NIS2 · Sector overheid

    NIS2 voor de overheid

    Wat de Cyberbeveiligingswet betekent voor Rijk, provincies, gemeenten en waterschappen

    Burgers moeten erop kunnen vertrouwen dat de overheid bereikbaar is en hun gegevens veilig zijn. Daarom vallen overheden sinds 15 augustus 2026 onder de Cyberbeveiligingswet, als essentiële entiteit en ongeacht hun omvang.
    Do the free check
    Contact us

    Overheid in het kort

    Sector

    Bijlage 1: zeer kritiek

    Entiteit

    Essentieel, ongeacht omvang

    Toezichthouder

    RDI (waterschappen: ILT)

    Melden

    NCSC via mijn.ncsc.nl

    Welke overheden vallen onder NIS2?

    De wet geldt voor de centrale en de decentrale overheid.
    • Ministeries en hun diensten en agentschappen
    • Provincies
    • Gemeenten
    • Waterschappen
    • Zelfstandige bestuursorganen op rijksniveau, als zij voldoen aan de vier criteria voor overheidsinstanties
    • Gemeenschappelijke regelingen, zoals omgevingsdiensten, als zij voldoen aan dezelfde vier criteria
    Twijfelt u? Doe de gratis check →

    Goed om te weten

    Uitgezonderd
    Organisaties die vooral werken aan nationale veiligheid, openbare veiligheid, defensie of rechtshandhaving, zoals Defensie, politie, OM, AIVD, MIVD en de veiligheidsregio’s. Ook de rechterlijke macht, de Eerste en Tweede Kamer en DNB vallen er niet onder.

    De vier criteria
    Voor zbo’s en gemeenschappelijke regelingen moet u toetsen aan de vier criteria uit de Memorie van Toelichting, paragraaf 5.1.2.

    BIO2 is de basis
    De zorgplicht wordt voor de overheid ingevuld met de Baseline Informatiebeveiliging Overheid versie 2.

    Waarom de overheid een doelwit is

    Overheden beheren gegevens van iedereen en leveren diensten waar niemand omheen kan.

    Veel persoonsgegevens

    Van basisregistraties tot sociaal domein: de overheid beheert enorme hoeveelheden gevoelige gegevens.

    Veel koppelingen

    Systemen van verschillende overheden en leveranciers zijn nauw met elkaar verbonden.

    Publieke dienst direct geraakt

    Uitval betekent dat burgers geen paspoort, uitkering of vergunning krijgen.
    Uit de praktijk

    Wat de RDI zag in de quickscan

    Uit de NIS2 quickscan van de RDI blijkt dat overheidsorganisaties vooral nog werk hebben aan drie onderwerpen: het trainen van alle bestuursleden, het verminderen van risico’s in de toeleveringsketen en het beoordelen of maatregelen echt werken.

    Wat de wet van overheden vraagt

    De vier kernverplichtingen. De ministeriële regeling van BZK werkt ze uit voor de overheid.

    Duty of care

    De BIO2 is het normenkader waarmee u de zorgplicht invult. Het vertrekpunt is een eigen risicobeoordeling.
    Lees meer over de zorgplicht →

    Duty to report

    Een significant incident meldt u binnen 24 uur via het portaal van het NCSC (mijn.ncsc.nl). Binnen 72 uur volgt een uitgebreidere melding en binnen een maand een eindverslag. Wat significant is, staat in de ministeriële regeling van BZK.
    Lees meer over de meldplicht →

    Registreren in het entiteitenregister

    U registreert uw organisatie via mijn.ncsc.nl en houdt de gegevens actueel.
    Lees meer over de registratieplicht →

    Verantwoordelijkheid van het bestuur

    Alle bestuursleden volgen verplicht een training, met certificaat, en houden hun kennis actueel. Bestuurders leggen verantwoording af aan de volksvertegenwoordiging.
    Lees meer over toezicht →

    Samenhang met BIO2 en andere kaders

    Voor de overheid sluit de Cbw aan op kaders die al in gebruik zijn.

    BIO2

    Het verplichte normenkader voor informatiebeveiliging bij de overheid, nu met een wettelijke basis als invulling van de zorgplicht.

    ENSIA

    Gemeenten leggen met ENSIA jaarlijks verantwoording af. Daarmee laten zij zien in hoeverre zij aan de zorgplicht voldoen.

    AVG

    Blijft naast de Cbw gelden. Een datalek meldt u bij de Autoriteit Persoonsgegevens.

    Zo pakt u NIS2 aan als overheid

    Vier stappen om grip te krijgen, zonder dat het een papieren exercitie wordt.
    1

    Bepaal wie eronder valt

    Toets ook uw zbo’s en gemeenschappelijke regelingen aan de vier criteria.
    2

    Registreer bij het NCSC

    Leg uw gegevens vast in het entiteitenregister via mijn.ncsc.nl.
    3

    Maak de BIO2 aantoonbaar

    Zorg dat risicobeoordeling en maatregelen aantoonbaar werken, niet alleen op papier.
    4

    Train het bestuur

    Zorg dat alle bestuursleden de verplichte training volgen en hun kennis bijhouden.
    Plan een NIS2 assessment

    Veelgestelde vragen over NIS2 en de overheid

    Dat kan. Omgevingsdiensten zijn gemeenschappelijke regelingen en vallen eronder als zij voldoen aan de vier criteria voor overheidsinstanties.

    De RDI voor de rijksoverheid, provincies en gemeenten. Voor waterschappen is dat de Inspectie Leefomgeving en Transport (ILT).

    De BIO2 is het startpunt voor de zorgplicht. Registratie, meldplicht en de bestuurstraining regelt u daarnaast.

    Nee. Veiligheidsregio’s vallen onder de uitzondering voor organisaties die vooral werken aan openbare veiligheid.

    Bekijk ook andere sectoren

    Energy
    ICT-dienstverleners
    Healthcare
    Transport
    Banking
    Digital infrastructure
    Drink- and wastewater
    Gemeenten
    Alle sectoren

    Een overheid waar burgers op kunnen bouwen

    Wij helpen overheidsorganisaties BIO2 en de Cyberbeveiligingswet aantoonbaar op orde te brengen.
    Contact us
    Do the free check