# NIS2 en de Cyberbeveiligingswet: wat er verandert voor je devteam

URL: https://brainpowergroup.eu/nl/blog/nis2-en-je-developmentteam
Datum: 2026-10-01
Door: Erik Schoorl, Brainpower Group

Sinds 15 augustus 2026 geldt de Cyberbeveiligingswet, de Nederlandse NIS2. Je devteam krijgt eisen aan veilig ontwikkelen, toegang, logging en melden binnen 24 uur.

Sinds 15 augustus 2026 geldt in Nederland de Cyberbeveiligingswet (Cbw), de Nederlandse uitwerking van de Europese NIS2-richtlijn. Valt je organisatie eronder, of lever je software aan een organisatie die eronder valt, dan krijgt je developmentteam eisen aan veilig ontwikkelen, het afhandelen van kwetsbaarheden, toegang, logging en het melden van incidenten. Het meeste daarvan doet een goed team al, maar nu moet je het ook kunnen aantonen.

Of je organisatie onder de wet valt, is een juridische vraag. Laat dat toetsen door iemand die daar verstand van heeft.

## Wat NIS2 vraagt

NIS2 is richtlijn (EU) 2022/2555, die lidstaten uiterlijk 17 oktober 2024 in nationale wetgeving moesten omzetten. De richtlijn geldt voor middelgrote en grote organisaties in sectoren als energie, zorg, vervoer, overheid en digitale infrastructuur. Ook aanbieders van managed services en managed security services vallen eronder.

Drie artikelen wegen het zwaarst. Volgens artikel 20 keurt het bestuur de beveiligingsmaatregelen goed, houdt het toezicht op de uitvoering en volgt het een training. Het bestuur kan ook aansprakelijk worden gesteld. Artikel 21 verplicht passende maatregelen tegen risico's en noemt de onderwerpen die er minimaal in moeten zitten. Artikel 23 regelt het melden van significante incidenten.

De boetes zijn fors. Voor essentiële entiteiten is het maximum minstens 10 miljoen euro of 2 procent van de wereldwijde jaaromzet, als dat hoger is. Voor belangrijke entiteiten is dat 7 miljoen euro of 1,4 procent.

## De Cyberbeveiligingswet in Nederland

Nederland was laat met de omzetting. Op 7 juli 2026 stemde de Eerste Kamer in met de Cbw. Een dag later maakte de Europese Commissie bekend dat ze Nederland voor het Hof van Justitie daagt, omdat de omzetting van NIS2 nog niet was gemeld. De wet trad op 15 augustus 2026 in werking. Volgens de Rijksoverheid vallen er ruim 8000 organisaties in 18 sectoren onder.

Wie onder de wet valt, moet zich registreren bij het NCSC. De zorgplicht, de registratie en de trainingsplicht voor bestuurders zijn verder uitgewerkt in het Cyberbeveiligingsbesluit. Incidenten meld je via MijnNCSC, in drie stappen: een vroegtijdige waarschuwing binnen 24 uur, een melding binnen 72 uur en een eindverslag binnen een maand na de melding.

## Ook als je zelf niet onder de wet valt

Valt je bedrijf zelf niet onder de Cbw, dan kan een klant van je er nog steeds onder vallen. Artikel 21 verplicht die klant om de beveiliging van zijn toeleveringsketen mee te wegen, inclusief de manier waarop leveranciers veilig ontwikkelen. Reken dus op vragenlijsten, contractclausules en soms een audit.

Je klant wil weten hoe jij kwetsbaarheden afhandelt en hoe snel je een incident aan hem doorgeeft. Hij heeft zelf maar 24 uur voor een eerste waarschuwing, dus "we laten het binnen een week weten" is geen antwoord dat hem helpt. Spreek een termijn in uren af.

## Wat er verandert voor je developmentteam

Artikel 21 noemt tien onderwerpen, waarvan er zeven je developmentteam direct raken.

| Onderwerp in artikel 21 | Wat je team concreet regelt |
|---|---|
| (b) incidentafhandeling | Logging en alerts waarmee je binnen 24 uur kunt zeggen wat er gebeurde |
| (c) bedrijfscontinuïteit | Backups met een geteste restore en een herstelplan |
| (d) toeleveringsketen | Een overzicht van dependencies en leveranciers, en review van nieuwe packages |
| (e) ontwikkeling en onderhoud | Code review, dependency scanning, een meldpunt voor kwetsbaarheden en afgesproken patchtermijnen |
| (h) cryptografie | Versleuteling van data en duidelijke afspraken over wie keys beheert |
| (i) toegang en assets | Minimale rechten, offboarding op dezelfde dag en een lijst van systemen |
| (j) MFA | Tweestapsverificatie op git, cloud, CI en package registries |

Schrijf op wat je doet, wie het doet en hoe vaak. Bewaar ook het bewijs: de review in de pull request, het verslag van de restoretest en het overzicht van wie waar toegang heeft. Aleksa schreef over herstel in [backups en disaster recovery](/nl/blog/backups-en-disaster-recovery), en de toeleveringsketen van je code komt aan bod in [supply chain-aanvallen op npm en PyPI](/nl/blog/supply-chain-aanvallen-op-npm-en-pypi).

## Melden binnen 24 uur vraagt voorbereiding

De termijn van 24 uur begint zodra je van het incident weet. Binnen die tijd moet iemand kunnen zeggen of het incident vermoedelijk kwaadwillig is en of het gevolgen over de grens heeft. Dat lukt alleen als de logs centraal staan en lang genoeg bewaard blijven, en als iemand weet hoe hij ze doorzoekt.

Leg vooraf vast wie de eerste analyse doet, wie het bestuur informeert en wie de melding doet. Oefen het een keer met een verzonnen scenario. Werk je met een extern of remote team, neem die mensen dan op in het plan, met namen en telefoonnummers.

Onze developers werken vanuit Servië, in dezelfde tijdzone als Nederland, op beheerde laptops met SSO en tweestapsverificatie. Onze werkwijze is afgestemd op de AVG en NIS2 (zie [hoe we werken](/nl/werkwijze)), en dat helpt bij de vragenlijst van je klant. De melding zelf blijft de verantwoordelijkheid van de organisatie die onder de wet valt.

## Niet verwarren met de Cyber Resilience Act

Bouw je een product met software dat in de EU op de markt komt, dan geldt ook de Cyber Resilience Act (CRA). Sinds 11 september 2026 moeten fabrikanten actief misbruikte kwetsbaarheden en ernstige incidenten in hun product melden bij het NCSC, met een eerste waarschuwing binnen 24 uur en een uitgebreidere melding binnen 72 uur. De producteisen en de CE-markering volgen op 11 december 2027.

NIS2 gaat over je organisatie, de CRA over je product. Een developmentteam kan met allebei te maken krijgen.

## Waar ik zou beginnen

Als fractional CTO zou ik in deze volgorde werken:

1. Stel vast of je organisatie of je belangrijkste klanten onder de Cbw vallen.
2. Maak een lijst van systemen, data, dependencies en leveranciers, met per onderdeel een eigenaar.
3. Zet MFA aan op alles en ruim oude accounts op.
4. Schrijf het incidentproces op en oefen het.
5. Leg vast hoe je kwetsbaarheden ontvangt, beoordeelt en patcht, en houd bij wat je hebt gedaan.

De eerste twee stappen kosten vooral tijd, en daarna weet je waar de gaten zitten.

## Bronnen

- [Richtlijn (EU) 2022/2555 (NIS2) op EUR-Lex](https://eur-lex.europa.eu/eli/dir/2022/2555/oj)
- [Rijksoverheid: Cyberbeveiligingswet en Wwke vanaf 15 augustus 2026 van kracht](https://www.rijksoverheid.nl/actueel/nieuws/2026/07/07/cyberbeveiligingswet-en-wet-weerbaarheid-kritieke-entiteiten-vanaf-15-augustus-2026-van-kracht)
- [Digitale Overheid: Cyberbeveiligingswet](https://www.digitaleoverheid.nl/overzicht-van-alle-onderwerpen/cyberbeveiligingswet/)
- [NCSC: meldplicht onder de Cyberbeveiligingswet](https://www.ncsc.nl/cyberbeveiligingswet-nis2/meldplicht)
- [Europese Commissie: Nederland voor het Hof van Justitie gedaagd over NIS2](https://digital-strategy.ec.europa.eu/en/news/commission-refers-ireland-spain-france-and-netherlands-court-justice-failing-transpose-rules)
- [NCSC: meldplicht Cyber Resilience Act gaat in](https://www.ncsc.nl/nieuws/meldplicht-cyber-resilience-act-gaat-vandaag-in)

## Veelgestelde vragen

**Wanneer is de Cyberbeveiligingswet in werking getreden?**

Op 15 augustus 2026. De Cyberbeveiligingswet is de Nederlandse uitwerking van de Europese NIS2-richtlijn en vervangt de Wbni. Organisaties die eronder vallen, moeten zich registreren bij het NCSC.

**Valt een softwarebedrijf onder NIS2?**

Niet automatisch. NIS2 geldt voor middelgrote en grote organisaties in de sectoren die de richtlijn noemt, waaronder aanbieders van managed services en managed security services. Val je er zelf niet onder, dan kunnen klanten die er wel onder vallen toch eisen aan jou als leverancier stellen.

**Binnen welke termijn moet je een incident melden onder NIS2?**

Een vroegtijdige waarschuwing binnen 24 uur nadat je van een significant incident weet, een melding binnen 72 uur en een eindverslag binnen een maand na die melding. In Nederland meld je via MijnNCSC.

---

Bron: https://brainpowergroup.eu/nl/blog/nis2-en-je-developmentteam
Brainpower Group, contact: https://brainpowergroup.eu/nl/contact, hello@brainpowergroup.eu