NIS2 · Sector energie

NIS2 voor de energiesector

Wat de Cyberbeveiligingswet betekent voor energiebedrijven

Stroom, gas en warmte zijn onmisbaar. Valt de energievoorziening uit, dan staat de rest van de samenleving ook stil. Daarom valt de energiesector sinds 15 augustus 2026 onder de Cyberbeveiligingswet (Cbw), de Nederlandse invulling van NIS2. Hier leest u wie eronder valt, wie toezicht houdt en wat u moet regelen.

Energie in het kort

Sector

Bijlage 1: zeer kritiek

Meestal

Essentieel of belangrijk

Toezichthouder

Rijksinspectie Digitale Infrastructuur (RDI)

Melden

NCSC via mijn.ncsc.nl

Welke energiebedrijven vallen onder NIS2?

De sector energie bestaat uit vijf deelsectoren. Organisaties daarin vallen onder de wet als zij middelgroot of groot zijn.

Elektriciteit: producenten, leveranciers, netbeheerders, aggregators en aanbieders van opslag en vraagrespons
Exploitanten van laadpunten voor elektrische voertuigen
Stadsverwarming en stadskoeling
Aardolie: pijpleidingen, productie, raffinage, opslag en transport
Aardgas: leveranciers, netbeheerders, opslag en LNG
Waterstof: productie, opslag en transport

Twijfelt u? Doe de gratis check →

Goed om te weten

Omvang
U valt eronder vanaf 50 medewerkers, of met een jaaromzet én balanstotaal boven € 10 miljoen. Vanaf 250 medewerkers, of met een jaaromzet boven € 50 miljoen én een balanstotaal boven € 43 miljoen, bent u groot.

Groepen tellen mee
De cijfers van verbonden ondernemingen binnen uw concern tellen mee. Ook een kleine dochter kan dus onder de wet vallen.

Twee toezichthouders mogelijk
Olie en gasbedrijven kunnen ook onder de sector chemie vallen. Dan krijgt u naast de RDI ook met de Inspectie Leefomgeving en Transport (ILT) te maken.

Kritieke entiteit?
Bent u aangewezen als kritieke entiteit onder de Wet weerbaarheid kritieke entiteiten (Wwke)? Dan bent u automatisch essentieel onder de Cbw.

Waarom de energiesector een doelwit is

Een aanval op een energiebedrijf blijft zelden bij de computer. Die raakt al snel de levering zelf.

IT en OT raken elkaar

Besturingssystemen van centrales, netten en installaties hangen steeds vaker aan het kantoornetwerk en het internet. Een aanval op de IT kan zo doorwerken tot in de fysieke installatie.

Energie wordt decentraal

Zonneparken, batterijen en laadpalen worden op afstand beheerd. Elke koppeling op afstand is een extra deur voor aanvallers.

Leveranciers in de keten

Onderhoud en beheer worden vaak uitbesteed. Een zwakke plek bij een leverancier raakt direct uw eigen systemen.

Uit de praktijk

Colonial Pipeline, Verenigde Staten, 2021

In mei 2021 trof ransomware de kantoorsystemen van Colonial Pipeline, de grootste brandstofpijpleiding van de VS. Uit voorzorg ging de hele pijpleiding bijna een week dicht, met lege pompen langs de oostkust als gevolg. Het laat zien hoe een digitaal incident direct de fysieke levering stillegt.

Wat de wet van energiebedrijven vraagt

De Cbw kent vier kernverplichtingen. Zo zien die eruit voor de energiesector.

Zorgplicht

U neemt passende maatregelen op basis van een risicobeoordeling. Voor energiebedrijven hoort daar nadrukkelijk de beveiliging van operationele technologie (OT) bij, niet alleen de kantoor IT.
Lees meer over de zorgplicht →

Meldplicht

Een significant incident meldt u binnen 24 uur via het portaal van het NCSC (mijn.ncsc.nl). Binnen 72 uur volgt een uitgebreidere melding en binnen een maand een eindverslag. De melding gaat automatisch door naar de RDI.
Lees meer over de meldplicht →

Registreren in het entiteitenregister

U registreert uw organisatie via mijn.ncsc.nl en houdt de gegevens actueel.
Lees meer over de registratieplicht →

Verantwoordelijkheid van het bestuur

Het bestuur keurt de maatregelen goed, houdt toezicht op de uitvoering en volgt verplicht een cybertraining. Bestuurders kunnen persoonlijk worden aangesproken.
Lees meer over toezicht →

Samenhang met andere regels

U hoeft het wiel niet opnieuw uit te vinden. Deze kaders sluiten aan op de Cbw.

Wet weerbaarheid kritieke entiteiten

Geldt sinds 15 augustus 2026 en richt zich op fysieke weerbaarheid, zoals sabotage en extreem weer. Kritieke entiteiten zijn automatisch essentieel onder de Cbw.

ISO 27001

Een goed ingericht managementsysteem voor informatiebeveiliging dekt een groot deel van de zorgplicht en maakt die aantoonbaar.

IEC 62443

De gangbare norm voor het beveiligen van industriële besturingssystemen. Een logische basis voor uw OT.

Zo pakt u NIS2 aan als energiebedrijf

Vier stappen om grip te krijgen, zonder dat het een papieren exercitie wordt.

Stel vast of u eronder valt

Bepaal uw deelsector en uw omvang, inclusief de cijfers van uw concern.

Registreer bij het NCSC

Leg uw gegevens vast in het entiteitenregister via mijn.ncsc.nl.

Breng IT en OT in kaart

Maak een overzicht van systemen, installaties op afstand en leveranciers, en beoordeel de risico’s.

Regel melden en bestuur

Richt een meldproces van 24 uur in en zorg dat het bestuur de training volgt.

Bekijk ook andere sectoren

Uw energiebedrijf klaar voor NIS2

Wij helpen u van risicoanalyse tot bestuurstraining, met oog voor zowel IT als OT.