Cyberbeveiligingswet: registratie en bewijs na de deadlines van oktober 2026

Negen weken geleden ging de Cyberbeveiligingswet (Cbw) in werking, op 15 augustus 2026. Stel dat een van uw klanten, een Nederlandse zorgaanbieder of logistiek bedrijf, nog geen bevestiging uit het entiteitenregister heeft. Dan is de Cyberbeveiligingswet registratie geen abstract compliance-onderwerp meer, maar een openstaand punt op uw lijst. Wie ook klanten met vestigingen in Duitsland, Polen of Italië heeft, ziet daar dezelfde verschuiving: de vraag is niet langer "bent u geregistreerd?", maar "wat vraagt de toezichthouder daarna?"

Dit is het moment waarop NIS2-deadlines in oktober 2026 ophouden een agendapunt te zijn en een bewijsprobleem worden.

Cyberbeveiligingswet registratie: waar Nederland nu staat

De Eerste Kamer keurde de Cbw en de Wet weerbaarheid kritieke entiteiten (Wwke) goed op 7 juli 2026. Beide wetten gelden sinds 15 augustus 2026, zo meldt rijksoverheid.nl. Het gaat om meer dan 8.000 organisaties in 18 sectoren.

De kern voor uw klant:

• Registratie is verplicht in het entiteitenregister, via MijnNCSC van het NCSC. Inloggen gaat met eHerkenning niveau EH2+. Het proces telt vijf stappen.
• Wijzigingen meldt u binnen 14 dagen. Een verhuisd vestigingsadres, een andere sector of een nieuw contactpunt hoort er dus snel in.
• Zorgplicht: passende risicobeheersmaatregelen.
• Meldplicht: significante incidenten gaan naar het CSIRT en de bevoegde toezichthouder, via het portaal.
• Bestuurders zijn uiteindelijk verantwoordelijk en moeten een passende training volgen.

Een registratietermijn staat niet op de NCSC-pagina die wij hebben geraadpleegd. Controleer daarom zelf de actuele registratietijdlijn op de NCSC-website en leg de datum vast die daar staat, niet de datum die u veronderstelt.

Nederland kwam hier niet op eigen houtje. Op 8 juli 2026 verwees de Europese Commissie Ierland, Spanje, Frankrijk en Nederland door naar het Hof van Justitie van de EU. De Commissie vraagt een forfaitair bedrag en dwangsommen; de oorspronkelijke omzettingsdatum was 17 oktober 2024. Nederland heeft de Cbw inmiddels in werking laten treden.

Wat er elders sloot: Duitsland, Polen en Italië

Heeft uw klant entiteiten buiten Nederland, dan lopen er meerdere klokken tegelijk. Ze zijn niet gesynchroniseerd.

Polen. De wijziging van de wet op het nationale cyberbeveiligingssysteem (ustawa o krajowym systemie cyberbezpieczeństwa, KSC) trad op 3 april 2026 in werking. Entiteiten hadden tot 3 oktober 2026 om zich aan te melden voor het register. De volgende harde data zijn 3 april 2027 voor de verplichtingen en 3 april 2028 voor de eerste audit van essentiële (key) entiteiten. Boetes voor de meeste verplichtingen kunnen pas vanaf 3 april 2028 worden opgelegd.

Duitsland. De NIS2-implementatiewet (NIS2UmsuCG) hervormde de BSIG. De oorspronkelijke registratiedeadline was 6 maart 2026 en is verlengd. Bronnen noemen verschillende laatste data: 31 juli of 30 september 2026. Vertrouw op geen van beide en controleer het BSI-portaal. Het BSI stelt dat de registratieplicht blijft gelden. Boetes lopen op tot 10 miljoen euro of 2% van de wereldwijde omzet. Op grond van § 38 lid 2 BSIG zijn leidinggevenden aansprakelijk.

Italië. Onder D.Lgs. 138/2024 en ACN-besluit 379907/2025 moeten entiteiten die in 2025 zijn opgenomen, de basismaatregelen 18 maanden na ontvangst van de kennisgeving van opname op orde hebben. Commentaren noemen oktober 2026, vaak 31 oktober. De kennisgevingen gingen echter op 12 en 13 april 2025 de deur uit, wat uitkomt op half oktober. Lees dus de datum op de eigen kennisgeving van de klant. Voor entiteiten die in 2026 voor het eerst zijn opgenomen, geldt 31 juli 2027 (besluit 127434/2026).

Registratie was het makkelijke deel

Een registratie bewijst één ding: de organisatie bestaat en heeft zichzelf als vallend onder de wet aangemerkt. Ze zegt niets over de vraag of de maatregelen werken.

Toezichthouders weten dat. Het BSI is expliciet dat registratie slechts de eerste stap is, gevolgd door technische en organisatorische maatregelen, incidentmelding en risicobeheer. Ook de Italiaanse ACN schuift van verklaring naar verificatie: volgens gepubliceerd commentaar omvat de basisset 37 maatregelen en 87 eisen voor belangrijke entiteiten en 43 maatregelen en 116 eisen voor essentiële entiteiten.

Voor u als consultant of MSP is dit praktisch. De eerste vraag van uw klant was "vallen wij eronder?". De tweede is nu "kunnen wij laten zien wat we doen?". Een map met beleid dat niemand volgt overleeft geen inspectie. Gedateerde, genotuleerde en geteste registraties wel.

Wat de toezichthouder als eerste zal vragen

In alle genoemde rechtsgebieden volgen de eerste vragen een patroon. Reken op deze, ongeveer in deze volgorde:

1. Bewijs van registratie en een kloppend entiteitsprofiel. Een verkeerde sector, grootteklasse of verouderd contactpunt is de goedkoopste bevinding om te voorkomen. In Nederland moet u wijzigingen binnen 14 dagen melden.
2. Verantwoordelijkheid op bestuursniveau. Onder de Cbw zijn bestuurders uiteindelijk verantwoordelijk en moeten zij een passende training volgen. In Duitsland geldt persoonlijke aansprakelijkheid van het management op grond van § 38 lid 2 BSIG. Italië verlangt in artikel 23 van het decreet dat het management de maatregelen goedkeurt, daarop toeziet en training volgt. Een gedateerd bestuursbesluit en trainingsbewijzen zijn het bewijs.
3. Incidentprocedure met drie klokken. De vroegtijdige waarschuwing binnen 24 uur, de melding binnen 72 uur en het eindrapport na een maand gelden in al deze regimes. De Italiaanse meldplicht is sinds januari 2026 van kracht voor het cohort van 2025.
4. Een inventaris van assets en diensten. Deze moet overeenkomen met wat de klant in het portaal heeft opgegeven. Verschillen zijn de manier waarop een toezichthouder te laag ingeschatte reikwijdte vindt.
5. Bewijs dat maatregelen werken. Back-up-restoretests met datum. Toegangsreviews. Registraties van kwetsbaarhedenbeheer. Leverancierscontracten met beveiligingsclausules.

Waar nog geen wet geldt

Niet elke klant zit in een land met een werkend regime. Frankrijk en Spanje hebben NIS2 niet omgezet en zijn op 8 juli 2026 beide door de Commissie naar het Hof van Justitie verwezen, samen met Ierland en Nederland.

In Frankrijk is het wetsvoorstel Résilience niet afgekondigd en is het volgens berichten begin oktober van de parlementaire agenda gehaald. Het ANSSI-kader ReCyF is een werkdocument (17 maart 2026). In Spanje ligt het in januari 2025 goedgekeurde voorontwerp nog bij het parlement.

Dat betekent niet dat een Franse of Spaanse klant kan wachten. Hun Duitse, Nederlandse en Italiaanse afnemers sturen artikel 21-vragenlijsten al door de keten. De verplichting komt binnen via het contract, niet via de wet.

Artikel 21 als gemeenschappelijke noemer

Elke nationale wet geeft invulling aan dezelfde tien risicobeheersmaatregelen uit artikel 21, lid 2 van de richtlijn. Dat geeft u één beoordeling die u over de grens kunt hergebruiken, met nationale aanvullingen erbovenop.

De werkbare aanpak voor een klant met meerdere landen:

• Voer één gap-analyse uit tegen artikel 21, lid 2 en leg die naast elke nationale basis.
• Houd één bewijsrepository aan, geordend per maatregel en niet per land.
• Onderhoud per land een kalender voor registratiewijzigingen, meldcontacten en auditdata.

Onze handleidingen over het gap-analyseproces en over het bewijs dat toezichthouders echt vragen behandelen de methode. Voor landendetails leest u de berichten over Polen, Nederland, Italië en Frankrijk en Spanje.

Waarom de volgorde MSP's opbreekt

Het faalpatroon is voorspelbaar. Een dienstverlener regelt de registratie voor een klant in één land, dient die in en gaat verder. Een halfjaar later heeft de Italiaanse dochter een deadline die nooit in de agenda kwam, omdat de kennisgeving naar een mailbox ging die niemand leest. De datum van de kennisgeving bepaalt de Italiaanse klok, niet het kalenderjaar.

Hetzelfde geldt voor contactpunten. Elk regime verwacht een bereikbaar persoon voor de toezichthouder en het CSIRT. Een vertrokken medewerker als contactpunt maakt van een routinebericht een gemiste verplichting. En met de wijzigingsmelding binnen 14 dagen in Nederland is dat een regelmatig terugkerend risico.

Wat u deze week kunt doen

Kies de klant met de meeste blootstelling en doe vier dingen.

Controleer eerst de registratiestatus in elk land waar de klant actief is, en noteer de datum die het register toont. Zoek ten tweede de Italiaanse kennisgeving van opname op en zet de datum 18 maanden daarna in de agenda. Ga ten derde na of het bestuur een gedateerde goedkeuring van de beveiligingsmaatregelen in het dossier heeft. Test ten vierde de incidentprocedure met een tabletop van 24 uur en leg het resultaat vast.

Wilt u een gestructureerd startpunt, dan brengt een NIS2-gereedheidsscan in enkele minuten de huidige situatie van een klant in kaart tegen de maatregelen van artikel 21 en laat zien waar het bewijs ontbreekt. Het is een gereedheidsbeoordeling en geen verklaring van naleving; de eisen van de toezichthouder blijven leidend.

De registratieperiode was de warming-up. De inspecties zullen toetsen of de maatregelen ooit echt waren.