Registratie voor de Cyberbeveiligingswet is sinds 15 augustus 2026 een wettelijke verplichting voor organisaties die onder de Cbw vallen. De registratie verloopt via MijnNCSC en vraagt meer voorbereiding dan alleen een KvK-nummer invullen. Organisatiegegevens, contactpersonen en technische netwerkgegevens moeten vooraf beschikbaar zijn.
Eerst vaststellen of registratie nodig is
De registratieplicht geldt voor essentiële en belangrijke entiteiten waarop de Cyberbeveiligingswet van toepassing is. Beoordeel daarom eerst de sector, de exacte dienstverlening, de omvang van de organisatie en eventuele concernrelaties. Leveren aan een Cbw-organisatie maakt een leverancier niet automatisch zelf registratieplichtig.
Bij twijfel kan de officiële zelfevaluatie worden gebruikt. Leg de gebruikte gegevens en aannames vast, zodat later te herleiden is waarom de organisatie wel of niet als Cbw-entiteit is beoordeeld.
Wat moet u vooraf regelen?
Een geschikt inlogmiddel
Niet-overheidsorganisaties loggen in met eHerkenning op betrouwbaarheidsniveau EH2+. De gebruiker moet bovendien gemachtigd zijn om namens het juiste KvK-nummer te registreren. Voor aangesloten Rijksoverheidsorganisaties is Single Sign On Rijk beschikbaar. Het aanvragen of aanpassen van een machtiging kan tijd kosten; regel dit dus voordat u met de registratie begint.
Organisatie- en sectorgegevens
Een deel van de organisatiegegevens wordt uit bestaande registers opgehaald. Controleer deze informatie zorgvuldig. De sector moet aansluiten bij de activiteit van de eigen organisatie en niet bij de sector van de klant. Een cloudleverancier aan een ziekenhuis is bijvoorbeeld niet automatisch actief in de sector gezondheidszorg.
Contactpersonen
Wijs contactpersonen aan die zowel inhoudelijke cybersecuritykennis als voldoende beslissingsbevoegdheid hebben. Zij moeten tijdens een incident bereikbaar zijn. Leg intern vast wie wijzigingen onderhoudt en wie als vervanger optreedt bij afwezigheid.
Netwerkgegevens
Bij de registratie worden ook gegevens gevraagd zoals publieke IP-adressen of IP-reeksen, domeinnamen en eventuele AS-nummers. Verzamel deze informatie samen met de netwerkbeheerder of IT-dienstverlener en controleer of ook uitbestede omgevingen correct worden meegenomen.
Na registratie bent u nog niet klaar
Registratie is geen certificaat en ook geen bewijs dat aan de zorgplicht is voldaan. De organisatie moet daarnaast passende maatregelen uitvoeren, significante incidenten kunnen melden en de bestuurlijke verantwoordelijkheid aantoonbaar organiseren.
Veranderen geregistreerde gegevens? Volgens het NCSC moeten wijzigingen binnen veertien dagen via MijnNCSC worden doorgegeven. Neem dit daarom op in reguliere processen voor organisatiewijzigingen, nieuwe domeinen, netwerkveranderingen en contactwisselingen.
Praktische registratiecheck
- Is de wettelijke scope schriftelijk bevestigd?
- Is EH2+ of SSOnRijk beschikbaar en correct gemachtigd?
- Zijn sector, dienstverlening en EU-activiteiten gecontroleerd?
- Zijn een inhoudelijke én bestuurlijke contactpersoon aangewezen?
- Zijn publieke IP-adressen, domeinen en AS-nummers compleet?
- Is vastgelegd wie wijzigingen binnen veertien dagen verwerkt?
Gebruik de NIS2-check voor een eerste indicatie en lees ook de uitleg over de registratieplicht.
Gebruikte bronnen
Dit artikel is zelfstandig door NIS2 Kompas samengesteld en geschreven. De onderstaande officiële publicaties zijn gebruikt om de procedure en wettelijke context te controleren.