NIS2 en telecom: wat de Cyberbeveiligingswet betekent voor uw bedrijf

Sinds 15 augustus 2026 geldt in Nederland de Cyberbeveiligingswet (Cbw). Dat is de Nederlandse uitwerking van de Europese NIS2-richtlijn. Voor aanbieders van openbare telecomnetwerken en -diensten is de wet extra belangrijk: u valt er ook onder als uw bedrijf klein is.

Wat is de Cyberbeveiligingswet?

De Europese Unie heeft met de NIS2-richtlijn regels gemaakt voor de digitale weerbaarheid van belangrijke sectoren. Elk land zet die regels om in een eigen wet. In Nederland is dat de Cyberbeveiligingswet. De wet en het bijbehorende Cyberbeveiligingsbesluit (Cbb) zijn op 15 augustus 2026 in werking getreden. De Cbw vervangt de Wet beveiliging netwerk- en informatiesystemen (Wbni).

De wet geeft organisaties vier hoofdtaken:

• Registreren in het nationale register van het Nationaal Cyber Security Centrum (NCSC).
• Zorgplicht: passende maatregelen nemen om risico's voor uw netwerk- en informatiesystemen te beheersen.
• Meldplicht: significante incidenten op tijd melden.
• Bestuur: de directie keurt de maatregelen goed en heeft aantoonbaar voldoende kennis.

Wilt u eerst een algemeen overzicht van de wet? Lees dan de Cyberbeveiligingswet uitgelegd.

Wie valt eronder in de telecomsector?

In bijlage 1 van de Cbw staat de sector digitale infrastructuur. Daarin staan onder meer twee soorten telecombedrijven:

• aanbieders van openbare elektronische communicatienetwerken, bijvoorbeeld een eigen glasvezel-, kabel- of straalverbindingsnetwerk waarover u diensten aan het publiek levert;
• aanbieders van openbare elektronische communicatiediensten, zoals internettoegang en telefonie.

De Cbw verwijst voor deze begrippen naar de Telecommunicatiewet. Daar staat dat een openbare elektronische communicatiedienst een dienst is "die beschikbaar is voor het publiek". De vraag is dus niet of u een groot bedrijf bent, maar of iedere klant uw dienst kan afnemen. Een VoIP-aanbieder die SIP-trunks of hosted telefonie aan bedrijven verkoopt, of een ISP die internettoegang levert, zal daarom vaak onder de wet vallen. Bij een dienst voor een besloten groep ligt dat anders. Twijfelt u? Kijk naar uw werkelijke dienst, uw rol en uw klanten, niet alleen naar de naam van het product. Voor VoIP en ISP's leest u meer in NIS2 voor VoIP-aanbieders en NIS2 voor internetproviders.

Geen ondergrens in omvang

Voor de meeste sectoren geldt een omvangsgrens: pas vanaf een middelgrote onderneming valt u onder de wet. Voor openbare telecomaanbieders geldt die grens niet. De NCTV schrijft op haar website dat deze aanbieders onder de wet vallen "ongeacht hun omvang". Dat ziet u ook in de wettekst zelf: de Cbw regelt zowel middelgrote als kleine en micro-aanbieders.

Essentieel of belangrijk?

De wet kent twee soorten organisaties. De omvang bepaalt bij telecom in welke groep u valt:

Voor beide groepen gelden in de basis dezelfde plichten. Het verschil zit vooral in het toezicht. De Rijksinspectie Digitale Infrastructuur (RDI) houdt bij essentiële entiteiten proactief toezicht: de RDI kan ook zonder incident informatie opvragen of langskomen. Bij belangrijke entiteiten vindt het toezicht vooral achteraf plaats, bijvoorbeeld na een incident. Ook de maximale boetes verschillen (zie verderop).

Let op: bij de omvang telt u ook partner- en verbonden ondernemingen mee, zoals een moeder- of dochterbedrijf. Hoe u dat bepaalt, leest u in Val ik onder NIS2? Een stappenplan.

Wat verandert er voor telecomaanbieders?

Telecombedrijven hadden al regels voor beveiliging en continuïteit in de Telecommunicatiewet. Met de Cbw verandert er een aantal dingen:

• Andere wet als basis. De Cbw heeft de Telecommunicatiewet aangepast. Hoofdstuk 11a heet nu "Beveiligingsmaatregelen" en de artikelen 11a.2 en 11a.2a zijn vervallen. Andere telecomregels blijven bestaan. Controleer daarom welke plichten uit de Telecommunicatiewet voor u blijven gelden.
• Uitgewerkte zorgplicht. Het Cyberbeveiligingsbesluit beschrijft in de artikelen 6 tot en met 18 welke maatregelen u ten minste neemt. Denk aan beleid, risicoanalyse, incidentbehandeling, back-ups, leveranciers, cryptografie, toegangsbeheer en een actuele lijst van uw systemen. De Regeling cyberbeveiliging EZK voegt voor telecom onder meer regels toe over patchbeheer, kwetsbaarheidsscans, netwerksegmentatie en sterke authenticatie voor beheeraccounts. Een volledig overzicht staat in de NIS2-checklist.
• Strakke meldtermijnen. Een significant incident meldt u in stappen: een vroegtijdige waarschuwing onverwijld en uiterlijk binnen 24 uur, een melding binnen 72 uur en een eindverslag uiterlijk één maand na de melding (Cbw artikel 26, 27 en 29).
• Bestuur is aan zet. De directie keurt de maatregelen goed. Ieder bestuurslid moet binnen twee jaar voldoende kennis en vaardigheden hebben en een certificaat van een training bezitten (Cbw artikel 24).
• Registratieplicht. U registreert uw organisatie, inclusief IP-reeksen en domeinnamen, en geeft wijzigingen binnen twee weken door.

Wanneer is een telecomincident significant?

De Regeling cyberbeveiliging EZK noemt in artikel 8 concrete drempels voor telecomaanbieders. Een incident is in ieder geval significant als:

• bij een onderbreking van de dienst ten minste 50.000 gebruikers vier uur of langer zijn getroffen;
• de integriteit, vertrouwelijkheid of echtheid van gegevens is aangetast bij ten minste 1% van de gebruikers, met een minimum van 10.000 gebruikers;
• het alarmnummer (112) niet beschikbaar is.

Daarnaast gelden algemene criteria, zoals schade aan de gezondheid van mensen, en de algemene omschrijving in de wet zelf. Voor een kleine aanbieder is vooral het laatste punt belangrijk. Als uw klanten via uw dienst 112 niet kunnen bellen, bijvoorbeeld door een storing in uw SBC of bij uw carrier, is dat al genoeg. Meer hierover leest u in de meldplicht bij een incident.

Wat kan er gebeuren als u niet voldoet?

De RDI kan na een inspectie vragen om een verbeterplan. Bij een overtreding kan de RDI een boete of een last onder dwangsom opleggen. De Cbw noemt maximale boetes. Voor een essentiële entiteit is dat bij overtreding van onder meer de zorgplicht en meldplicht ten hoogste € 10 miljoen of 2% van de wereldwijde jaaromzet, als dat hoger is (artikel 80). Voor een belangrijke entiteit is dat ten hoogste € 7 miljoen of 1,4% (artikel 87). Voor andere overtredingen is het maximum € 1 miljoen. Dit zijn maxima, geen vaste bedragen. De RDI kijkt naar de situatie en weegt af wat passend is.

Wat moet u nu doen?

1. Bepaal of u eronder valt. Kijk welke diensten u levert, aan wie, en hoe groot uw onderneming is, inclusief groepsmaatschappijen. De gratis zelfscan helpt u daarbij in ongeveer 15 minuten.
2. Registreer uw organisatie. Dat gaat via MijnNCSC met eHerkenning. Lees eerst hoe de Cbw-registratie werkt.
3. Maak een risicoanalyse. Begin bij de systemen waar uw dienst op draait: core-routers, SBC's, SIP-trunks naar carriers, beheertoegang tot netwerkapparatuur en de koppeling met 112. Denk ook aan toll fraud en DDoS-aanvallen.
4. Zet uw meldprocedure klaar. Leg vast wie een significant incident meldt, ook 's avonds en in het weekend.
5. Betrek de directie. Laat het bestuur de maatregelen goedkeuren en plan de verplichte training. Lees meer in NIS2 en de rol van bestuurders.
6. Kijk naar uw leveranciers. Carriers, hardwareleveranciers en uw beheerpartij horen bij uw risico's. Zie ketenbeveiliging onder NIS2.

De regels en de uitleg van toezichthouders kunnen nog veranderen. Controleer daarom altijd de actuele stand bij de RDI en het NCSC.

Volgende stap

Begin met de gratis zelfscan. U ziet dan of u onder de wet valt en waar de grootste gaten zitten. Wilt u daarna uw maatregelen, risico's en incidenten op één plek bijhouden? Probeer het NIS2-portaal 30 dagen gratis.