Een groep met dochters in Nederland en België heeft niet één NIS2-dossier, maar minstens twee. NIS2 wordt per entiteit en per land toegepast: een Nederlandse dochter valt onder de Cyberbeveiligingswet (Cbw), een Belgische onder de Belgische NIS2-wet. Beide wetten zetten dezelfde richtlijn om, maar de registratie, de termijnen en het toezicht verschillen.
Deze vergelijking is nagekeken op 6 november 2026. Ze is geen juridisch advies: laat uw eigen situatie bevestigen door uw juridisch adviseur of door de bevoegde autoriteit.
Nederland en België naast elkaar
| Nederland | België | |
|---|---|---|
| Wet | Cyberbeveiligingswet | Wet van 26 april 2024 |
| In werking | 15 augustus 2026 | 18 oktober 2024 |
| Registratie | Bij het NCSC, via MijnNCSC | Bij het CCB, via Safeonweb@Work; de termijn liep tot 18 december 2024 (digitale sectoren) en 18 maart 2025 (andere entiteiten) |
| Toezicht | Per sector aangewezen autoriteit (art. 15) | Centrum voor Cybersecurity België (CCB) |
| Bewijs van naleving | Zorgplicht (art. 21) | CyFun of ISO/IEC 27001 geeft een vermoeden van conformiteit; zie de Belgische termijnen |
| Boete, essentiële entiteit | Tot € 10 miljoen of 2% van de wereldwijde jaaromzet (art. 80) | Tot € 10 miljoen of minstens 2% van de wereldwijde jaaromzet |
| Boete, belangrijke entiteit | Tot € 7 miljoen of 1,4% (art. 87) | Tot € 7 miljoen of 1,4% |
| Bestuur | Keurt de maatregelen goed, heeft binnen twee jaar een certificaat van een training, eigen boete tot € 25.000 (art. 24 en 93) | Keurt de maatregelen goed, ziet toe op de uitvoering, volgt een opleiding en is aansprakelijk voor inbreuken van de entiteit |
Welk recht geldt voor welke entiteit?
De hoofdregel is eenvoudig: elke entiteit valt onder het recht van het land waar ze gevestigd is. De Nederlandse wet geldt voor entiteiten die in Nederland gevestigd zijn (art. 4, lid 1). Het NCSC voegt eraan toe dat u zich niet in één keer voor alle lidstaten kunt registreren. Het CCB schrijft dat de Belgische wet van toepassing is op alle organisaties afzonderlijk, ook als ze tot dezelfde groep of holding behoren.
Twee uitzonderingen in de Nederlandse wet:
- Aanbieders van openbare elektronische communicatienetwerken of -diensten vallen onder het recht van het land waar ze hun diensten aanbieden (art. 4, lid 2).
- DNS-dienstverleners, registers voor topleveldomeinnamen, aanbieders van cloudcomputing-, datacentrum- en contentleveringsdiensten, beheerde (beveiligings)diensten, onlinemarktplaatsen, onlinezoekmachines en socialenetwerkplatforms vallen onder het land van hun hoofdvestiging in de EU (art. 4, lid 3). Dat is in de regel de plaats waar de beslissingen over cyberbeveiligingsrisico's hoofdzakelijk worden genomen (art. 4, lid 5).
Een groep moet die vraag dus per entiteit beantwoorden, niet één keer voor het hele concern.
Waarom de groep toch meetelt
Dat elke entiteit apart wordt beoordeeld, betekent niet dat de groep er niet toe doet. Op twee punten telt ze wel mee:
- De omvang. De drempels komen uit EU-aanbeveling 2003/361/EG, die verbonden ondernemingen meerekent. Een kleine dochter van een grote groep kan daardoor boven de drempel uitkomen. Reken dat per entiteit na.
- De boete. De Nederlandse wet rekent met de jaaromzet van "de onderneming waartoe de entiteit behoort" (art. 80 en 87), en het CCB gebruikt dezelfde formulering. Dat kan verder reiken dan de omzet van de dochter zelf.
Registratie: wie doet wat?
Registreer elke entiteit die onder een wet valt in het land dat voor haar bevoegd is: in Nederland via MijnNCSC, in België via Safeonweb@Work. Wijzigingen meldt u in Nederland binnen twee weken (art. 44, lid 2).
Volgens het NCSC moet een significant incident worden gemeld in elke lidstaat waar de organisatie actief is. Leg dus per entiteit vast wie meldt, bij welke autoriteit, en binnen welke termijn: de 24 uur, 72 uur en één maand van NIS2 gelden in beide landen als vertrekpunt.
Termijnen die nu lopen
- Nederland: de wet geldt sinds 15 augustus 2026 en organisaties die eronder vallen, moeten sindsdien geregistreerd zijn. Bestuursleden hebben twee jaar voor de kennis, vaardigheden en training van artikel 24.
- België: voor essentiële entiteiten die voor CyFun kiezen, is de volgende datum 18 april 2027. Zie de termijnen onder de Belgische NIS2-wet.
En als een entiteit onder DORA valt?
Voor financiële entiteiten die als essentieel of belangrijk zijn aangewezen, geldt DORA als sectorspecifieke rechtshandeling in de zin van artikel 4 van NIS2 (DORA, art. 1, lid 2). In de praktijk volgt zo'n entiteit voor ICT-risicobeheer en incidentmelding DORA. De Nederlandse wet regelt dat in de artikelen over sectorspecifieke rechtshandelingen (art. 22 en 31). Niet-financiële entiteiten van dezelfde groep blijven onder de NIS2-omzetting van hun land vallen. Zie ook DORA vs NIS2.
Eén programma, verantwoording per entiteit
Een groep hoeft het werk niet per land opnieuw uit te vinden. Wat meestal werkt:
- Maak een lijst van alle entiteiten met land, activiteit, omvang en toepasselijke wet.
- Leg één methode op: dezelfde BIA-schalen en dezelfde maatregelen, zodat de resultaten vergelijkbaar zijn.
- Bewaar het bewijs per entiteit, want elke autoriteit vraagt naar de entiteit die onder haar valt.
- Breng gedeelde leveranciers in kaart: één kritieke leverancier kan meerdere entiteiten tegelijk raken.
De groepsoplossing van ResiPlan is daarop gebouwd: een afgeschermde werkruimte per entiteit, een BIA-methodologie van de groep en een geconsolideerd overzicht voor het hoofdkantoor.
FAQ
Moeten onze dochterondernemingen in Nederland en België zich elk apart registreren?
Als regel wel. Elke entiteit die onder een wet valt, registreert zich in het land waar ze gevestigd is: in Nederland via MijnNCSC, in België via Safeonweb@Work. Volgens het NCSC kunt u zich niet in één keer voor alle lidstaten registreren. Of een holding iets namens haar dochters kan doen, behandelt het CCB in zijn FAQ (vraag 3.13.5): kijk dat na voor uw geval.
Wat zijn de verschillen tussen de Cyberbeveiligingswet en de Belgische NIS2-wet?
Vooral de datum (15 augustus 2026 tegenover 18 oktober 2024), de instantie voor de registratie (NCSC of CCB), het toezicht (per sector in Nederland, het CCB in België) en het bewijs: België werkt met CyFun of ISO/IEC 27001 en vaste termijnen voor essentiële entiteiten. De maximale boetes zijn in beide landen gelijk.
Welke boetes riskeert een groep?
De boete wordt opgelegd aan de entiteit, tot € 10 miljoen of 2% van de wereldwijde jaaromzet voor een essentiële entiteit en tot € 7 miljoen of 1,4% voor een belangrijke entiteit, telkens het hoogste bedrag. De omzet is die van de onderneming waartoe de entiteit behoort. In Nederland kan een bestuurslid daarnaast een boete tot € 25.000 krijgen.
Hoe pakken we DORA en NIS2 samen aan in een groep?
Bepaal per entiteit welk kader geldt: DORA voor financiële entiteiten, de NIS2-omzetting van het land voor de andere. Werk daarna met één methode voor risico's, BIA en leveranciers, en bewaar het bewijs per entiteit.
Bronnen
- Cyberbeveiligingswet, wetten.overheid.nl
- NCSC, registratieplicht
- CCB, de NIS2-wet
- CCB, FAQ over NIS2 en CyberFundamentals