Waarom zijn er slechts 3.200 NIS2-registraties?

De Cyberbeveiligingswet is sinds 15 augustus van kracht en ruim 8.000 Nederlandse organisaties moeten eraan voldoen. Toch meldt het FD dat nog maar 3.200 organisaties bij het NCSC zijn geregistreerd.

Waar blijft de rest? De verklaring lijkt niet te liggen bij één oorzaak. Onbekendheid, ingewikkelde regelgeving, jarenlange vertraging, een ongelukkige timing en toenemende weerstand tegen regeldruk komen hier samen. En dan is er nog de erfenis van de AVG: veel bedrijven verwachten dat het met het toezicht uiteindelijk wel zal meevallen.

De Cyberbeveiligingswet (Cbw), de Nederlandse implementatie van de Europese NIS2-richtlijn, is op 15 augustus 2026 in werking getreden. De wet geldt volgens de overheid voor ruim 8.000 organisaties in Nederland.

Voor deze organisaties gelden onder andere een registratieplicht, zorgplicht en meldplicht. Ook ligt er nadrukkelijk verantwoordelijkheid bij het bestuur voor het beheersen van cyberrisico’s.

De registratie is daarbij misschien wel het eenvoudigste onderdeel van de hele wet. Organisaties die onder de Cbw vallen, moeten zich inschrijven in het nationale entiteitenregister bij het Nationaal Cyber Security Centrum (NCSC).

Toch zijn volgens berichtgeving van het FD tot nu toe slechts ongeveer 3.200 organisaties geregistreerd.

Als ruim 8.000 organisaties onder de wet vallen, betekent dit dat duizenden organisaties die registratie nog niet hebben uitgevoerd.

Dat lijkt op het eerste gezicht opmerkelijk. Maar wie dagelijks met bedrijven over de Cyberbeveiligingswet spreekt, ziet een aantal verklaringen.

1. Een groot deel van het bedrijfsleven staat ver van de overheid af

Een eerste probleem is bereik.

Veel ondernemingen die onder de Cyberbeveiligingswet vallen, hebben in hun dagelijkse bedrijfsvoering nauwelijks rechtstreeks contact met de overheid, het NCSC of een toezichthouder.

Een bedrijf houdt zich bezig met klanten, personeel, leveranciers, productie, logistiek, IT en financiën. De directie volgt doorgaans niet dagelijks publicaties van ministeries, toezichthouders of het NCSC.

Dat geldt zeker voor het midden-en kleinbedrijf.

Daarmee ontstaat een klassiek communicatieprobleem. De overheid kan informatie publiceren, websites inrichten, webinars organiseren en bedrijven oproepen zich te registreren. Maar daarmee is nog niet gegarandeerd dat de boodschap daadwerkelijk terechtkomt bij de ondernemer of bestuurder die in actie moet komen.

Brancheorganisaties, accountants, IT-dienstverleners, cybersecuritybedrijven en andere marktpartijen hebben daarom een belangrijke rol. Zij hebben vaak wél rechtstreeks contact met de ondernemingen die de overheid moeilijk bereikt.

2. Vaststellen of je onder de wet valt, is ingewikkelder dan het lijkt

Een tweede oorzaak is vaststelling. Bedrijven moeten zelf vaststellen of zij onder de Cyberbeveiligingswet vallen. Dat vinden ze vreemd en ingewikkeld.

In de basis lijkt dat overzichtelijk. Sector en omvang zijn belangrijke criteria. Maar zodra een onderneming niet precies binnen een eenvoudig standaardprofiel valt, wordt de beoordeling snel lastig en wordt het onderwerp geparkeerd.

Bij de supportdesk van Samen Digitaal Veilig zien we veel vragen van bedrijven die er zelf niet uitkomen. Vooral concernstructuren leveren vragen op.

Denk aan een Nederlandse BV met een beperkt aantal werknemers die onderdeel is van een veel grotere internationale groep. Welke omvang moet dan worden gehanteerd? Welke ondernemingen moeten worden meegeteld? Welke juridische entiteit verricht precies de activiteit waarop de Cbw betrekking heeft? In welk land is de entiteit gevestigd? En wat gebeurt er als verschillende onderdelen van een groep vanuit verschillende Europese landen opereren?

Juist bij internationaal opererende ondernemingen kan een ogenschijnlijk eenvoudige vraag als “Valt mijn bedrijf onder NIS2?” veranderen in een juridische en organisatorische puzzel.

Dat dit geen theoretisch probleem is, blijkt ook uit de informatie van het NCSC zelf. Voor organisaties met meerdere vestigingen in Nederland, andere EU-landen of daarbuiten is een aparte handreiking voor complexe bedrijfsmodellen beschikbaar.

Een deel van de ontbrekende registraties hoeft daarom helemaal geen bewuste weigering te zijn. Er zijn ook bedrijven die simpelweg nog bezig zijn met de vraag óf ze zich moeten registreren.

3. Jaren uitstel hebben bedrijven in een wachtstand gezet

Ook de voorgeschiedenis van de Cyberbeveiligingswet speelt een rol. De invoering van NIS2 in Nederland heeft aanzienlijke vertraging opgelopen. Voor organisaties die zich al vroeg met de nieuwe wetgeving bezighielden, verschoof de verwachte invoeringsdatum meerdere keren.

Dat heeft een voorspelbaar effect. Wanneer een project binnen een onderneming verschillende keren wordt uitgesteld, verdwijnt de urgentie. Budgetten worden anders besteed, medewerkers krijgen andere prioriteiten en het dossier verdwijnt naar onderen op de stapel.

De gedachte wordt:

We pakken het wel weer op als duidelijk is wanneer de wet echt ingaat.

Toen die duidelijkheid uiteindelijk kwam, ging het ineens snel. De Eerste Kamer stemde op 7 juli 2026 in met de Cyberbeveiligingswet. Iets meer dan een maand later, op 15 augustus, trad de wet in werking.

Dat is vanuit het perspectief van een onderneming een vrijwel onmogelijke korte periode om een jarenlang sluimerend dossier opnieuw te activeren.

4. De zomer hielp bepaald niet mee

Daar kwam de timing nog bovenop. De definitieve duidelijkheid over de wet kwam vlak voor de zomervakantie. Vervolgens trad de wet midden augustus in werking.

Precies in de periode waarin directies, IT-medewerkers, compliance functionarissen en externe adviseurs vakantie hebben. Voor veel bedrijven is cybersecurity daardoor niet ineens het belangrijkste dossier op het moment dat de Eerste Kamer de wet aannam.

Dat betekent niet dat ondernemingen cybersecurity onbelangrijk vinden. Het betekent vooral dat bedrijven voortdurend prioriteiten moeten stellen. Een ondernemer heeft te maken met personeelstekorten, klanten, investeringen, innovatie, financiering, leveranciers, energieprijzen, fiscale verplichtingen en tientallen andere onderwerpen.

Een nieuwe wettelijke verplichting die na jaren uitstel ineens vlak voor de zomervakantie definitief wordt, heeft dan niet automatisch de hoogste prioriteit.

5. De grens van wat bedrijven aan regelgeving kunnen verwerken komt in zicht

Daarmee komen we bij een bredere ontwikkeling. De weerstand tegen regelgeving neemt toe.

Nederlandse ondernemingen hebben de afgelopen jaren te maken gekregen met een groot aantal nieuwe nationale en Europese verplichtingen. En op het gebied van digitalisering, data, cybersecurity en kunstmatige intelligentie staat nog veel meer regelgeving op stapel of aan het begin van de implementatie.

Vanuit Brussel en Den Haag is voor iedere afzonderlijke wet vaak een goede maatschappelijke reden te geven. Maar een onderneming ervaart niet iedere wet afzonderlijk. Een onderneming ervaart de optelsom.

Voor een bedrijf zijn AVG, cybersecurity, duurzaamheid, arbeidsrecht, rapportageverplichtingen en andere regels uiteindelijk allemaal activiteiten waarvoor mensen, geld en tijd nodig zijn.

En precies daar ontstaat irritatie. Privacy en cybersecurity zijn belangrijk. Niemand ontkent dat maar ondernemingen bestaan in de eerste plaats om producten en diensten te ontwikkelen, klanten te bedienen, mensen in dienst te nemen, te investeren en te innoveren.

Zeker voor het mkb is de beschikbare capaciteit voor compliance beperkt. Nederland kan daarom niet onbeperkt nieuwe verplichtingen aan bedrijven toevoegen zonder rekening te houden met de uitvoerbaarheid daarvan. Uiteindelijk moet al die regelgeving worden betaald uit dezelfde economische activiteit die men probeert te reguleren.

Als ondernemers het gevoel krijgen dat een steeds groter deel van hun tijd en middelen naar administratieve verplichtingen gaat, neemt de bereidheid om onmiddellijk met iedere nieuwe wet aan de slag te gaan af.

De lage registratiegraad voor de Cbw moet ook tegen die achtergrond worden bekeken.

6. De AVG heeft een gevaarlijke verwachting gecreëerd

Bij gesprekken over NIS2 en de Cyberbeveiligingswet horen we daarnaast opvallend vaak een vergelijking met de AVG.

De redenering klinkt ongeveer als volgt:

“Bij de AVG werd vooraf ook gezegd dat er streng toezicht en hoge boetes zouden komen. Uiteindelijk hebben wij daar eigenlijk niets van gemerkt.” Hoe vaak we deze opmerking inmiddels hebben gehoord, is nauwelijks meer bij te houden. Dat is problematisch.

Want daarmee is de AVG voor een deel van het bedrijfsleven een referentiekader geworden voor nieuwe wetgeving. Niet: wat moeten we doen om aan deze wet te voldoen? Maar: hoe groot is de kans dat iemand daadwerkelijk komt controleren? Dat is een wezenlijk andere benadering.

Het risico bestaat dat bedrijven daardoor ook bij de Cyberbeveiligingswet eerst afwachten hoe actief toezichthouders daadwerkelijk worden. Maar de vergelijking met de AVG gaat op een belangrijk punt mank. Bij cybersecurity komt de druk namelijk niet uitsluitend van de overheid.

7. Juist hier kan compliance een concurrentievoordeel worden

Dat brengt ons bij misschien wel het meest onderschatte aspect van NIS2. Voor veel bedrijven voelt de Cyberbeveiligingswet nu nog als een nieuwe overheidsverplichting.

Maar cybersecurity ontwikkelt zich tegelijkertijd steeds meer tot een commerciële voorwaarde om zaken te kunnen doen. Organisaties die onder de Cyberbeveiligingswet

vallen, moeten immers niet alleen naar hun eigen beveiliging kijken. Ook risico’s in hun toeleveringsketen spelen een rol. Nu vrijwel elk bedrijf digitaal is gekoppeld, nu vrijwel elk bedrijf met AI werkt om primaire processen te verbeteren, vallen er veel meer bedrijven dan verwacht in de categorie risicoleveranciers. Ook de consultants beginnen in te zien dat de ouderwetse ISO 27001 benadering van alleen IT-leveranciers niet meer klopt.

Dat betekent dat grote organisaties kritischer zullen gaan kijken naar de cybersecurity van hun leveranciers. Een leverancier die kan aantonen dat zijn cybersecurity op orde is, krijgt daarmee een andere positie dan een concurrent die dat niet kan.

Bij aanbestedingen en leveranciersselecties kan de vraag steeds vaker worden: Kunt u aantonen dat uw organisatie voldoende cyberweerbaar is?

Daarmee verandert het perspectief. Cybersecurity is dan niet alleen een kostenpost of compliance verplichting. Het wordt een bewijsstuk richting de markt. En juist bedrijven die nu vroeg investeren in aantoonbare cyberweerbaarheid kunnen daarvan profiteren.

Waar de ene ondernemer denkt: “Ik wacht wel totdat de toezichthouder komt” kan zijn concurrent denken: “Ik zorg dat ik dit aantoonbaar geregeld heb voordat mijn klanten erom vragen.”

Die tweede onderneming heeft mogelijk een commercieel voordeel. Want als twee leveranciers vergelijkbaar zijn in prijs, kwaliteit en dienstverlening, maar één van beide kan aantonen dat zijn cybersecurity op orde is, wordt dat steeds vaker onderdeel van de leverancierskeuze.

Het bijzondere is daarmee dat precies dezelfde wet die door sommige ondernemers wordt ervaren als extra regeldruk, voor andere ondernemingen een kans kan worden om zich te onderscheiden.

8. Gaat het aantal registraties nog stijgen?

Absoluut. De bekendheid met de Cyberbeveiligingswet zal toenemen. Toezichthouders gaan starten. Klanten zullen vragen gaan stellen. Brancheorganisaties en adviseurs zullen bedrijven informeren. En organisaties die zich nu nog afvragen of zij onder de wet vallen, zullen daar de komende maanden duidelijkheid over krijgen.

Maar het zou een vergissing zijn om vervolgens rustig af te wachten. Als Nederland daadwerkelijk wil dat ruim 8.000 organisaties hun verantwoordelijkheid nemen, zal iedereen die deze bedrijven bereikt daaraan moeten bijdragen. Niet alleen het NCSC en de toezichthouders.

Ook branche- en beroepsorganisaties, IT-dienstverleners, accountants, cybersecuritybedrijven, certificerende instellingen, grote opdrachtgevers en andere marktpartijen kunnen bedrijven helpen om vast te stellen wat van hen wordt verwacht.

En daarbij moet de communicatie verder gaan dan: “Er is een nieuwe wet en u moet eraan voldoen.” Dat verhaal hebben ondernemers inmiddels vaak genoeg gehoord.

De interessantere boodschap is: Cybersecurity wordt onderdeel van de kwaliteit van een onderneming.

Net zoals financiële stabiliteit, leveringszekerheid en productkwaliteit meewegen bij de keuze voor een leverancier, gaat ook aantoonbare digitale weerbaarheid steeds nadrukkelijker meewegen.

Daarmee ligt er achter de teleurstellende 3.200 registraties ook een kans. De bedrijven die de Cyberbeveiligingswet uitsluitend als nieuwe regeldruk beschouwen, zullen waarschijnlijk zo lang mogelijk wachten.

De bedrijven die begrijpen dat klanten straks bewijs van cyberweerbaarheid willen zien, kunnen juist nu een voorsprong nemen. Misschien is dat uiteindelijk wel de sterkste prikkel om de resterende duizenden bedrijven in beweging te krijgen: niet de angst voor een boete, maar de angst dat een concurrent straks beter kan aantonen dat hij zijn cybersecurity op orde heeft.