NIS2 in oktober 2026: wat de Cbw per sector vraagt

73 procent van de aangevallen organisaties valt onder NIS2

Van de organisaties die in 2025 doelwit waren van een cyberincident, valt 73 procent onder de NIS2-definitie van essentiële of belangrijke entiteit. Dat staat in de ENISA Threat Landscape 2026, die het EU-agentschap voor cyberbeveiliging op 22 september 2026 presenteerde (ENISA telt 73% NIS2-entiteiten onder aangevallen organisaties). ENISA analyseerde daarvoor incidenten en gebeurtenissen uit heel 2025.

Openbaar bestuur bleef met 32 procent van de gevallen de vaakst getroffen sector. In de gevallen van ongeautoriseerde toegang waarin ENISA de ingang kon vaststellen, ging het in 60 procent om misbruik van een kwetsbaarheid. Het aantal nieuw gepubliceerde kwetsbaarheden met een CVE-nummer steeg in 2025 met 22 procent tot ruim 48.000.

ENISA ziet daarnaast nog altijd aanvallen via de toeleveringsketen en via derde partijen, die volgens het agentschap doorgaans tot grootschalige incidenten of incidenten met veel impact leiden. Volgens ENISA sluiten de bevindingen aan bij het eerdere NIS360-rapport. Daarin kregen onder meer gezondheidszorg, openbaar bestuur en beheer van ICT-diensten een volwassenheid onder het gemiddelde, terwijl hun kritikaliteit hoger lag.

Voor overheden komen de Cbw, de BIO2 en de ISO-normen samen

Digitale Overheid meldde op 30 september dat Nederlandse overheidsorganisaties de normen NEN-EN-ISO/IEC 27001 en 27002 gratis kunnen gebruiken via NEN Connect (ISO 27001 en 27002 gratis voor overheden via NEN Connect). De 27001 gaat over managementsystemen voor informatiebeveiliging, de 27002 bevat richtlijnen voor informatiebeveiligingsmaatregelen.

Die 2 normen spelen een rol in de Cyberbeveiligingswet (Cbw) en in de Baseline Informatiebeveiliging Overheid (BIO2). De Cbw is sinds 15 augustus 2026 van kracht en is de Nederlandse omzetting van de NIS2-richtlijn. Voor overheidsorganisaties die onder de Cbw vallen, is het toepassen van de ISO-standaarden en de overheidsmaatregelen uit de BIO2 wettelijk verplicht. Overheidsorganisaties die er niet onder vallen, volgen de BIO2 als verplichtende zelfregulering.

De gratis toegang geldt voor alle Nederlandse overheidsinstanties, ook als ze niet onder de Cbw vallen. Samenwerkingsverbanden van overheidsinstanties kunnen er eveneens gebruik van maken.

Gemeentebestuurders moeten uiterlijk augustus 2028 hun training hebben afgerond

Gemeenten vallen rechtstreeks onder de Cbw, met de Rijksinspectie Digitale Infrastructuur (RDI) als toezichthouder. Op 1 oktober zette Informatiebeveiliging & Privacy (IB&P) in een blog op een rij wat de wet van bestuurders vraagt (Gemeentebestuurders hebben tot augustus 2028 voor de Cbw-training). Het college van burgemeester en wethouders is eindverantwoordelijk, keurt de maatregelen goed, houdt toezicht op de uitvoering en volgt een training.

Die training moet uiterlijk augustus 2028 zijn afgerond en behandelt minimaal 13 onderwerpen, waaronder de 10 zorgplichtthema's uit de wet, zoals incidentbehandeling, bedrijfscontinuïteit en ketenbeveiliging. Na afloop ontvangt elke bestuurder een certificaat met de eigen naam, de data, de behandelde onderwerpen en de naam van de aanbieder (artikel 22 van het Cyberbeveiligingsbesluit, het Cbb). Het Cbb kent geen vaste herhalingstermijn. Volgens het blog moet de kennis wel aantoonbaar actueel blijven.

Naast de bestuurlijke verantwoordelijkheid noemt het blog 3 kernverplichtingen. De gemeente registreert zichzelf en haar internetdomeinen in het entiteitenregister van het NCSC, neemt maatregelen op basis van een risicoanalyse met de BIO2 als normenkader en meldt significante incidenten. Voor die melding gelden 3 termijnen.

• binnen 24 uur een vroegtijdige waarschuwing
• binnen 72 uur een incidentmelding
• binnen 1 maand een eindrapport

In de zorg is Z-CERT nu formeel aangewezen als CSIRT

In de Staatscourant verscheen op 5 oktober een wijzigingsregeling van de Cyberbeveiligingsregeling voor de zorg (CbrZ), waarin Z-CERT formeel is aangewezen als Computer Security Incident Response Team (CSIRT) voor de zorg (Z-CERT formeel aangewezen als CSIRT voor de zorg). De aanwijzing geldt voor de sector gezondheidszorg en voor de subsector vervaardiging van medische hulpmiddelen en medische hulpmiddelen voor in-vitrodiagnostiek. Z-CERT voerde de CSIRT-taken in de periode voor de formele aanwijzing al uit.

In de CbrZ heeft het ministerie van Volksgezondheid, Welzijn en Sport de Cbw en het Cyberbeveiligingsbesluit voor de zorg verder uitgewerkt. De regeling bevat onder meer een nadere uitwerking van de maatregelen voor cyberrisicobeheersing, de criteria en drempelwaarden voor significante incidenten, aanvullende eisen aan incidentmeldingen en de aanwijzing van de Inspectie Gezondheidszorg en Jeugd (IGJ) als bevoegde instantie en toezichthouder. Of een zorgorganisatie onder de Cbw valt, hangt onder meer af van het type dienstverlening, de omvang van de organisatie en de criteria in de wet en de onderliggende regelgeving.

De vraag of de Cbw geldt, bepaalt de verplichtingen die volgen

De berichten over gemeenten en de zorg laten zien dat dezelfde wet in die 2 sectoren een eigen toezichthouder en een eigen invulling heeft. Voor gemeenten is dat de RDI, met de BIO2 als normenkader. In de zorg is dat de IGJ, met de CbrZ als nadere uitwerking. Of een overheidsorganisatie onder de Cbw valt, bepaalt of de BIO2 een wettelijke plicht is of verplichtende zelfregulering.

Het bericht over de zorg noemt vaststellen of de organisatie onder de Cbw valt als belangrijke 1e stap. Organisaties die eronder vallen, registreren zich via MijnNCSC in het entiteitenregister van het NCSC. Voor gemeenten staat die registratie in het blog van IB&P bij de kernverplichtingen.

Ketenbeveiliging hoort bij de 10 zorgplichtthema's uit de wet en komt daarmee ook aan bod in de training voor gemeentebestuurders. ENISA ziet aanvallen via de toeleveringsketen en via derde partijen nog altijd terug.

Wie wil weten wat de Cbw voor de eigen organisatie betekent, kan eerst vaststellen of die eronder valt. Is dat zo, dan volgen de registratie via MijnNCSC en de vraag welke toezichthouder en welke sectorregels gelden.