Valt uw maakbedrijf onder de Cyberbeveiligingswet? Dit moet u weten

Veel bedrijven in de maakindustrie vallen vanaf 15 augustus 2026 onder de Cyberbeveiligingswet, ook als cyberbeveiliging tot nu toe geen prioriteit was. Of dat voor uw onderneming geldt, hangt af van uw sector, uw omvang en de structuur van uw organisatie. In dit artikel leggen we uit hoe u dat snel kunt bepalen. In de afbeelding hieronder staan de sectoren weergegeven die onder bereik van de Cyberbeveiligingswet vallen.

Wat is de Cyberbeveiligingswet?

De Cyberbeveiligingswet (Cbw) implementeert de Europese NIS2-richtlijn in Nederland en vervangt de huidige Wet beveiliging netwerk- en informatiesystemen. De wet introduceert een zorgplicht, een meldplicht bij incidenten en een registratieplicht voor circa 8.000 organisaties in 18 sectoren. Bestuurders krijgen een expliciete verantwoordelijkheid voor cyberbeveiliging, en toezichthouders krijgen ruime bevoegdheden, inclusief boetes.

Welke maakbedrijven vallen eronder?

De maakindustrie is als sector expliciet opgenomen in bijlage 2 van de Cbw ("overige kritieke sectoren"). Het gaat onder meer om de vervaardiging van medische hulpmiddelen, computers, elektronica en optische producten, elektrische apparatuur, machines en apparaten (NACE-code 28), motorvoertuigen en overig transportmaterieel. Herkent u uw bedrijf hierin, bijvoorbeeld als fabrikant van industriële machines, besturingssystemen of technische installaties, dan is de kans groot dat de Cbw op u van toepassing is.

Wanneer kwalificeert u als 'belangrijke entiteit'?

Voor de meeste maakbedrijven geldt dat zij als belangrijke entiteit kwalificeren zodra zij de omvangsdrempel voor middelgrote ondernemingen overschrijden: 50 of meer medewerkers, én een jaaromzet boven €10 miljoen of een balanstotaal boven €10 miljoen. 

De hele onderneming telt mee, niet alleen uw productieomzet

Een veelgemaakte denkfout is dat alleen de omzet en het personeel die direct aan productie zijn toe te rekenen, meetellen voor de drempelwaarden. Dat is onjuist. De toepasselijkheid wordt in beginsel bepaald op het niveau van de gehele juridische entiteit. Heeft uw bedrijf naast productie ook een omvangrijke installatie-, onderhouds- of servicetak? Dan telt die activiteit in de regel gewoon mee, ook als uw kernactiviteit "slechts" fabricage is.

Dit wordt extra relevant wanneer uw bedrijf onderdeel is van een internationale groep. De omvangstoets volgt de definitie van "onderneming" uit de Europese MKB-Aanbeveling, en bij een buitenlandse moedermaatschappij kan het nodig zijn om groepscijfers mee te wegen, ook als de Nederlandse vestiging op zichzelf al boven de drempel zit.

Wat zijn de gevolgen als de Cbw op u van toepassing is?

Valt uw bedrijf onder de Cbw, dan krijgt u drie kernverplichtingen: 

• een zorgplicht (passende technische en organisatorische maatregelen tegen cyberrisico's),
• een meldplicht bij significante incidenten (eerste melding binnen 24 uur, volledig rapport binnen 72 uur, eindupdate binnen 14 dagen) en;
• een registratieplicht bij het NCSC. 

Voor bestuurders is dit geen vrijblijvende kwestie: zij krijgen een expliciete, persoonlijke verantwoordelijkheid om toezicht te houden op de naleving van deze verplichtingen en moeten daarvoor voldoende kennis hebben of zich laten trainen. Toezichthouders krijgen ruime handhavingsbevoegdheden, van aanwijzingen en boetes tot, bij essentiële entiteiten in ernstige gevallen, zelfs tijdelijke schorsing van bestuurders. Voor de dagelijkse praktijk betekent dit dat cyberbeveiliging een vast agendapunt op bestuurs- en directieniveau wordt, in plaats van uitsluitend een IT-aangelegenheid.

Buitenlandse moedermaatschappij: wie is verantwoordelijk?

Veel Nederlandse maakbedrijven maken deel uit van een internationale groep. Een veelgehoorde aanname is dat de compliance-verantwoordelijkheid dan bij het buitenlandse hoofdkantoor ligt. Dat is onjuist: de Cbw-verplichtingen rusten op de Nederlandse rechtspersoon zelf, ongeacht waar de moedermaatschappij is gevestigd. De Nederlandse dochter moet dus zelfstandig beoordelen of zij onder de wet valt, zich zelf registreren en zelf aan de zorg- en meldplicht voldoen. En of haar bestuurders zich moeten laten trainen en over voldoende kennis moeten beschikken.

Daarbij is een belangrijk punt om te beseffen dat NIS2 een Europese richtlijn is en geen rechtstreeks werkende verordening. Iedere lidstaat moet de richtlijn omzetten in eigen nationale wetgeving. NIS2 kent op onderdelen minimumharmonisatie. Lidstaten mogen dus strengere eisen stellen dan het Europese minimum (Nederland heeft al aangegeven dit op onderdelen te zullen doen). Dat betekent dat de precieze invulling van bijvoorbeeld de zorgplicht, de handhaving en de sanctieregimes van land tot land kan verschillen, ook al is de onderliggende richtlijn hetzelfde. Voor een groep met dochterondernemingen in meerdere EU-lidstaten heeft dit een praktische consequentie: elke dochter moet worden getoetst aan de nationale implementatiewet van het land waarin zij is gevestigd, en die uitkomst kan per land anders uitvallen. Een centraal groepsbeleid is een goed startpunt, maar vervangt niet de lokale toets per entiteit.

Praktijkvoorbeeld

Denk aan een Nederlandse fabrikant van technische installaties die deze producten ook zelf ontwerpt, installeert en jarenlang onderhoudt. Zo'n bedrijf redeneert soms: "onze installatie- en onderhoudsomzet telt niet mee, want dat is geen productie." In de praktijk blijkt die knip vrijwel nooit houdbaar, niet juridisch (de wet kijkt naar de entiteit als geheel) én niet statistisch (installatie van eigen gefabriceerde producten wordt door het CBS doorgaans nog steeds als onderdeel van de fabricageactiviteit gezien). Vroegtijdig advies voorkomt dat u zich achteraf ten onrechte buiten de wet waant.

Veelgestelde vragen

Moet ik mij zelf aanmelden, of doet de overheid dat? 

U bent zelf verantwoordelijk voor de beoordeling of u onder de Cbw valt, en voor de registratie bij het NCSC via mijn.ncsc.nl. De verplichting om aangemeld te zijn geldt vanaf 15 augustus 2026.

Wat als ik twijfel over mijn NACE-code? 

De zelfevaluatietool van de overheid is een goed startpunt, maar geeft geen juridisch bindend antwoord. Bij twijfel, zeker bij gemengde activiteiten zoals productie én installatie, is een gerichte toets aan te raden.

Wat gebeurt er als ik ten onrechte denk buiten scope te vallen? 

Niet-naleving kan leiden tot bestuurlijke maatregelen, boetes en in bepaalde gevallen persoonlijke aansprakelijkheid van bestuurders.

Weten waar u staat?

BG.legal begeleidt (maak)bedrijven bij het bepalen van hun positie onder de Cyberbeveiligingswet, van sectorbeoordeling tot omvangstoets en registratie.