NIS2 · Gemeenten

    NIS2 voor gemeenten

    Wat de Cyberbeveiligingswet betekent voor uw gemeente

    Van paspoort tot bijstand: de gemeente is voor inwoners de dichtstbijzijnde overheid. Sinds 15 augustus 2026 valt elke gemeente onder de Cyberbeveiligingswet, als essentiële entiteit. Groot of klein maakt daarbij niet uit.
    Do the free check
    Contact us

    Gemeenten in het kort

    Sector

    Sector overheid, bijlage 1

    Entiteit

    Altijd essentieel

    Toezichthouder

    Rijksinspectie Digitale Infrastructuur (RDI)

    Melden

    NCSC via mijn.ncsc.nl

    Welke gemeentelijke organisaties vallen onder NIS2?

    Niet alleen de gemeente zelf, ook samenwerkingsverbanden kunnen eronder vallen.
    • Alle gemeenten, ongeacht hun omvang
    • Gemeenschappelijke regelingen waaraan ten minste één gemeente deelneemt, als zij voldoen aan de vier criteria voor overheidsinstanties
    • Bijvoorbeeld omgevingsdiensten
    Twijfelt u? Doe de gratis check →

    Goed om te weten

    BIO2 is verplicht
    De BIO2 is het verplichte normenkader waarmee gemeenten de zorgplicht gestructureerd en aantoonbaar invullen.

    ENSIA telt mee
    Met de jaarlijkse ENSIA-verantwoording laat u zien in hoeverre u aan de zorgplicht voldoet. De RDI heeft recht op die informatie.

    Melden en ondersteuning
    Gemeenten melden via het NCSC-portaal. De melding gaat door naar het CSIRT en de RDI. De Informatiebeveiligingsdienst (IBD) van de VNG ondersteunt gemeenten.

    Veiligheidsregio
    Veiligheidsregio’s vallen niet onder de Cbw.

    Waarom gemeenten een doelwit zijn

    Gemeenten combineren veel gevoelige gegevens met beperkte capaciteit. Aanvallers weten dat.

    Gevoelige gegevens

    Basisregistraties, sociaal domein en belastingen: de gemeente weet veel over haar inwoners.

    Afhankelijk van leveranciers

    Gemeenten werken met veel externe applicaties en regionale samenwerkingen.

    Beperkte capaciteit

    Zeker kleinere gemeenten hebben weinig specialisten in huis om alles bij te houden.
    Uit de praktijk

    Gemeente Hof van Twente, 2020

    In december 2020 legde ransomware de gemeente Hof van Twente wekenlang plat. De aanvallers kwamen binnen via een account met het wachtwoord Welkom2020. Het herstel kostte maanden en de schade liep in de miljoenen.

    Wat de wet van gemeenten vraagt

    De vier kernverplichtingen, vertaald naar de gemeentelijke praktijk.

    Duty of care

    U vult de zorgplicht in met de BIO2, op basis van een eigen risicobeoordeling. Via ENSIA legt u er jaarlijks verantwoording over af.
    Lees meer over de zorgplicht →

    Duty to report

    Een significant incident meldt u binnen 24 uur via het portaal van het NCSC (mijn.ncsc.nl). Binnen 72 uur volgt een uitgebreidere melding en binnen een maand een eindverslag. Wat significant is, staat in de ministeriële regeling van BZK.
    Lees meer over de meldplicht →

    Registreren in het entiteitenregister

    U registreert uw organisatie via mijn.ncsc.nl en houdt de gegevens actueel.
    Lees meer over de registratieplicht →

    Verantwoordelijkheid van het bestuur

    Alle bestuursleden volgen verplicht een training, met certificaat, en houden hun kennis actueel. Het bestuur legt verantwoording af aan de gemeenteraad.
    Lees meer over toezicht →

    Samenhang met BIO2 en ENSIA

    Gemeenten hoeven niet bij nul te beginnen. De Cbw bouwt voort op wat er al is.

    BIO2

    Het verplichte normenkader voor de zorgplicht. Richt het zo in dat maatregelen aantoonbaar werken.

    ENSIA

    De jaarlijkse verantwoording over informatiebeveiliging, nu ook bruikbaar richting de RDI.

    AVG

    Blijft naast de Cbw gelden. Een datalek meldt u bij de Autoriteit Persoonsgegevens.

    Zo pakt uw gemeente NIS2 aan

    Vier stappen om grip te krijgen, zonder dat het een papieren exercitie wordt.
    1

    Registreer gemeente en regelingen

    Registreer de gemeente en toets ook uw gemeenschappelijke regelingen.
    2

    Maak de BIO2 aantoonbaar

    Laat met risicobeoordeling en bewijs zien dat maatregelen echt werken.
    3

    Regel melden binnen 24 uur

    Leg vast wie meldt en oefen het met een realistisch scenario.
    4

    Train het bestuur

    Zorg dat alle bestuursleden de verplichte training volgen en hun kennis bijhouden.
    Plan een NIS2 assessment

    Veelgestelde vragen over NIS2 en gemeenten

    Ja. Alle gemeenten zijn essentieel, ongeacht hun omvang.

    De Cbw is de wet met de verplichtingen. De BIO2 is het normenkader waarmee gemeenten de zorgplicht uit die wet invullen.

    Via het portaal van het NCSC (mijn.ncsc.nl), binnen 24 uur. De melding wordt doorgezet naar het CSIRT en de RDI.

    Dat kan. Een gemeenschappelijke regeling waaraan ten minste één gemeente deelneemt, valt eronder als zij voldoet aan de vier criteria voor overheidsinstanties.

    Bekijk ook andere sectoren

    Energy
    ICT-dienstverleners
    Healthcare
    Transport
    Banking
    Digital infrastructure
    Drink- and wastewater
    Government
    Alle sectoren

    Een gemeente waar inwoners op kunnen vertrouwen

    Wij helpen gemeenten BIO2, ENSIA en de Cyberbeveiligingswet te verbinden tot één aanpak.
    Contact us
    Do the free check