CYBERBEVEILIGINGSWET | NIS2 | TECHNISCHE WEERBAARHEID
Cyberbeveiligingswet (NIS2): van wettelijke verplichting naar technische beveiliging.
De Cyberbeveiligingswet stelt hogere eisen aan de digitale weerbaarheid van essentiële en belangrijke organisaties. CyberMaas ondersteunt bij het vertalen van deze verplichtingen naar concrete technische maatregelen. Van security hardening en kwetsbaarhedenbeheer tot continue dreigingsdetectie en incidentrespons.
Compliance op papier houdt geen cyberaanvallen tegen. Een sterke digitale verdediging begint bij aantoonbaar werkende beveiligingsmaatregelen.
Preventie
hardening · baselines
Detectie
SIEM · XDR · monitoring
Respons
triage · onderzoek
Zorgplichtthema's
- 1
- 2
- 3
- 4
- 5
- 6
- 7
- 8
- 9
- 10
Meldplicht
24 uur · 72 uur · 1 maand
Wat is de Cyberbeveiligingswet?
Cybersecurity is niet langer vrijblijvend.
De Cyberbeveiligingswet is de Nederlandse implementatie van de Europese NIS2-richtlijn en is sinds 15 augustus 2026 van kracht.
De wet stelt eisen aan de digitale weerbaarheid van essentiële en belangrijke entiteiten binnen 18 sectoren. Organisaties moeten passende en evenredige maatregelen treffen om hun netwerk- en informatiesystemen te beschermen, beveiligingsrisico's te beheersen en significante incidenten tijdig te melden.
Risicobeheer
Identificeer risico's, beoordeel kwetsbaarheden en tref passende maatregelen om de beveiligingsrisico's structureel te beperken.
Zorgplicht
Versterk preventieve en detectieve beveiligingsmaatregelen en toets regelmatig of deze effectief functioneren.
Meldplicht
Zorg voor tijdige incidentdetectie, escalatie, onderzoek en ondersteuning bij wettelijke meldprocedures.
Ketenbeveiliging
Breng afhankelijkheden en beveiligingsrisico's van ICT-leveranciers en externe dienstverleners in kaart.
Registratieplicht
Organisaties die onder de wet vallen, registreren zich zelf in het entiteitenregister via MijnNCSC.
Bestuurlijke verantwoordelijkheid
Het bestuur keurt de beveiligingsmaatregelen goed en houdt toezicht op de uitvoering ervan.
Technische NIS2-oplossingen
Van verplichting naar technische weerbaarheid.
De Cyberbeveiligingswet stelt eisen. CyberMaas helpt u deze te vertalen naar aantoonbare technische beveiliging, met zes samenhangende oplossingen voor preventie, detectie en respons.
- 01 · SECURITY HARDENING & BASELINES
Een sterke digitale dijk begint bij de basis.
Een belangrijk onderdeel van cybersecurity is het beperken van onveilige configuraties, overbodige functionaliteit en onnodige toegangsrechten.
- CIS Benchmarks
- Microsoft Security Baselines
- Windows Server-hardening
- Windows 11-hardening
- Microsoft Entra ID-hardening
- Microsoft 365-hardening
- Azure-beveiligingsconfiguratie
- Conditional Access en MFA
- Privileged Access Security
- Technische configuratiebeoordelingen
Resultaat
Minder onnodige blootstelling, sterkere systeemconfiguraties en aantoonbare verbeteringen van de technische beveiligingsbasis.
- 02 · VULNERABILITY MANAGEMENT
Ken uw kwetsbaarheden voordat aanvallers ze misbruiken.
CyberMaas helpt organisaties bij het identificeren, beoordelen en prioriteren van technische kwetsbaarheden.
- Vulnerability scanning
- CVE-analyse
- Risicogebaseerde prioritering
- Inventarisatie van kwetsbare systemen
- Advies over patching en mitigatie
- Externe attack surface scans
- Controle op herstelmaatregelen
- Periodieke kwetsbaarhedenrapportages
- Tenable Nessus
- Rapid7
- Microsoft Defender Vulnerability Management
Resultaat
Inzicht in kwetsbaarheden, duidelijke herstelprioriteiten en betere beheersing van technische beveiligingsrisico's.
- 03 · SIEM, SOC, MDR & XDR
Een digitale dijk heeft voortdurend toezicht nodig.
Preventieve beveiliging alleen is onvoldoende. Organisaties moeten verdachte activiteiten tijdig kunnen detecteren en hier adequaat op kunnen reageren.
- Security monitoring
- SIEM-implementatie
- SOC-optimalisatie
- Managed Detection & Response
- Endpoint Detection & Response
- Extended Detection & Response
- Detectieregels en use-cases
- Logcorrelatie
- Threat hunting
- Incidentonderzoek
- Detectiedekking en monitoringverbetering
- Microsoft Sentinel
- Microsoft Defender XDR
- Elastic Security
- Splunk
- SentinelOne
- ESET
Resultaat
Betere zichtbaarheid van beveiligingsincidenten, effectievere detectie en een sterkere basis voor incidentrespons.
- 04 · SECURITY ASSESSMENTS
Weet waar uw digitale verdediging kwetsbaar is.
CyberMaas voert technische assessments uit van uw belangrijkste infrastructuurcomponenten. Iedere bevinding wordt vertaald naar een risico, een hersteladvies en een concrete technische verbetermaatregel.
- Active Directory Security Assessment
- Microsoft Entra ID Security Assessment
- Microsoft Azure Security Assessment
- Microsoft 365 Security Assessment
- Network Security Assessment
- Server Security Assessment
- External Attack Surface Assessment
Resultaat
Een concreet overzicht van technische risico's, misconfiguraties en mogelijke verbeteringen.
- 05 · INCIDENT RESPONSE & FORENSICS
Wanneer een dreiging doorbreekt, telt iedere minuut.
CyberMaas ondersteunt organisaties bij het onderzoeken en beheersen van cybersecurityincidenten.
- Incidenttriage
- Onderzoek van beveiligingsincidenten
- Loganalyse
- Forensische ondersteuning
- Analyse van indicatoren van compromittering
- Vaststellen van mogelijke aanvalsroutes
- Ondersteuning bij containment
- Incidentdocumentatie
- Ondersteuning bij technische rapportages
- Advies voor verbetermaatregelen
Meldplicht significante incidenten · vanaf kennisname
24 uur
Vroegtijdige waarschuwing
Vermoedelijk kwaadwillig? Grensoverschrijdend effect?
72 uur
Incidentmelding
Eerste beoordeling van ernst en impact
1 maand
Eindverslag
Na de melding; bij langdurige incidenten eerst een voortgangsverslag
Sectorspecifieke meldcriteria en afwijkende wettelijke regimes kunnen van toepassing zijn. CyberMaas levert technische incidentinformatie en onderzoek; de formele beoordeling en melding blijven de verantwoordelijkheid van uw organisatie.
Resultaat
Snellere beheersing van incidenten en betrouwbare technische informatie als basis voor de meldprocedure en verbetermaatregelen.
- 06 · ICT-KETENBEVEILIGING
Uw beveiliging is zo sterk als uw kwetsbaarste afhankelijkheid.
Onder de Cyberbeveiligingswet krijgt ook de beveiliging van leveranciersrelaties nadrukkelijk aandacht.
- Technische leveranciersrisicobeoordelingen
- External Attack Surface Management
- Onderzoek van publiek toegankelijke systemen
- Externe kwetsbaarhedenscans
- Beoordeling van leveranciersverbindingen
- Review van externe toegangsrechten
- Controle van MFA en toegangsbeveiliging
- Onderzoek naar technische afhankelijkheden
- Ondersteuning bij hersteladviezen
Resultaat
Beter inzicht in beveiligingsrisico's die voortkomen uit externe systemen, leveranciers en toegangskoppelingen.
Productnamen worden alleen gebruikt om aan te geven met welke technologieën CyberMaas werkt. Vermelding impliceert geen partnerschap of certificering.
Zorgplicht
De tien zorgplichtthema's, technisch vertaald
Per thema ziet u de beveiligingsuitdaging, passende technische maatregelen, de aansluitende CyberMaas-dienst en het bewijsmateriaal dat technisch kan worden geleverd.
- Grotendeels technisch
- Technisch én organisatorisch
01
Risicoanalyse en beveiligingsbeleid
Zonder actueel risicobeeld zijn maatregelen niet te onderbouwen.Toon maatregelen, dienst en bewijsmateriaal +De zorgplicht begint bij een risicoanalyse. Daarop baseert u welke maatregelen passend en evenredig zijn.
Technische maatregelen
- Technische security assessments
- Inzicht in assets, identiteiten en blootstelling
- Risicoclassificatie van bevindingen
CyberMaas-dienst
Security AssessmentsBewijsmateriaal
Assessmentrapportage met risicoclassificatie per bevinding
Het vaststellen van beleid en risicobereidheid is een bestuurlijke taak.
02
Incidentbehandeling
Een incident dat niet wordt gezien, kan ook niet tijdig worden gemeld.Toon maatregelen, dienst en bewijsmateriaal +Organisaties moeten incidenten kunnen detecteren, analyseren, beheersen en afhandelen.
Technische maatregelen
- Centrale logging en SIEM-detectie
- Triage- en onderzoeksplaybooks
- Incidentonderzoek en containment
CyberMaas-dienst
SIEM & SOCBewijsmateriaal
Detectie-use-cases, monitoringrapportages en incidentdocumentatie
03
Bedrijfscontinuïteit, back-ups en herstel
Ransomware richt zich steeds vaker eerst op back-ups.Toon maatregelen, dienst en bewijsmateriaal +Bij een ernstig incident moeten kritieke processen en systemen tijdig kunnen worden hersteld.
Technische maatregelen
- Controle op isolatie en bereikbaarheid van back-ups
- Netwerksegmentatie
- Hardening van back-up- en beheerinfrastructuur
CyberMaas-dienst
Network Security AssessmentBewijsmateriaal
Bevindingen over segmentatie en back-upbereikbaarheid
Continuïteitsplannen, crisisbeheer en hersteloefeningen vragen organisatorische inrichting.
04
Beveiliging van de toeleveringsketen
Leveranciers met toegang tot uw omgeving vergroten uw aanvalsoppervlak.Toon maatregelen, dienst en bewijsmateriaal +U beoordeelt de beveiligingsrisico's van uw directe leveranciers en dienstverleners en neemt passende maatregelen.
Technische maatregelen
- Review van externe toegangsrechten
- Externe scans van gekoppelde systemen
- MFA op leveranciersverbindingen
CyberMaas-dienst
ICT-ketenbeveiligingBewijsmateriaal
Overzicht van externe toegang en technische bevindingen
Contractuele afspraken en leveranciersselectie blijven een organisatorische verantwoordelijkheid.
05
Cyberhygiëne en cybersecuritytraining
Veel incidenten beginnen bij basale tekortkomingen in configuratie of gedrag.Toon maatregelen, dienst en bewijsmateriaal +Basismaatregelen zoals actuele systemen, veilige configuraties en bewuste medewerkers vormen het fundament.
Technische maatregelen
- Beveiligingsbaselines en patchniveau
- Microsoft Secure Score-verbetering
- Sterke authenticatie
CyberMaas-dienst
Security HardeningBewijsmateriaal
Baseline-compliance en Secure Score-ontwikkeling
Awarenesstrainingen en opleiding van bestuurders vallen buiten technische dienstverlening.
06
Veilige verwerving, ontwikkeling en onderhoud
Kwetsbaarheden worden sneller misbruikt dan veel organisaties kunnen patchen.Toon maatregelen, dienst en bewijsmateriaal +Systemen moeten veilig worden aangeschaft, ingericht en onderhouden, inclusief de behandeling van kwetsbaarheden.
Technische maatregelen
- Doorlopend kwetsbaarhedenbeheer
- Risicogebaseerde patchprioritering
- Hercontrole van herstelacties
CyberMaas-dienst
Vulnerability ManagementBewijsmateriaal
Scanresultaten, trendrapportages en hersteltermijnen
07
Beoordeling van de effectiviteit van maatregelen
Een maatregel die niet wordt getoetst, geeft schijnzekerheid.Toon maatregelen, dienst en bewijsmateriaal +U toetst regelmatig of genomen maatregelen daadwerkelijk werken zoals bedoeld.
Technische maatregelen
- Hertoetsingen en configuratiecontroles
- Validatie van detectieregels
- Vergelijking met eerdere nulmetingen
CyberMaas-dienst
Security AssessmentsBewijsmateriaal
Hertoetsrapportage met voortgang ten opzichte van de nulmeting
08
Personeelsbeveiliging, toegangscontrole en assetbeheer
Overmatige rechten maken van één gecompromitteerd account een organisatiebreed incident.Toon maatregelen, dienst en bewijsmateriaal +Toegang is beperkt tot wat nodig is, en u weet welke systemen en gegevens u moet beschermen.
Technische maatregelen
- Least privilege en Privileged Identity Management
- Analyse van Active Directory-rechten
- Inventarisatie van assets
CyberMaas-dienst
Active Directory AssessmentBewijsmateriaal
Overzicht van geprivilegieerde accounts en effectieve rechten
Screening, in- en uitdiensttredingsprocessen en HR-beleid zijn organisatorisch.
09
Cryptografie en versleuteling
Verouderde protocollen en onversleutelde gegevens vergroten de impact van een incident.Toon maatregelen, dienst en bewijsmateriaal +Gegevens worden beschermd met passende versleuteling, onderbouwd in een cryptografiebeleid.
Technische maatregelen
- Controle van TLS-configuraties
- Schijf- en opslagversleuteling
- Uitfaseren van verouderde protocollen
CyberMaas-dienst
Security HardeningBewijsmateriaal
Configuratiecontrole van versleuteling en protocollen
Het opstellen van het cryptografiebeleid zelf is een organisatorische taak.
10
Multifactor- of continue authenticatie en beveiligde communicatie
Gestolen wachtwoorden blijven de meest gebruikte toegangsroute.Toon maatregelen, dienst en bewijsmateriaal +Sterke, bij voorkeur phishingbestendige authenticatie zoals passkeys en beveiligde communicatiemiddelen.
Technische maatregelen
- Phishingbestendige MFA en passkeys
- Conditional Access-beleid
- Blokkeren van legacy-authenticatie
CyberMaas-dienst
Entra ID AssessmentBewijsmateriaal
Conditional Access-analyse en MFA-dekking
Juridische basis: de Cyberbeveiligingswet, het Cyberbeveiligingsbesluit en eventuele sectorspecifieke regelgeving. Een aantal thema's vraagt ook organisatorische en bestuurlijke werkzaamheden die niet volledig met technische dienstverlening worden afgedekt.
Voor welke organisaties?
Cyberbeveiliging voor essentiële en belangrijke entiteiten.
De Cyberbeveiligingswet omvat in totaal 18 sectoren. Dit zijn enkele van de sectoren waarin organisaties onder de wet kunnen vallen.
- Gezondheidszorg
- Energie
- Vervoer en logistiek
- Drinkwater en afvalwater
- Digitale infrastructuur
- ICT-dienstverlening
- Overheidsorganisaties
- Financiële dienstverlening
- Productie en industrie
- Voedingsmiddelenindustrie
- Chemische industrie
- Onderzoeksorganisaties
Niet iedere organisatie in deze sectoren valt automatisch onder de Cyberbeveiligingswet. Of de wet op u van toepassing is, hangt onder meer af van uw activiteiten, uw omvang, wettelijke uitzonderingen en een eventuele aanwijzing. Als richtlijn geldt de wet voor middelgrote en grote organisaties; sommige organisaties vallen er ongeacht hun omvang onder.
Werkwijze
Van inzicht naar aantoonbare beveiliging
Iedere stap maakt de dijk hoger en sterker. Zo bouwt u laag voor laag aan een verdediging die bestand is tegen de volgende golf.
Discover
In kaart brengen
Breng bedrijfskritische systemen, identiteiten, externe toegang en technische afhankelijkheden in kaart.
Assess
Beoordelen
Voer technische security assessments en kwetsbaarhedenanalyses uit.
Harden
Versterken
Versterk systemen, configuraties, identiteiten en toegangsbeveiliging volgens erkende beveiligingsbaselines.
Detect & Respond
Bewaken
Optimaliseer logging, security monitoring, dreigingsdetectie en incidentrespons.
Validate & Improve
Aantonen
Controleer de effectiviteit van maatregelen, valideer herstelacties en maak technische verbeteringen aantoonbaar.
Aantoonbaarheid en rapportage
Niet alleen beveiligen. Ook aantonen.
Effectieve beveiliging vraagt om toetsbare resultaten. CyberMaas levert de technische onderbouwing die laat zien wat er is onderzocht, verbeterd en gevalideerd.
Deze resultaten kunnen dienen als input voor interne audits, risicobeoordelingen en complianceactiviteiten. Ze garanderen geen volledige wettelijke naleving, auditgoedkeuring of certificering.
- Security assessment-rapportages
- Vulnerability scanresultaten
- Hardening assessments
- Configuratiecontroles
- Overzicht van technische bevindingen
- Risicoclassificaties
- Remediationadviezen
- Hertoetsingen en validatie
- Security monitoring-rapportages
- Technische incidentdocumentatie
Veelgestelde vragen
Vragen over de Cyberbeveiligingswet
Exacte verplichtingen kunnen afhangen van sectorspecifieke regelgeving. Raadpleeg bij twijfel de officiële bronnen hieronder.
Wat is de Cyberbeveiligingswet?
De Cyberbeveiligingswet (Cbw) is de Nederlandse wet die de Europese NIS2-richtlijn invoert. De wet verplicht essentiële en belangrijke entiteiten om hun netwerk- en informatiesystemen passend te beveiligen, significante incidenten te melden en zich te registreren. De Cbw vervangt de Wet beveiliging netwerk- en informatiesystemen (Wbni) en wordt nader uitgewerkt in het Cyberbeveiligingsbesluit.
Wat is het verschil tussen NIS2 en de Cyberbeveiligingswet?
NIS2 (Richtlijn (EU) 2022/2555) is een Europese richtlijn. Een richtlijn moet door iedere lidstaat in nationale wetgeving worden omgezet. In Nederland gebeurt dat met de Cyberbeveiligingswet en de bijbehorende lagere regelgeving. Voor Nederlandse organisaties is de Cbw dus de geldende wet.
Sinds wanneer geldt de Cyberbeveiligingswet in Nederland?
De Cyberbeveiligingswet is op 15 augustus 2026 in werking getreden. Vanaf dat moment gelden de zorgplicht, meldplicht en registratieplicht voor organisaties die onder de wet vallen.
Voor welke organisaties geldt NIS2?
De wet geldt voor middelgrote en grote organisaties die actief zijn in een van de 18 aangewezen sectoren. Als richtlijn geldt: 50 of meer medewerkers, of een jaaromzet én balanstotaal van meer dan € 10 miljoen. Sommige organisaties, zoals DNS-dienstverleners, verleners van vertrouwensdiensten en overheidsorganisaties, kunnen ongeacht hun omvang onder de wet vallen. Met de officiële NIS2-zelfevaluatie van de overheid kunt u nagaan of uw organisatie onder de Cbw valt.
Wat is het verschil tussen essentiële en belangrijke entiteiten?
Beide categorieën hebben in de kern dezelfde zorgplicht en meldplicht. Het verschil zit vooral in het toezicht: bij essentiële entiteiten houdt de toezichthouder proactief toezicht, bij belangrijke entiteiten vooral achteraf, bijvoorbeeld na een incident of signaal. Welke categorie op u van toepassing is, hangt af van onder meer uw sector en omvang. De zelfevaluatie geeft hierover uitsluitsel.
Welke technische beveiligingsmaatregelen zijn noodzakelijk?
De wet schrijft geen vaste productlijst voor. Organisaties nemen passende en evenredige maatregelen op basis van hun eigen risicoanalyse, verdeeld over tien zorgplichtthema's. Denk aan incidentbehandeling, kwetsbaarhedenbeheer, toegangsbeveiliging, versleuteling en sterke (bij voorkeur phishingbestendige) authenticatie. Sectorspecifieke regelgeving kan aanvullende eisen stellen.
Is een ISO 27001-certificering voldoende voor NIS2?
Niet automatisch. ISO 27001 is niet wettelijk verplicht, maar een goed ingericht managementsysteem voor informatiebeveiliging is een sterke basis. Controleer wel of de scope alle relevante netwerk- en informatiesystemen omvat en of alle tien zorgplichtthema's en de meldplicht aantoonbaar zijn ingevuld.
Hoe kan security hardening bijdragen aan de zorgplicht?
Hardening verkleint het aanvalsoppervlak door onveilige standaardinstellingen, overbodige functionaliteit en onnodige rechten weg te nemen. Dat draagt bij aan onder meer cyberhygiëne, de beveiliging van systemen en toegangscontrole. Baselines zoals CIS Benchmarks en Microsoft Security Baselines maken de verbetering bovendien meetbaar en aantoonbaar.
Is kwetsbaarhedenbeheer verplicht onder NIS2?
Het behandelen van kwetsbaarheden is uitdrukkelijk onderdeel van de zorgplicht, binnen het thema veilige verwerving, ontwikkeling en onderhoud van systemen. De wet schrijft geen specifieke tool voor, maar u moet kwetsbaarheden op een passende manier kunnen signaleren, beoordelen en verhelpen.
Hoe kunnen SIEM en SOC bijdragen aan incidentdetectie en meldprocedures?
De meldtermijnen lopen vanaf het moment dat u kennis krijgt van een significant incident: een vroegtijdige waarschuwing binnen 24 uur, een melding binnen 72 uur en een eindverslag binnen een maand. Een goed ingericht SIEM en SOC zorgen dat incidenten tijdig worden gezien en dat de technische informatie beschikbaar is die nodig is voor een onderbouwde melding. De formele beoordeling en melding via MijnNCSC blijven de verantwoordelijkheid van uw organisatie.
Welke eisen stelt NIS2 aan leveranciersbeveiliging?
Beveiliging van de toeleveringsketen is een van de tien zorgplichtthema's. U beoordeelt de beveiligingsrisico's van uw directe leveranciers en dienstverleners en neemt passende maatregelen, zowel contractueel als technisch. CyberMaas ondersteunt bij het technische deel, zoals het beoordelen van externe toegang, koppelingen en publiek bereikbare systemen.
Hoe kan CyberMaas ondersteunen bij technische NIS2-maatregelen?
CyberMaas helpt organisaties bij de technische invulling van beveiligingsverplichtingen onder de Cyberbeveiligingswet: van security assessments en hardening tot kwetsbaarhedenbeheer, security monitoring en incidentonderzoek. De resultaten kunnen dienen als input voor interne audits en risicobeoordelingen. Registratie, de formele melding van incidenten en bestuurlijke besluiten blijven de verantwoordelijkheid van uw organisatie.
Officiële bronnen · gecontroleerd in oktober 2026
- NCSC – Cyberbeveiligingswet (NIS2)
- NCSC – Zorgplicht
- NCSC – Meldplicht
- NIS2-zelfevaluatie (Rijksoverheid)
- Wettekst Cyberbeveiligingswet
- Rijksinspectie Digitale Infrastructuur
- Digitale Overheid
Deze pagina bevat algemene informatie en is geen juridisch advies. CyberMaas helpt organisaties bij de technische invulling van beveiligingsverplichtingen onder de Cyberbeveiligingswet.
De wet stelt eisen. Wij versterken uw verdediging.
De volgende cyberdreiging wacht niet. Uw digitale verdediging ook niet.
De Cyberbeveiligingswet vraagt om meer dan beleid en procedures. CyberMaas helpt u inzicht te krijgen in technische risico's, beveiligingsmaatregelen te versterken en dreigingen beter te detecteren.
CyberMaas — Uw digitale dijkwacht.