Wetgeving · Cyberbeveiligingswet

Voor wie geldt de Cyberbeveiligingswet? Gemeenten wel, veiligheidsregio's niet

Sinds 15 augustus 2026 geldt de Cyberbeveiligingswet, de Nederlandse uitwerking van de Europese NIS2-richtlijn. De vraag die we in gesprekken het vaakst horen is niet wat de wet vraagt, maar of hij voor jou geldt. Het antwoord verschilt per organisatie.

Altijd onder de wet

• Ministeries, inclusief hun diensten en agentschappen
• Provincies
• Gemeenten
• Waterschappen

De toezichthouder is de Rijksinspectie Digitale Infrastructuur. Voor waterschappen is dat de Inspectie Leefomgeving en Transport.

Alleen als ze aan vier criteria voldoen

• Zelfstandige bestuursorganen (zbo's)
• Gemeenschappelijke regelingen

Kort gezegd: opgericht voor het algemeen belang en niet commercieel, met rechtspersoonlijkheid, grotendeels publiek gefinancierd of onder publiek toezicht, en met de bevoegdheid om besluiten te nemen die de rechten van burgers of bedrijven raken. Dat verschilt dus per regeling. Valt een gemeenschappelijke regeling eronder, dan is zij zelf verantwoordelijk en niet de gemeenten die eraan deelnemen.

Uitgezonderd

• Veiligheidsregio's
• Politie
• Openbaar Ministerie
• Ministerie van Defensie
• AIVD en MIVD
• De rechterlijke macht, de Eerste en Tweede Kamer en De Nederlandsche Bank

De eerste vijf zijn uitgezonderd omdat ze vooral werken aan nationale veiligheid, openbare veiligheid, defensie of rechtshandhaving.

Buiten de wet is niet buiten het risico

Voor een veiligheidsregio geldt de ketenzorgplicht niet formeel. De vraag erachter blijft wel staan: wat gebeurt er als het systeem voor de meldkamer, de crisiscommunicatie of de roostering morgen wegvalt, en wie heeft dan de data? En de Data Act geldt wel. Iedere afnemer van clouddiensten mag binnen dertig dagen overstappen, vanaf 12 januari 2027 zonder overstapkosten.

De gratis scan werkt daarom ook voor veiligheidsregio's. Kies in de scan voor "Veiligheidsregio": de vragen zijn dezelfde, en waar de Cyberbeveiligingswet ter sprake komt, lees je die als goed gebruik in plaats van als plicht.

Bronnen: Digitale Overheid, Voor welke overheidsorganisaties geldt de Cyberbeveiligingswet; Rijksinspectie Digitale Infrastructuur, Overheidsinstanties onder de Cyberbeveiligingswet. Gecontroleerd op 29 september 2026. Dit is geen juridisch advies.

Lees het overzicht van Digitale Overheid