Cyber-beveiligingswet
Vrijwel alle registrars verwerken dagelijks persoonsgegevens. In veel gevallen beheren zij ook ‘netwerk- en informatiesystemen’ zoals nameservers. Daarmee vallen registrars onder de Cyberbeveiligingswet (Cbw). Dit is de Nederlandse implementatie van de Europese NIS2-richtlijn. Deze wet vervangt de bestaande Wet beveiliging netwerk- en informatiesystemen (Wbni) en introduceert (veel) strengere en bredere verplichtingen op het gebied van cyberbeveiliging.
De Cyberbeveiligingswet is op 7 juli 2026 door de Eerste Kamer aangenomen en treedt op 15 augustus 2026 in werking. Vanaf dat moment gelden er dus nieuwe verplichtingen voor ruim 8.000 organisaties in Nederland, verspreid over 18 sectoren, waaronder digitale infrastructuur, overheid en vervoer.
Status
De Cyberbeveiligingswet is wet. Na goedkeuring door de Tweede Kamer stemde ook de Eerste Kamer op 7 juli 2026 in. De wet treedt formeel op 15 augustus 2026 in werking, samen met de Wet weerbaarheid kritieke entiteiten (Wwke), die de Europese CER-richtlijn implementeert en gericht is op de ‘fysieke weerbaarheid’ van kritieke infrastructuur. Dit is nog niet het moment dat registrars alles gereed moeten hebben maar wel het moment dat de wet in werking treedt.
Organisaties die onder de Cyberbeveiligingswet vallen, krijgen te maken met de volgende verplichtingen:
- Registratieplicht: organisaties moeten zich vanaf 15 augustus registreren bij het NCSC via het entiteitenregister. Lees meer hierover op: https://www.ncsc.nl/cyberbeveiligingswet-nis2/registreren
- Zorgplicht: het nemen van passende maatregelen om risico’s voor netwerk- en informatiesystemen te beheersen en incidenten te voorkomen of te beperken.
- Meldplicht: significante incidenten moeten binnen 24 uur worden gemeld op de NCSC-portaal (https://mijn.ncsc.nl). Vanaf deze portal kan melding worden gedaan bij het betreffende sectorale CSIRT en de bevoegde toezichthouder.
- Bestuurlijke verantwoordelijkheid: het bestuur is eindverantwoordelijk voor cyberrisicobeheersing en moet aantoonbaar over voldoende kennis beschikken.
- Toezicht en handhaving: toezichthouders controleren actief of organisaties aan de verplichtingen voldoen.
Een registrar valt naar alle waarschijnlijkheid onder de wet, maar dat hangt wel af van de dienstverlening en de systemen die een registrar in beheer heeft. Registrars zijn zelf verantwoordelijk om te beoordelen of ze daadwerkelijk onder de wet vallen of dat er een uitzondering voor hen geldt. Het NCSC biedt hiervoor een zelfscan aan via ncsc.nl.
De artikelen 49 en 50 van de Nederlandse Cyberbeveiligingswet regelen specifiek de taken en verplichtingen voor registers voor topleveldomeinnamen (registries zoals SIDN) en aanbieders van domeinnaamregistratiediensten (registrars).
De artikelen omvatten de volgende specifieke regels:
- Artikel 49 (Database met domeinnaamregistratiegegevens): Verplicht registries en registrars om accurate en complete gegevens over domeinnaamregistraties te verzamelen en actueel te houden. Dit waarborgt de beveiliging en stabiliteit van het domeinnaamsysteem (DNS).
- Artikel 50 (Toegang tot registratiegegevens): Regelt de procedures rondom verzoeken tot toegang tot deze gegevens. Registries en registrars moeten op een rechtmatig en gemotiveerd verzoek van legitieme partijen toegang verlenen tot specifieke registratiegegevens.
Rol van de VvR
De VvR volgt dit dossier nauwlettend vanuit het perspectief van de registrars. Samen met SIDN, Dotlocal en Verisign werkt de VvR aan een matrix met een gedetailleerd overzicht van de invulling van de registratie- en verificatieverplichtingen en het verschaffen van toegang tot registratiegegevens die voor registrars en registries relevant zijn. Deze matrix wordt afgestemd met het Ministerie van Economische Zaken.
Zodra die afstemming is afgerond, zal SIDN in overleg treden met de Rijksinspectie Digitale Infrastructuur (RDI) over de start van de implementatie. Registrars worden tijdig geïnformeerd over de uitkomsten en vervolgstappen.
Vanuit de VvR kijken we bij dit dossier nadrukkelijk naar:
- de vraag welke registrars onder de wet vallen en op welke gronden;
- de praktische uitwerking van de registratieplicht, zorgplicht en meldplicht voor registrars;
- de afstemming tussen SIDN, de RDI en het Ministerie van Economische Zaken over implementatievereisten;
- de communicatie richting leden over concrete verplichtingen en termijnen.
De VvR bewaakt daarbij dat de verplichtingen die op registrars rusten uitvoerbaar zijn en dat leden tijdig over de juiste informatie beschikken.
Tijdlijn
- 2018 – Inwerkingtreding NIS1-richtlijn en de Wbni in Nederland.
- 2022 – Europese NIS2-richtlijn vastgesteld; aanzienlijke uitbreiding van scope en verplichtingen ten opzichte van NIS1.
- 2024–2025 – Wetsvoorstel Cyberbeveiligingswet (Cbw) in parlementaire behandeling.
- 7 juli 2026 – Eerste Kamer stemt in met de Cyberbeveiligingswet en de Wet weerbaarheid kritieke entiteiten.
- 15 augustus 2026 – Inwerkingtreding van de Cyberbeveiligingswet; registratieplicht gaat in.
- Vervolg – Verdere uitwerking van de matrix voor registrars en registries in samenwerking met SIDN, Dotlocal, Verisign en het Ministerie van EZ; afstemming met de RDI over implementatiestart.
De input van leden zal in ieder geval worden uitgevraagd via het ledenonderzoek maar is tussentijdse ook altijd welkom. Via onderstaande knop kun je reageren en feedback achterlaten op de besloten portal voor leden.