De Cyberbeveiligingswet geldt sinds 15 augustus 2026 en kent geen algemene overgangstermijn: de verplichtingen gelden nu. Begin daarom met vaststellen óf en hóe u onder de wet valt. Dat bepaalt de rest van deze checklist. Legt u de uitkomst schriftelijk vast, ook als u concludeert dat u er niet onder valt; dat is uw verdediging als een toezichthouder er later naar vraagt.

• Sector bepaald (bijlage 1 of bijlage 2) Cbw art. 4-13, bijlagen 1 en 2
  Uitleg

  De wet werkt met twee lijsten sectoren. Bijlage 1 (zeer kritieke sectoren) bevat onder meer energie, transport, bankwezen, gezondheidszorg, drinkwater, digitale infrastructuur, beheerde ICT-diensten (MSP's en MSSP's), overheid en ruimtevaart. Bijlage 2 (kritieke sectoren) bevat onder meer post- en koeriersdiensten, afvalbeheer, chemie, levensmiddelen, vervaardiging, digitale aanbieders en onderzoek. Zoek op welke deelsector en welk entiteitstype bij uw hoofdactiviteit past, niet bij wat u het liefst zou zijn.

  Waarmee u het aantoont: Een notitie met de gekozen (deel)sector en entiteitstype, plus de onderbouwing waarom die op uw dienstverlening past.

  NCSC: valt mijn organisatie eronder? ↗

  Notitie
• Omvang getoetst, inclusief groepsstructuur Aanbeveling 2003/361/EG
  Uitleg

  Naast de sector telt uw omvang. Middelgroot betekent minimaal 50 medewerkers óf meer dan € 10 miljoen jaaromzet of balanstotaal. Groot betekent minimaal 250 medewerkers óf meer dan € 50 miljoen omzet óf meer dan € 43 miljoen balanstotaal. Let op de valkuil: verbonden ondernemingen tellen voor 100% mee en partnerondernemingen naar rato. Een kleine dochter binnen een groot concern valt daardoor vaak wél onder de wet. Sommige typen organisaties vallen bovendien ongeacht hun omvang onder de wet, zoals telecomaanbieders, vertrouwensdiensten, DNS- en TLD-partijen en overheidsorganisaties.

  Waarmee u het aantoont: De gehanteerde cijfers (fte, omzet, balanstotaal), het peiljaar en de meegetelde groepsmaatschappijen.

  Notitie
• Vastgesteld of u essentieel of belangrijk bent Cbw art. 4-13
  Uitleg

  Bent u een grote organisatie in bijlage 1, of valt u van rechtswege onder de wet (overheid, gekwalificeerde vertrouwensdienstverlener, TLD-register, DNS-dienstverlener, aangewezen kritieke entiteit), dan bent u essentieel. Bent u middelgroot in bijlage 1, of middelgroot of groot in bijlage 2, dan bent u belangrijk. Het verschil zit niet in de maatregelen (die zijn identiek), maar in het toezicht. Bij essentiële entiteiten controleert de toezichthouder proactief, dus ook zonder aanleiding. Bij belangrijke entiteiten pas na een signaal of incident.

  Waarmee u het aantoont: De vastgestelde classificatie en de redenering ernaartoe.

  Notitie
• Zelfevaluatie via de RDI-regelhulp doorlopen
  Uitleg

  De Rijksinspectie Digitale Infrastructuur biedt een online regelhulp die in een reeks vragen bepaalt of u onder de wet valt en of u essentieel of belangrijk bent. Doorloop die met de cijfers uit de vorige stappen en bewaar de uitkomst. Het is de snelste onafhankelijke bevestiging van uw eigen analyse, en meteen bruikbaar bewijs.

  Waarmee u het aantoont: De uitkomst van de regelhulp, met datum.

  RDI-regelhulp NIS2 ↗

  Notitie
• Nagegaan of een andere wet voorgaat
  Uitleg

  Voor sommige sectoren geldt specifiekere regelgeving die (deels) in de plaats komt van de Cyberbeveiligingswet. Financiële instellingen vallen bijvoorbeeld grotendeels onder DORA. Bent u aangewezen als kritieke entiteit onder de Wet weerbaarheid kritieke entiteiten (Wwke), dan komen daar juist verplichtingen bij: een risicobeoordeling binnen 9 maanden en maatregelen binnen 10 maanden na aanwijzing. Zoek dit uit vóórdat u aan de zorgplicht begint, zodat u niet twee keer hetzelfde werk doet of juist iets mist.

  Waarmee u het aantoont: Een korte notitie welke regimes op u van toepassing zijn en hoe ze zich tot elkaar verhouden.

  Notitie

Valt u onder de wet, dan moet u zichzelf melden in het nationaal entiteitenregister. Niemand doet dat voor u: u bent zelf verantwoordelijk voor tijdige registratie. Registratie levert ook iets op: het geeft toegang tot de dienstverlening van de CSIRT van uw sector.

• Toegang tot mijn.ncsc.nl geregeld
  Uitleg

  Registreren gaat via het portaal mijn.ncsc.nl, waarvoor u inlogt met eHerkenning (bedrijven) of SSOnRijk (overheid). Regel dit eerst, en regel het voor meer dan één persoon: hetzelfde portaal gebruikt u straks om incidenten te melden, en dan telt de klok in uren.

  Waarmee u het aantoont: Wie beschikt over de inloggegevens en welk machtigingsniveau zij hebben.

  mijn.ncsc.nl ↗

  Notitie
• Organisatie geregistreerd in het entiteitenregister Cbw art. 43-50
  Uitleg

  De registratieplicht geldt sinds 15 augustus 2026. Registreer de organisatie en bewaar de bevestiging. Dit is de meest zichtbare verplichting uit de wet en tegelijk de makkelijkste om aan te tonen, of juist om op betrapt te worden.

  Waarmee u het aantoont: De bevestiging van registratie, met datum.

  NCTV: registratieplicht ↗

  Notitie
• Registratiegegevens compleet aangeleverd Cbb art. 27
  Uitleg

  Het besluit schrijft voor wat u aanlevert: naam en adres, de sector en het entiteitstype uit de bijlagen, het KvK-nummer, de EU-lidstaten waar u diensten levert, actuele contactgegevens, uw domeinnamen en, waar van toepassing, uw IP-ranges. Loop de lijst punt voor punt na; een half ingevulde registratie is een openstaande verplichting.

  Waarmee u het aantoont: Een kopie of export van de ingediende gegevens.

  Notitie
• Proces om wijzigingen binnen 2 weken te melden
  Uitleg

  Wijzigingen moet u binnen twee weken doorgeven: een fusie of overname, andere IP-ranges, een nieuwe contactpersoon. Twee weken is kort, dus dit moet een routine zijn en geen goed voornemen. Koppel het aan momenten waarop zulke wijzigingen ontstaan: het uitdiensttredingsproces, wijzigingsbeheer in het netwerk, de juridische afdeling bij structuurwijzigingen.

  Waarmee u het aantoont: De beschreven procedure, met een naam van de verantwoordelijke en de plek waar de meldingen worden bijgehouden.

  Notitie

Dit is het hart van de wet. Het Cyberbeveiligingsbesluit werkt de zorgplicht uit in dertien artikelen, en in vrijwel elk artikel staat dezelfde formule: u legt het schriftelijk vast én past het aantoonbaar toe. Beleid dat alleen in een la ligt telt dus niet, en praktijk zonder vastlegging ook niet. Wat passend en evenredig is, bepaalt u zelf op basis van uw eigen risicoanalyse; de wet schrijft geen producten of leveranciers voor. Voor essentiële en belangrijke entiteiten gelden precies dezelfde dertien onderwerpen.

• Beleid voor de beveiliging van netwerk- en informatiesystemen Cbb art. 6
  Uitleg

  Het overkoepelende beveiligingsbeleid: wat wilt u beschermen, tegen welke dreigingen, en wie is waarvoor verantwoordelijk. Rollen en verantwoordelijkheden moeten expliciet belegd zijn, met namen of functies, niet met "de IT-afdeling". Zonder dit artikel hangen de andere twaalf in de lucht.

  Waarmee u het aantoont: Een vastgesteld beveiligingsbeleid met een datum, een eigenaar en een rollenoverzicht.

  Notitie
• Beleid voor risicomanagement Cbb art. 7
  Uitleg

  De risicoanalyse is het fundament onder de hele zorgplicht: daaruit volgt welke maatregelen voor ú passend en evenredig zijn. Leg vast welke methodiek u gebruikt, welke risico's u accepteert en welke niet (uw acceptatiecriteria), houd een actueel risico-overzicht bij en vertaal risico's naar concrete beveiligingseisen.

  Waarmee u het aantoont: De methodiekbeschrijving, het risicoregister met eigenaren en de geaccepteerde restrisico's.

  Notitie
• Incidentenbehandeling Cbb art. 8
  Uitleg

  Beschrijf wie wat doet bij detectie, analyse, respons, documentatie en rapportage van een incident. Daar hoort monitoring bij (u kunt niet reageren op wat u niet ziet) en bescherming van uw logbestanden, zodat een aanvaller zijn sporen niet kan wissen. Dit artikel is de technische voorkant van de meldplicht verderop in deze checklist.

  Waarmee u het aantoont: Het incidentproces met rollen, de inrichting van monitoring en logging, en de bewaartermijn en beveiliging van logs.

  Notitie
• Bedrijfscontinuïteit en crisisbeheer Cbb art. 9
  Uitleg

  U heeft een continuïteitsplan, een herstelplan en een crisisplan nodig, en u moet uw back-ups verifiëren. Het woord dat er hier echt toe doet is periodiek testen: een back-up waarvan nooit een restore is beproefd, is geen back-up maar een aanname. Plan de test, voer hem uit en leg de uitkomst vast, inclusief wat er misging.

  Waarmee u het aantoont: De plannen zelf, plus testrapporten van herstel- en crisisoefeningen met datum en bevindingen.

  Notitie
• Beveiliging van de toeleveringsketen Cbb art. 10
  Uitleg

  U bent ook verantwoordelijk voor de beveiliging van de partijen waarvan u afhankelijk bent. Breng die afhankelijkheden in kaart, leg beveiligingseisen vast in uw contracten en toets uw leveranciers periodiek of zij er nog aan voldoen. Voor beheerde ICT-diensten geldt dit in beide richtingen: uw dienstverlener is uw keten, en u bent die van uw klanten.

  Waarmee u het aantoont: Een leveranciersoverzicht met kritikaliteit, de contractuele beveiligingseisen en de uitkomsten van de periodieke toetsing.

  Notitie
• Verwerven, ontwikkelen en onderhouden van systemen Cbb art. 11
  Uitleg

  Beveiliging hoort in de hele levenscyclus van uw systemen te zitten: veilige ontwikkeling, configuratiebeheer, wijzigingsbeheer en een werkend proces voor het afhandelen van kwetsbaarheden. Dat laatste is in de praktijk het meest zichtbare: hoe snel na publicatie van een kwetsbaarheid is die bij u gepatcht, en hoe weet u dat zeker?

  Waarmee u het aantoont: Het wijzigings- en patchproces met afgesproken doorlooptijden, en rapportage over openstaande kwetsbaarheden.

  Notitie
• Cyberhygiëne en opleiding Cbb art. 12
  Uitleg

  Uw medewerkers moeten zich bewust zijn van de risico's en regelmatig opgeleid worden. Regelmatig betekent niet één keer bij indiensttreding. Denk aan basisgedrag dat u meetbaar kunt maken: phishing herkennen, wachtwoordbeheer, meldbereidheid bij verdachte zaken.

  Waarmee u het aantoont: Het opleidingsprogramma, de deelnamecijfers per medewerker en de resultaten van bijvoorbeeld phishingtests.

  Notitie
• Cryptografiebeleid Cbb art. 13
  Uitleg

  Leg vast wanneer u versleuteling toepast (de gebruiksgevallen), welke typen encryptie u gebruikt en hoe u sleutels beheert: waar ze staan, wie erbij kan, hoe ze worden vervangen en wat er gebeurt als er één kwijtraakt. Sleutelbeheer is het onderdeel dat in de praktijk het vaakst ontbreekt.

  Waarmee u het aantoont: Het cryptografiebeleid met een overzicht van toegepaste algoritmen en de procedure voor sleutelbeheer.

  Notitie
• Beveiligingsaspecten van personeel Cbb art. 14
  Uitleg

  Wijs aan welk personeel welke gevoelige taken en bevoegdheden heeft, evalueer dat periodiek en stel betrouwbaarheidseisen, zoals screening waar dat proportioneel is. Vergeet de achterkant niet: bij vertrek of functiewissel moeten bevoegdheden ook echt verdwijnen.

  Waarmee u het aantoont: Het overzicht van vertrouwensfuncties, het screeningsbeleid en het in-, door- en uitstroomproces.

  Notitie
• Toegangsbeleid Cbb art. 15
  Uitleg

  Dit gaat over logische én fysieke toegang. U geeft identiteiten uit, wijzigt en trekt ze in, en u controleert periodiek wie waar nog bij kan. Waar het passend is gebruikt u meervoudige verificatie of passkeys, zeker voor beheerdersaccounts en toegang van buitenaf.

  Waarmee u het aantoont: Het toegangsbeleid, de MFA-dekking (welk deel van de accounts) en de verslagen van de periodieke toegangsreview.

  Notitie
• Beheer van assets Cbb art. 16
  Uitleg

  U heeft een volledige en actuele inventaris nodig van uw middelen, met een classificatie naar belang en regels voor aanvaardbaar gebruik. Volledig en actueel zijn de kernwoorden: een apparaat dat niet in uw inventaris staat, wordt ook niet beheerd, niet gepatcht en niet gemonitord.

  Waarmee u het aantoont: De assetinventaris met eigenaar en classificatie per asset, en de datum van de laatste afstemming met de werkelijkheid.

  Notitie
• Attenderingen en dreigingsinformatie Cbb art. 17
  Uitleg

  U moet beveiligingsadviezen en dreigingsinformatie beoordelen (bijvoorbeeld van het NCSC of uw sectorale CSIRT) en de uitkomst van die beoordeling schriftelijk vastleggen. Ook "niet van toepassing op ons" is een uitkomst die u opschrijft, met de reden erbij.

  Waarmee u het aantoont: Een logboek van ontvangen adviezen met per advies de beoordeling en de eventueel genomen actie.

  Notitie
• Evaluatie van de maatregelen Cbb art. 18
  Uitleg

  Periodiek toetst u of uw maatregelen daadwerkelijk doeltreffend zijn, en u legt het resultaat schriftelijk vast. Dit is het artikel dat de cirkel sluit: de uitkomsten gaan terug naar de risicoanalyse en naar het bestuur. Zonder evaluatie is de rest een momentopname.

  Waarmee u het aantoont: Het evaluatierapport met datum, bevindingen, verbeteracties en de bespreking ervan in het bestuur.

  Notitie

Melden gaat via het centrale meldpunt op mijn.ncsc.nl; één melding bereikt zowel de CSIRT van uw sector als de toezichthouder. De CSIRT geeft binnen 24 uur terugkoppeling en kan technische bijstand verlenen. Melden is dus niet alleen een plicht, maar levert u ook hulp op. Ook kleinere incidenten mag u vrijwillig melden.

• Bekend wanneer een incident "significant" is Cbb art. 23 en sectorale ministeriële regelingen
  Uitleg

  Een incident is significant bij een ernstige verstoring van uw dienst, bij financiële schade, of bij aanzienlijke materiële of immateriële schade bij anderen. De concrete drempelwaarden staan per sector in ministeriële regelingen en verschillen dus. Zoek de regeling voor úw sector op en vertaal die naar herkenbare voorbeelden, zodat een dienstdoende beheerder om drie uur 's nachts geen jurist hoeft te zijn.

  Waarmee u het aantoont: Een intern beslisschema met sectordrempels en concrete voorbeelden van wel en niet melden.

  NCSC: meldplicht ↗

  Notitie
• De termijnen 24 uur, 72 uur en 1 maand geborgd Cbw art. 25-41
  Uitleg

  Binnen 24 uur stuurt u een vroegtijdige waarschuwing: vermoedt u kwaadwillig handelen, en zijn er mogelijk grensoverschrijdende gevolgen? Binnen 72 uur volgt de incidentmelding met een eerste ernstbeoordeling en indicatoren van compromittering. Binnen een maand levert u het eindverslag met beschrijving, oorzaken en genomen maatregelen. Loopt het incident dan nog, dan stuurt u op dag 30 een voortgangsrapport en het eindverslag binnen een maand na afhandeling.

  Waarmee u het aantoont: Een tijdlijn of checklist per termijn, met wie de klok bewaakt.

  Notitie
• Meldproces belegd en 24/7 bereikbaar
  Uitleg

  Leg vast wie beoordeelt of iets significant is, wie de melding indient en wie er in het weekend bereikbaar is. Bij een incident op vrijdagavond loopt de 24-uursklok gewoon door. Zorg dat meer dan één persoon kan inloggen op mijn.ncsc.nl en dat het telefoonnummer van de dienstdoende vindbaar is buiten de systemen die mogelijk juist plat liggen.

  Waarmee u het aantoont: Een piket- of escalatieschema met namen, nummers en vervangers, ook beschikbaar op papier of buiten het eigen netwerk.

  Notitie
• Het meldproces minstens één keer geoefend
  Uitleg

  Een meldproces dat nog nooit is doorlopen, faalt op de dag dat het nodig is. Doe een tabletop-oefening met een realistisch scenario en meet of u binnen 24 uur een bruikbare vroegtijdige waarschuwing rond krijgt. Noteer wat er misging; dat is waardevoller dan een oefening die vlekkeloos verliep.

  Waarmee u het aantoont: Het oefenverslag met datum, deelnemers, scenario, gehaalde tijden en verbeterpunten.

  Notitie
• Incidentregister wordt bijgehouden
  Uitleg

  Houd alle beveiligingsincidenten bij, ook de niet-meldingsplichtige. Het register laat zien dat u incidenten daadwerkelijk herkent en afhandelt, het voedt uw risicoanalyse en uw evaluatie, en het is het eerste dat een toezichthouder opvraagt na een signaal.

  Waarmee u het aantoont: Het register met per incident: datum, aard, impact, genomen maatregelen en de afweging wel of niet melden.

  Notitie

De wet legt cyberveiligheid expliciet op het bord van het bestuur. Delegeren mag, de eindverantwoordelijkheid niet. De toezichthouder toetst of cyberbesluiten aantoonbaar op bestuursniveau zijn besproken, vastgelegd en geëvalueerd. Notulen en besluitenlijsten doen er hier echt toe.

• Bestuur heeft de risicobeheersmaatregelen goedgekeurd Cbw art. 24
  Uitleg

  Het bestuur moet de maatregelen formeel goedkeuren. Dat is een besluit, geen mededeling: het pakket maatregelen komt op de agenda, wordt besproken en het besluit wordt vastgelegd. Zonder zo'n vastgelegd besluit ontbreekt de kern van de governanceverplichting, ook al is technisch alles op orde.

  Waarmee u het aantoont: Notulen of een besluitenlijst waarin het bestuur de maatregelen goedkeurt, met datum.

  Notitie
• Cyberrisico staat periodiek op de bestuursagenda Cbw art. 24
  Uitleg

  Naast goedkeuren moet het bestuur actief toezien op de uitvoering. Dat betekent een terugkerend agendapunt en regelmatig gesprek tussen bestuur en de CISO of verantwoordelijke voor informatiebeveiliging, niet alleen wanneer er iets misgaat.

  Waarmee u het aantoont: De vergadercyclus met cyberveiligheid als vast agendapunt en de bijbehorende rapportages.

  NCTV: bestuurlijke verantwoordelijkheid ↗

  Notitie
• Opleiding bestuurders ingepland (uiterlijk medio 2028)
  Uitleg

  Dit is de enige verplichting met een uitgestelde termijn. Alle uitvoerende bestuurders volgen uiterlijk medio 2028 een training over cyberrisico's, twee jaar na inwerkingtreding. Nieuwe bestuurders hebben twee jaar vanaf hun benoeming. Er is geen voorgeschreven aanbieder: intern door de CISO mag net zo goed als extern, mits er een certificaat in het Nederlands of Engels uit komt. Commissarissen en niet-uitvoerende bestuurders zijn uitgezonderd.

  Waarmee u het aantoont: Een overzicht per uitvoerend bestuurder van gevolgde of geplande training, met de certificaten.

  Notitie
• Rollen belegd en delegatie schriftelijk vastgelegd
  Uitleg

  Leg vast wie binnen de organisatie welke taken uitvoert en aan wie het bestuur wat heeft gedelegeerd. Maak daarbij expliciet dat de eindverantwoordelijkheid bij het bestuur blijft. Naast de bestuurlijke handhaving kan een bestuurder civielrechtelijk aansprakelijk zijn bij ernstig verwijtbaar handelen; een heldere rolverdeling is dan ook uw eigen bescherming.

  Waarmee u het aantoont: Een rollen- en mandaatoverzicht, vastgesteld door het bestuur.

  Notitie

De laatste stap is de vraag die alles samenbindt: als de toezichthouder morgen belt, kunt u het dan laten zien? De wet vraagt niet om perfectie maar om aantoonbaarheid: vastgelegd beleid dat aantoonbaar wordt toegepast.

• Uw toezichthouder en CSIRT zijn bekend
  Uitleg

  Het toezicht is per sector verdeeld: de RDI voor digitale infrastructuur, ICT-diensten, overheid en ruimtevaart, de ILT voor transport, water, afval en post, DNB en AFM voor de financiële sector, de IGJ voor zorg en de NVWA voor levensmiddelen. Voor incidentrespons is het NCSC de CSIRT voor de meeste sectoren, met Z-CERT voor de zorg en CERT-WM voor water. Weet wie de uwe zijn vóórdat u ze nodig heeft.

  Waarmee u het aantoont: De contactgegevens van uw toezichthouder en CSIRT in uw crisisdraaiboek.

  Notitie
• Bewijsdossier ingericht
  Uitleg

  Verzamel de documenten uit deze checklist op één vindbare plek, met per document een eigenaar, een datum en een herzieningsmoment. Bij een controle is het verschil tussen "dat hebben we wel" en "hier is het" precies het verschil dat telt. Denk er ook aan dat het dossier bereikbaar moet zijn als uw eigen omgeving plat ligt.

  Waarmee u het aantoont: Eén index van alle vastgelegde stukken, met versie, eigenaar en datum.

  Notitie
• Bestuur kent het sanctiekader Cbw art. 68-93; NIS2 art. 34
  Uitleg

  De toezichthouder kan waarschuwen, bindende aanwijzingen geven, een security scan of audit verplichten, een toezichtfunctionaris aanwijzen, de overtreding publiceren, een last onder dwangsom opleggen en een bestuurlijke boete geven. Bij essentiële entiteiten kan daar het intrekken van een vergunning of certificering en een tijdelijk bestuursverbod bij komen. De boetemaxima uit de richtlijn zijn € 10 miljoen of 2% van de wereldwijde jaaromzet voor essentiële entiteiten en € 7 miljoen of 1,4% voor belangrijke entiteiten, steeds het hoogste van beide. Zorg dat het bestuur dit weet; het maakt de investeringsafweging een stuk eenvoudiger.

  Waarmee u het aantoont: Een korte bestuursnotitie over het sanctiekader, aantoonbaar besproken.

  Notitie