Registreren onder de Cyberbeveiligingswet: zo werkt het

Valt uw organisatie onder de Cyberbeveiligingswet (Cbw), dan moet u zich registreren in het nationale entiteitenregister. Dat gaat online via MijnNCSC. In dit artikel leest u wie zich moet registreren, wat u vooraf regelt, welke gegevens u invult en hoe u wijzigingen doorgeeft.

Wie moet zich registreren?

De registratieplicht geldt voor alle essentiële en belangrijke entiteiten onder de Cbw. Ook organisaties die domeinnaamregistratiediensten verlenen, moeten gegevens aanleveren. Dat staat in artikel 44 van de Cbw.

Voor telecombedrijven is dit snel duidelijk. Aanbieders van openbare elektronische communicatienetwerken en -diensten vallen onder de wet, ongeacht hun omvang. Levert u internettoegang, SIP-trunks of hosted telefonie aan het publiek, dan moet u zich dus bijna altijd registreren, ook met vijf medewerkers. Weet u nog niet zeker of u eronder valt? Lees dan eerst Val ik onder NIS2? of doe de gratis zelfscan.

Wie is de toezichthouder en wie beheert het register?

Dat zijn twee verschillende partijen. Het register wordt beheerd door het Nationaal Cyber Security Centrum (NCSC), via mijn.ncsc.nl. Het toezicht op telecomaanbieders ligt bij de Rijksinspectie Digitale Infrastructuur (RDI). De RDI controleert dus of u geregistreerd bent, maar u registreert niet bij de RDI zelf. Na registratie kunt u volgens het NCSC ook gebruikmaken van de diensten van uw sectorale CSIRT, zoals dreigingsinformatie en hulp bij incidenten.

Wanneer moet u geregistreerd zijn?

De Cbw is op 15 augustus 2026 in werking getreden. Volgens de RDI en het NCSC is registratie vanaf die datum verplicht. Er is dus geen latere startdatum: valt u onder de wet en bent u nog niet geregistreerd, regel het dan nu. De RDI schrijft dat u zelf verantwoordelijk bent voor tijdige registratie. Niet of niet juist registreren kan volgens de RDI leiden tot maatregelen, zoals een boete of een last onder dwangsom.

Wat regelt u vooraf?

1. Inloggen met eHerkenning

U logt in op MijnNCSC met eHerkenning. Rijksoverheidsorganisaties kunnen ook Single Sign On Rijk (SSOnRijk) gebruiken. Over het vereiste niveau van eHerkenning zijn de bronnen niet gelijk:

• Het NCSC noemt op de registratiepagina betrouwbaarheidsniveau EH2+, met een machtiging om namens uw organisatie te registreren.
• De RDI noemt op de pagina over de registratieplicht minimaal veiligheidsniveau 3.

Het NCSC beheert het register. Ga daarom uit van de instructie op mijn.ncsc.nl en controleer het vereiste niveau vlak voordat u eHerkenning aanvraagt. Twijfelt u, vraag dan bij uw eHerkenningsleverancier of uw middel geschikt is voor MijnNCSC. Let ook op deze punten:

• Het eHerkenningsmiddel moet gekoppeld zijn aan het KvK-nummer van de organisatie die zich registreert.
• De eHerkenning-beheerder in uw organisatie regelt de machtiging.
• Een nieuw eHerkenningsmiddel aanvragen kan volgens het NCSC enkele dagen duren. Begin dus op tijd.

2. Gegevens verzamelen

De registratie vraagt gegevens die vaak bij verschillende mensen liggen. Verzamel ze vooraf, dan doorloopt u het formulier in één keer. Voor een telecombedrijf gaat het in de praktijk om:

• uw publieke IP-adressen en IP-reeksen (IPv4 en IPv6);
• uw AS-nummer(s), als u eigen routering doet;
• al uw domeinnamen, ook die van merken en klantportalen;
• de namen en gegevens van een contactpersoon die bereikbaar is bij incidenten.

3. De juiste persoon kiezen

Het NCSC adviseert de registratie te laten doen door iemand met beslissingsbevoegdheid, bij voorkeur met kennis van cybersecurity. In een klein telecombedrijf is dat vaak de directeur of de technisch eindverantwoordelijke. De RDI raadt aan één persoon eigenaar te maken van de registratie, zodat wijzigingen niet blijven liggen.

Welke gegevens vraagt de wet?

De wet en het besluit bepalen welke gegevens u moet aanleveren.

Zo verloopt de registratie in MijnNCSC

Volgens het NCSC doorloopt u na het inloggen vijf stappen:

1. Organisatiegegevens. Deze worden automatisch opgehaald uit het handelsregister van de KvK. Klopt er iets niet? Pas het dan aan in de bron, dus bij de KvK.
2. Aanvullende organisatiegegevens. De sector wordt voorgesteld op basis van uw SBI-codes bij de KvK. Controleer die goed. Het gaat om de sector waarin u zelf actief bent, niet om de sector van uw klanten. Levert u telefonie aan zorginstellingen, dan blijft uw sector digitale infrastructuur. U kiest ook uw soort dienstverlening, de EU-landen waar u levert, en of u essentieel of belangrijk bent. Optioneel vult u aantallen medewerkers, omzet en balanstotaal in.
3. Contactgegevens. U geeft een eerste contactpersoon op: naam, telefoonnummer, e-mailadres en functie. Het NCSC adviseert iemand die bereikbaar is bij incidenten.
4. Netwerkgegevens. Hier vult u uw IP-adressen of IP-reeksen, domeinnamen en AS-nummers in. Het NCSC noemt dit "niet makkelijk, wel essentieel".
5. Samenvatting en versturen. U verklaart dat alles naar waarheid is ingevuld en dat u wijzigingen binnen 14 dagen doorgeeft. Na versturen bent u geregistreerd.

Wijzigingen doorgeven

U moet elke wijziging van uw gegevens onverwijld doorgeven, en in elk geval binnen twee weken na de wijziging (Cbw artikel 44, tweede lid). Bij een telecombedrijf veranderen netwerkgegevens vaak. Denk aan:

• een nieuw IP-blok, een teruggegeven reeks of een nieuw AS-nummer;
• een nieuwe domeinnaam voor een merk of klantportaal;
• een nieuwe contactpersoon, bijvoorbeeld als iemand vertrekt;
• een fusie, overname of nieuwe dienst in een ander EU-land;
• groei waardoor u van belangrijke naar essentiële entiteit gaat.

Leg daarom intern vast dat elke wijziging in IP-beheer, DNS of personeel ook een controle van de registratie betekent. Neem dat op in uw wijzigingsbeheer. In het NIS2-portaal kunt u zo'n terugkerende controle als taak vastleggen.

Na de registratie

Registratie is pas het begin. Daarna gelden de zorgplicht, de meldplicht en de plichten voor het bestuur. Zorg dat de contactpersoon uit de registratie ook in uw meldprocedure staat. Wat u verder moet regelen, leest u in de NIS2-checklist en in de meldplicht bij een incident. De instructies op MijnNCSC kunnen veranderen. Controleer daarom de actuele stand op de website van het NCSC.

Volgende stap

Weet u nog niet zeker of u moet registreren, of als welk soort entiteit? Doe dan eerst de gratis zelfscan. In ongeveer 15 minuten weet u of u onder de wet valt en wat u als eerste moet regelen.