Registreren voor de Cyberbeveiligingswet: wie wel en wie niet

Zoek op registreren en de Cyberbeveiligingswet, en je komt uit bij een stappenplan van het NCSC. Dat plan is niet voor jou geschreven. Het is voor de organisatie die de wet heeft aangewezen, en dat is bijna nooit de leverancier die de vraag intikt.

Dus meteen het antwoord. Als toeleverancier meld je je niet aan. De registratieplicht geldt voor essentiële en belangrijke entiteiten, niet voor hun leveranciers.

Wie zich wel aanmeldt

Een organisatie valt onder de wet als zij in een sector uit bijlage 1 of 2 zit en de omvangsdrempel haalt. Die twee vragen staan uitgewerkt in Wat is de Cyberbeveiligingswet?. Is het antwoord op allebei ja, dan hoort zij zich te registreren.

Dat gaat via het entiteitenregister op MijnNCSC. Inloggen kan met eHerkenning, en rijksonderdelen gebruiken SSOnRijk. Na de registratie krijgt de organisatie toegang tot de dienstverlening van het CSIRT van haar sector, het team dat bij incidenten meekijkt.

Om hoeveel organisaties het gaat, is niet met een enkel getal te zeggen. De Rijksinspectie Digitale Infrastructuur schreef op de dag dat de wet inging dat ruim achtduizend organisaties in negen sectoren onder haar toezicht vallen, en zij is niet de enige toezichthouder.

Bij welke toezichthouder je opdrachtgever hoort

Wie toezicht houdt, verschilt per sector. De aanwijzingsbesluiten staan in de Staatscourant. Dit is de reden dat het voor jou de moeite is om te weten in welke sector je opdrachtgever zit.

• Vervoer over lucht, spoor, water en weg, en ook drinkwater, afvalwater, afvalstoffenbeheer en chemische stoffen: de Inspectie Leefomgeving en Transport (Stcrt. 2026, 24155)
• Energie: de Rijksinspectie Digitale Infrastructuur (Stcrt. 2026, 22079)
• Digitale infrastructuur, beheer van ICT-diensten tussen bedrijven, digitale aanbieders, post- en koeriersdiensten en ruimtevaart: de Rijksinspectie Digitale Infrastructuur (Stcrt. 2026, 25628)
• Overheid, centraal en decentraal: de Rijksinspectie Digitale Infrastructuur (Stcrt. 2026, 27674)
• Productie, verwerking en distributie van levensmiddelen: de Nederlandse Voedsel- en Warenautoriteit (Stcrt. 2026, 25479)
• Gezondheidszorg en de vervaardiging van medische hulpmiddelen: de Inspectie Gezondheidszorg en Jeugd (Stcrt. 2026, 28763)

Voor bankwezen en voor de infrastructuur van de financiële markt is geen aanwijzingsbesluit te vinden. Lever je aan een bank, dan is de toezichthouder van je opdrachtgever dus niet uit deze lijst te halen. Dat is eerlijker dan een naam noemen die niet te onderbouwen is.

Wat er na de registratie gebeurt

De registratie is geen formaliteit die daarna stil blijft liggen. Die zet de meldketen aan. Bij een significant incident stuurt de organisatie binnen vierentwintig uur een vroegtijdige waarschuwing, binnen tweeënzeventig uur een incidentmelding, en binnen een maand een eindverslag. Een melding via MijnNCSC gaat in een keer naar het CSIRT en naar de toezichthouder.

De klok begint op het moment dat je opdrachtgever kennis krijgt van het incident. Gebeurt het bij jou, dan hoort hij het van jou, en zijn vierentwintig uur lopen al. Dat is de hele reden dat er in vragenlijsten bijna altijd een vraag staat over hoe snel je belt.

Artikel 30 legt hem ook op om zijn eigen afnemers te waarschuwen bij een incident dat hun dienstverlening kan raken. Zijn melding gaat dus omhoog naar de toezichthouder en omlaag naar zijn klanten, binnen dezelfde dag.

Wat telt als een incident dat gemeld moet worden

Niet elke storing gaat naar de toezichthouder. De meldplicht geldt bij significante incidenten. Significant betekent dat het incident een ernstige verstoring van de dienstverlening of financieel verlies veroorzaakt, of kan veroorzaken. Of dat het andere organisaties raakt met aanzienlijke schade, materieel of immaterieel.

Wat dat in cijfers betekent, verschilt per sector. De concrete drempelwaarden komen in ministeriële regelingen per departement, en die zijn nog niet allemaal gepubliceerd. Je opdrachtgever weet op dit moment dus zelf ook niet altijd precies waar zijn grens ligt.

Dat verklaart waarom hij van jou liever een belletje krijgt dan een oordeel. Kleinere incidenten en bijna-incidenten mag hij vrijwillig melden, en dat kan hij alleen als hij ervan weet. Loopt een incident langer dan een maand door, dan stuurt hij tussentijds een voortgangsverslag en volgt het eindverslag binnen een maand na afhandeling.

Wat er daardoor van jou wordt gevraagd

Twee dingen komen bijna altijd terug. Een doormeldafspraak, dus binnen hoeveel uur jij het meldt als er bij jou iets gebeurt dat hem raakt. En een contactpunt: naam, functie, telefoonnummer, en een kanaal dat blijft werken als e-mail plat ligt.

Dat zijn afspraken uit een contract en niet uit de wet. Je onderhandelt erover zoals over elke andere voorwaarde, en je mag vragen waarom een termijn van twaalf uur nodig is als jij een schoonmaakploeg levert. Wat mag je opdrachtgever van je eisen? zet die grens uiteen.

Wat je hiermee doet

Registreren is niet aan jou, en dat is een prettig antwoord om te kunnen geven aan de accountmanager die belt. Het is alleen niet het hele antwoord. De organisatie die zich registreert gaat daarna haar keten langs, en jij zit in die keten.

Vraag dus niet of jij moet registreren. Vraag of je opdrachtgever dat heeft gedaan. Weet je dat, dan weet je ook of die vragenlijst eenmalig is of het begin van een jaarlijkse ronde. De gratis scopecheck doet het eerste stuk op bedrijfsnaam.