Wat houdt de registratieplicht van de Cyberbeveiligingswet (NIS2) in?

Alle essentiële en belangrijke entiteiten onder de Cyberbeveiligingswet moeten hun organisatiegegevens aanleveren voor het nationale entiteitenregister. In Nederland loopt dat via mijn.ncsc.nl. Met dit register krijgt de EU zicht op welke organisaties onder de wet vallen en kan het NCSC je bereiken met relevante dreigingsinformatie zodra je geregistreerd staat. Weet je nog niet zeker of je organisatie onder de wet valt? Doe eerst onze NIS2 Quickscan voordat je verdergaat; dat scheelt je wat uitzoekwerk.

{{LINKCARD}}

Wanneer moet je je registreren bij het NCSC?

De registratieplicht geldt vanaf het moment dat de wet op je organisatie van toepassing is. Dat was in principe 15 augustus 2026, de dag waarop de Cyberbeveiligingswet in werking trad. Sta je nog niet in het register terwijl je wel onder de wet valt, dan loop je dus achter en is registreren het eerste dat je oppakt. Je kunt ook later onder de wet komen te vallen, bijvoorbeeld doordat je organisatie groeit, doordat je activiteiten veranderen of doordat je na een overname in een andere sector terechtkomt. Vanaf dat moment geldt de registratieplicht voor jou.

Reken er wel op dat de voorbereiding langer duurt dan het formulier zelf. De aanvraag van eHerkenning op het juiste niveau kost al snel een paar dagen en dat is iets wat je liever niet ontdekt op de dag dat je wilt registreren. Ook niet-NIS2-plichtige organisaties mogen zich inschrijven. Je krijgt dan toegang tot snellere communicatie met NCSC, persoonlijke ondersteuning en een informatiepartner. Zeker de moeite waard!

Wat heb je nodig voor je NIS2-registratie?

‍

eHerkenning op niveau EH2+

eHerkenning is een veilig en betrouwbaar inlogmiddel waarmee ondernemers en organisaties online zaken kunnen regelen bij de overheid en andere diensten. Je kunt het zien als een soort DigiD voor bedrijven. Voor MijnNCSC heb je eHerkenning nodig op betrouwbaarheidsniveau EH2+ (het betrouwbaarheidsniveau voor zakelijk inloggen), gekoppeld aan het KvK-nummer van je organisatie, plus een machtiging om namens de organisatie te registreren.

‍

Werk je bij een aangesloten Rijksoverheidsorganisatie, dan gebruik je Single Sign On Rijk. Dat moet eenmalig vooraf worden toegestaan.

De gegevens die je moet aanleveren

Je vult straks organisatie-, contact- en netwerkgegevens in, waaronder publieke IP-adressen of IP-reeksen, domeinnamen en AS-nummers. Die informatie zit vaak verspreid bij verschillende collega's, zoals de CISO of de netwerkbeheerder, en soms bij je hostingpartij. Verzamel dit vooraf, dan doorloop je de registratie in één keer.

Wie de registratie invult

Laat de registratie invullen door iemand met beslissingsbevoegdheid, bij voorkeur met kennis van cybersecurity. In veel organisaties is dat de CISO of IT-verantwoordelijke, in kleinere organisaties de eigenaar of compliance-verantwoordelijke.

Zo doe je je NIS2-registratie bij MijnNCSC, stap voor stap

Na het inloggen doorloop je vijf schermen. Met alles bij de hand ben je in ongeveer tien minuten klaar.

1. Ga naar mijn.ncsc.nl en log in. Dat doe je met eHerkenning op niveau EH2+, gekoppeld aan het KvK-nummer van je organisatie en met een machtiging om namens de organisatie te handelen. Rijksmedewerkers loggen in met Single Sign On Rijk.‍
2. Vul je organisatiegegevens in. De basisgegevens van je organisatie, zoals naam, KvK-nummer en adres.‍
3. Vul de aanvullende organisatiegegevens in. Hier leg je vast onder welke sector en subsector uit de wet je valt en in welke EU-lidstaten je de diensten levert die onder de wet vallen. Deze gegevens bepalen mede of je als belangrijke of essentiële entiteit wordt aangemerkt.‍
4. Vul je contactgegevens in. Het NCSC moet je kunnen bereiken bij een dreiging of een incident. Zorg dus voor een contactpersoon, e-mailadres en telefoonnummer die ook werken als degene die het formulier invulde er even niet is.
5. ‍Vul je netwerkgegevens in. Publieke IP-adressen of IP-reeksen, domeinnamen en AS-nummers. Dit is het onderdeel waar de meeste organisaties op vastlopen, omdat de gegevens meestal bij een andere collega liggen dan degene die het formulier invult.
6. ‍Controleer de samenvatting en verstuur. Je krijgt een overzicht van alles wat je hebt ingevuld. Na versturen ben je geregistreerd.

‍

Verandert er later iets, bijvoorbeeld na een fusie of een wijziging in je IP-reeksen? Geef dat dan binnen 14 dagen door via MijnNCSC.

In welk EU-land registreer je je als je in meerdere lidstaten actief bent?

Hier gaat het vaak mis, want iedere organisatie heeft een hoofdvestiging en dat leidt tot de aanname dat je je daar registreert. De wet gebruikt de hoofdvestiging alleen bij één specifieke groep aanbieders.

Digitale aanbieders registreren zich bij hun hoofdvestiging

Het gaat om een vaste lijst: aanbieders van DNS-diensten, TLD-registers, domeinnaamregistratiediensten, cloudcomputingdiensten, datacenterdiensten, content delivery networks, managed service providers, managed security service providers, onlinemarktplaatsen, onlinezoekmachines en platforms voor sociale netwerkdiensten.

Zij schrijven zich één keer in, zodat dezelfde aanbieder dat niet in elke lidstaat opnieuw hoeft te doen. Je hoofdvestiging is de lidstaat waar je de beslissingen over je cybersecuritymaatregelen overwegend neemt. Is dat niet aan te wijzen, dan telt de lidstaat waar je cybersecurityactiviteiten worden uitgevoerd en anders de lidstaat waar je grootste vestiging qua personeel zit.

Alle overige organisaties registreren zich per lidstaat waar ze gevestigd zijn

Let op het verschil tussen gevestigd zijn en actief zijn, want daar zit de verwarring. Een Nederlandse organisatie met alleen een Nederlandse vestiging die ook klanten in België en Duitsland bedient, registreert zich uitsluitend in Nederland. Heb je in België een vestiging die daar onder de wet valt, dan registreer je je in Nederland én in België.

Twee uitzonderingen om te kennen

Lever je openbare elektronischecommunicatienetwerken of -diensten, dan val je onder de lidstaat waar je die diensten levert. Zit je organisatie buiten de EU terwijl je wel diensten in de EU levert, dan wijs je een vertegenwoordiger aan in een van de lidstaten waar je actief bent en val je onder die lidstaat.

Twijfel je in welke situatie je zit, dan is dit een goed moment om even met ons te overleggen, voordat je gaat invullen.

NIS2-boetes: wat gebeurt er als je je niet of te laat registreert?

De registratieplicht is een wettelijke verplichting en wordt gehandhaafd. Niet of onjuist registreren kan leiden tot een boete of een last onder dwangsom. Binnen de NIS2 gaat het om bedragen tot 10 miljoen euro of 2% van je wereldwijde jaaromzet voor essentiële entiteiten en tot 7 miljoen euro of 1,4% voor belangrijke entiteiten. Reden genoeg om dit niet tot de laatste week te laten liggen.

Registratie is één stap, compliant zijn is een traject

Ben je eenmaal geregistreerd, dan ben je er nog niet. De registratieplicht is een administratieve stap, maar de zorgplicht en meldplicht vragen dat je daadwerkelijk laat zien dat je risico's beheerst en incidenten kunt melden. Veel organisaties gebruiken de registratie als startpunt om ook de rest van hun Cbw-traject in kaart te brengen, bijvoorbeeld met een GAP-analyse: waar sta je nu en wat is er nog nodig om aantoonbaar te voldoen?

Hulp nodig bij je Cbw-traject?

Registreren doe je zelf, met je eigen eHerkenning en organisatiegegevens. Maar de vraag die daarna komt, wat er verder van je verwacht wordt en hoe je dat aantoonbaar maakt, is precies waar wij bij Fendix bedrijven mee helpen. Van een eerste gap-analyse tot volledige begeleiding richting compliance. Wil je weten waar jouw organisatie staat? Plan hieronder een vrijblijvend en kosteloos adviesgesprek in.

Van registratie naar NIS2-compliance: wat komt er nog meer bij kijken?

Met je registratie sta je ingeschreven en daarna begint het werk waar de wet echt over gaat. De zorgplicht vraagt dat je je risico's beheerst en de meldplicht dat je incidenten binnen de gestelde termijnen meldt. Bij allebei draait het om aantoonbaarheid: kun je laten zien dat je in beweging bent?

Veel organisaties gebruiken de registratie daarom als startpunt voordat ze de rest van hun Cbw-traject in kaart te brengen, bijvoorbeeld met een GAP-analyse. Waar sta je nu en wat is er nog nodig om aantoonbaar te voldoen? Compliance is geen sprint die je één keer trekt, dus het helpt als je weet welk tempo je aankunt.

Hulp bij je Cyberbeveiligingswet-traject

Het startschot heeft geklonken: de wet loopt. Registreren doe je zelf, met je eigen eHerkenning en organisatiegegevens. De vraag die daarna komt, wat er verder van je verwacht wordt en hoe je dat aantoonbaar maakt, is precies waar wij bij Fendix bedrijven mee helpen. Van een eerste gap-analyse tot volledige begeleiding richting compliance.

Wil je weten waar jouw organisatie staat? Plan hieronder een "digitaal bakkie" in! 

‍