Gepubliceerd op 17-07-2026
Eerst: val je er eigenlijk onder?
Begin hier, want registreren zonder te weten of je onder de wet valt heeft geen zin. De Rijksinspectie Digitale Infrastructuur (RDI) heeft een Zelfevaluatie waarmee je in een paar minuten ziet of je organisatie onder de wet valt en of je dan essentieel of belangrijk bent. Het is een eerste indruk en geen definitief besluit, maar voor de meeste organisaties is het antwoord helder.
Let op één ding, want hier gaat het vaak mis: het gaat om de sector waarin je zélf actief bent, niet om de sector waaraan je levert. Lever je aan een ziekenhuis, dan word je daar geen zorginstelling van. Dat je klanten onder de wet vallen betekent niet dat jij dat ook doet.
Regel je eHerkenning nu, niet in augustus
Je logt in op mijn.ncsc.nl met eHerkenning. Je hebt minimaal niveau EH2+ nodig, gekoppeld aan het KvK-nummer van de organisatie die zich registreert, plus een machtiging om namens die organisatie te mogen registreren. Die machtiging regelt de eHerkenning-beheerder in je eigen organisatie.
Heb je nog geen eHerkenning, dan kun je die aanvragen via eherkenning.nl en dat duurt enkele werkdagen. Dit is de enige stap in het hele proces met een doorlooptijd die je niet kunt versnellen.
De registratie zelf: tien minuten
Als je je gegevens vooraf verzamelt, ben je in ongeveer tien minuten klaar. Je hebt het volgende nodig:
- Cijfers: aantal FTE, jaaromzet en balanstotaal van vorig kalenderjaar
- Contactpersoon: iemand met kennis van cybersecurity én beslissingsbevoegdheid, met functie, telefoon en e-mail
- Netwerkgegevens: je publieke IP-adressen of -reeksen, je domeinnamen en eventuele AS-nummers
Dat laatste rijtje is meestal de reden dat mensen halverwege stoppen. Vraag het van tevoren op bij je ICT-partner of netwerkbeheerder, dan loop je er niet tegenaan. Je hebt dus even iemand van finance en iemand van IT nodig, en dat is precies waarom het handig is om het in één keer goed te doen.
Daarna zijn het vijf schermen: je organisatiegegevens controleren (die komen automatisch uit de KvK), je Cbw-gegevens invullen, je contactpersonen toevoegen, je netwerkgegevens invoeren en de samenvatting versturen. Je krijgt direct een bevestigingsmail.
Wij hebben die vijf stappen op één A4 gezet, inclusief wat je per scherm nodig hebt. Benieuwd? Bekijk de infographic over de Cbw-registratie.
Twee dingen die mensen vergeten
Download na afloop de PDF met je registratiegegevens en bewaar die in je compliance-dossier. Dat is je bewijs dat je op tijd was.
En houd het actueel. Wijzigingen in je organisatie-, contact- of netwerkgegevens dien je binnen veertien dagen door te geven. Verhuis je naar een andere IP-reeks of vertrekt je contactpersoon, dan is dat dus een actie en geen detail. Zet het ergens in een proces, want anders staat je registratie over een jaar vol met gegevens die niet meer kloppen.
En als je er niet onder valt?
Dan kun je je alsnog vrijwillig registreren. Bij het type entiteit is dat een aparte keuze, naast essentieel en belangrijk. Je krijgt dan dreigingsinformatie van het NCSC en je staat in beeld.
Wees wel eerlijk over wat het niet is: het recht op bijstand van het sectorale CSIRT hangt aan een verplichte melding. Vrijwillig registreren koopt je dus geen incident response.
Wat je daarnaast altijd kunt doen, ook zonder registratie: vrijwillig een incident melden via het NCSC-portaal, ook als het niet significant is of een bijna-incident was. Die meldingen gaan alleen naar het sectorale CSIRT en worden niet gedeeld met de toezichthouder.
Geregistreerd. En dan?
Dan begint het echte werk, want de zorgplicht is een stuk groter dan een formulier. Maar je hoeft niet te raden waar je moet beginnen.
De RDI publiceerde de resultaten van de NIS2-Quickscan, een zelfscan die tussen februari 2024 en september 2025 3.389 keer werd ingevuld over negen sectoren. Twee onderwerpen staan in vrijwel elke sector onderaan:
- Het trainen van alle leden van je bestuur
- Het verminderen van risico’s in je toeleveringsketen
Dat is geen toeval. De techniek koop je in en die staat bij de meeste organisaties gewoon. Deze twee kun je niet inkopen, dus blijven ze liggen.
Begin daarmee. Vergroot het bewustzijn in je organisatie met gerichte security awareness trainingen. Breng daarnaast je ketenrisico’s in kaart: welke leveranciers zijn cruciaal voor je dienstverlening en wat weet je over hun beveiliging? Dat helpt je ook om de vragenlijst te beantwoorden die je straks van je eigen klanten krijgt.
Aan de slag met de Cyberbeveiligingswet
Twijfel je of jouw organisatie onder de Cyberbeveiligingswet valt? Of wil je weten welke stappen je na de registratie moet zetten? Tredion helpt je verder.
Samen met Pronidus ondersteunen we organisaties bij zowel de technische als organisatorische kant van de Cyberbeveiligingswet. Zo werk je gericht toe naar een veilige en aantoonbaar compliant organisatie.
Wil je weten wat dit voor jouw organisatie betekent? Neem vrijblijvend contact met ons op.
open de infographic
