Sinds 15 augustus 2026 geldt de Cyberbeveiligingswet, de Nederlandse uitwerking van de Europese NIS2-richtlijn. Met de Cbw-impactanalyse weet je of je eronder valt, wat er ontbreekt en wat je bestuur moet kunnen aantonen. Vaste prijs, vijf dagen.
De Cyberbeveiligingswet geldt sinds 15 augustus 2026, zonder overgangsperiode. Registratieplicht, zorgplicht en meldplicht zijn direct van kracht. Ruim 8.000 organisaties in achttien sectoren vallen eronder. En de vraag óf je eronder valt, legt de wet bij jou zelf neer.
Dat maakt het geen IT-zaak meer. Bestuurders zijn persoonlijk eindverantwoordelijk voor het beheersen van cyberrisico’s. De Cbw-impactanalyse geeft je bestuur een onderbouwd antwoord op drie vragen: vallen we eronder, wat moeten we kunnen aantonen, en hoe komen we daar?
Geen dik adviesrapport dat in een la verdwijnt, maar acht resultaten waar je direct mee verder kunt.
Onderbouwde scopebepaling per juridische entiteit
Classificatie: essentiële of belangrijke entiteit
Gap-analyse tegen de zorgplicht
Wat je bestuur moet kunnen aantonen
Registratiestatus en hulp bij de registratie
Opzet van de meldprocedure voor incidenten
Ketenanalyse: welke eisen je aan leveranciers stelt
Routekaart met tijdlijn en investeringsraming
Alles staat in één rapport van maximaal twaalf pagina’s. De eerste twee pagina’s zijn geschreven voor je bestuur, want een analyse die alleen bij IT blijft liggen, verandert niets.
Elke dag heeft een vast doel. Je weet vooraf wie we spreken, wat we nodig hebben en wat je terugkrijgt.
Intake dag 1
Kennismaking met bestuur en contactpersoon. We brengen je diensten, sectoren en juridische entiteiten in kaart.
Scope en classificatie dag 2
Per entiteit toetsen we aan de wet: val je eronder, ben je essentieel of belangrijk, en is er al geregistreerd?
Gap-analyse dag 3
Gesprekken en documenten naast de zorgplicht gelegd: wat is er al geregeld en wat ontbreekt nog?
Bestuur, melding en keten dag 4
Wat het bestuur moet kunnen aantonen, hoe je een incident meldt en welke eisen je aan je leveranciers stelt.
Rapport en routekaart dag 5
Opleveren en bespreken met je bestuur, inclusief de routekaart naar aantoonbare beheersing.
De vijf dagen zijn werkdagen van onze consultant. De doorlooptijd hangt mede af van hoe snel gesprekken en documenten bij jou beschikbaar zijn.
Elke analyse eindigt per juridische entiteit met één duidelijke conclusie, inclusief onderbouwing. Geen “het hangt ervan af”.
Essentiële entiteit
Je valt eronder, met het zwaarste regime en toezicht vooraf.
Vervolg: een implementatieprogramma op maat
Belangrijke entiteit
Je valt eronder, met een lichter regime en toezicht achteraf.
Vervolg: Audit Ready 90 of een implementatieprogramma
Buiten scope, maar in de keten
Geen wettelijke plicht, wel eisen van klanten die er wél onder vallen. Dat geldt voor veel meer organisaties dan je denkt.
Vervolg: Audit Ready 90 op ISO 27001, hét antwoord op ketenvragen
Buiten scope en niet in de keten
Je hoeft niets. Dat zeggen we je eerlijk, en je krijgt het zwart op wit voor als iemand ernaar vraagt.
Vervolg: geen
De wet legt de toetsing bij de organisatie zelf. Wij maken die toetsing onderbouwd en verdedigbaar; het besluit blijft bij je bestuur.
Twijfel je of een analyse zin heeft? In de kennismaking kijken we eerst kort naar je sector en omvang. Is de kans klein dat je eronder valt, dan hoor je dat meteen.
Een vaste prijs, vooraf afgesproken. Geen uurtje-factuurtje en geen verrassingen achteraf.
Cbw-impactanalyse
€ 7.500
Bedrag exclusief btw. Vallen er meerdere juridische entiteiten onder je organisatie, dan stemmen we de scope vooraf met je af.
De zorgplicht uit de Cbw is doorlopend en niet eenmalig af te vinken. Wie vandaag voldoet, voldoet over een jaar niet meer als niemand het bijhoudt. Risico’s veranderen, leveranciers wisselen, mensen vertrekken. Met Managed ISMS houden wij je beheersing actueel en aantoonbaar, of je nu werkt met ISO 27001, NEN 7510 of BIO2.
Essential
Tot 120 medewerkers · 1,25 dag per maand
€ 1.950 / maand
Professional
120 tot 300 medewerkers · 2,5 dag per maand
€ 3.450 / maand
Enterprise
300+ medewerkers · 4 dagen per maand
€ 5.950 / maand
Looptijd 24 maanden, jaarlijkse indexatie (CPI + 1%). Bedragen exclusief btw. Ter vergelijking: een eigen compliance officer vraagt al snel een investering van € 95.000 tot € 115.000 per jaar.
NIS2 is een Europese richtlijn. Elk EU-land moest die omzetten in eigen wetgeving. In Nederland is dat de Cyberbeveiligingswet (Cbw), die sinds 15 augustus 2026 geldt en de oude Wet beveiliging netwerk- en informatiesystemen (Wbni) vervangt. Praat iemand over NIS2-compliance in Nederland, dan gaat het in de praktijk dus over de Cbw.
Dat hangt af van je sector en je omvang. De wet wijst achttien sectoren aan, waaronder energie, drinkwater, digitale infrastructuur, zorg, overheid en vervoer. Als vuistregel: zit je in zo'n sector en heb je meer dan 50 medewerkers of meer dan € 10 miljoen omzet, dan val je er in beginsel onder. Er zijn uitzonderingen in beide richtingen, en die zoeken we in de analyse uit. Meer achtergrond lees je in ons artikel De Cyberbeveiligingswet uitgelegd.
Drie dingen: registratie bij het NCSC, de zorgplicht (passende maatregelen om je netwerk- en informatiesystemen te beveiligen) en de meldplicht voor significante incidenten. Daarnaast is je bestuur eindverantwoordelijk, en van bestuurders wordt verwacht dat ze training volgen in het herkennen en beoordelen van cyberrisico's. Meer achtergrond vind je op de themapagina van het NCSC over de Cyberbeveiligingswet.
De registratieplicht geldt sinds 15 augustus 2026, dus val je eronder, dan loop je achter. Paniek is niet nodig: een groot deel van de organisaties weet nog niet dat de wet op hen van toepassing is. Regel het wel zo snel mogelijk. In de impactanalyse controleren we je registratiestatus en helpen we je bij de registratie als dat nodig is.
De Cbw volgt de systematiek van NIS2. Voor essentiële entiteiten gaat het om maximaal circa € 10 miljoen of 2% van de wereldwijde omzet, voor belangrijke entiteiten om circa € 7 miljoen of 1,4%. De toezichthouders zijn pas net begonnen, dus hoe de handhaving in de praktijk uitpakt, moet nog blijken. Wij focussen liever op aantoonbaar voldoen dan op boetes.
Ja, flink. Deze normen dekken een groot deel van de maatregelen die de zorgplicht vraagt. Een certificaat is alleen geen automatisch bewijs dat je aan de Cbw voldoet. De meldplicht, de rol van het bestuur en de eisen aan je keten vragen vaak extra aandacht. In de analyse laten we precies zien wat je bestaande ISMS al afdekt en wat er nog ontbreekt.
Dat komt veel voor. Organisaties die onder de Cbw vallen, moeten ook hun leveranciers beoordelen, en geven die eisen contractueel door. Het sterkste antwoord daarop is een aantoonbaar ISMS. Dat is precies wat Audit Ready 90 je in 90 dagen oplevert.
Nee. We maken de toetsing van je organisatie onderbouwd en verdedigbaar, met verwijzing naar de wettelijke grondslag, maar het besluit blijft bij je bestuur. Heb je vragen over de persoonlijke aansprakelijkheid van bestuurders? Dan verwijzen we je naar een advocaat.
