatregelen, onder meer voor risicomanagement, incidentdetectie, beveiliging van de toeleveringsketen, toegangsbeheer, crisisplannen en audits. Omdat de wet op 1 juni 2026 nog niet in werking was, was registratie op dat moment vrijwillig; bij de inwerkingtreding wordt die verplicht.