In de NIS2-richtlijn en Cyberbeveiligingswet is de sector overheid een aparte sector. De volgende overheidsorganisaties vallen onder de Cyberbeveiligingswet:
- Ministeries, inclusief hun diensten en agentschappen
- Provincies
- Gemeenten
- Waterschappen (via het ministerie van IenW)
De volgende overheidsinstanties vallen onder de Cyberbeveiligingswet voor zover zij voldoen aan de 4 criteria voor overheidsinstanties. Dit is dus per geval verschillend.
- Zelfstandige bestuursorganen (zbo’s)
- Gemeenschappelijke regelingen
Het omvangscriterium dat in andere sectoren van de Cyberbeveiligingswet relevant is, geldt niet voor de sector overheid. In plaats daarvan gelden criteria die bepalen of organisaties ‘overheidsinstanties’ zijn. Deze criteria gelden in elk geval voor alle ministeries, provincies en gemeenten. Voor zelfstandige bestuursorganen en gemeenschappelijke regelingen moet per geval worden bepaald of de criteria van toepassing zijn.
De criteria voor overheidsinstanties en de interpretatie hiervan zijn terug te vinden in de Memorie van Toelichting bij de Cyberbeveiligingswet onder 5.1.2.
Voor welke gemeenschappelijke regelingen en zbo’s geldt de Cbw?
Om te bepalen of gemeenschappelijke regelingen en zbo’s onder de Cbw vallen, moet worden gekeken naar de criteria die de NIS2-richtlijn geeft. De mate waarin zij voldoen aan de criteria, verschilt per organisatie. Zbo’s en gemeenschappelijke regelingen die voldoen aan de criteria voor overheidsinstanties moeten voldoen aan de wet. Als onderdeel van de Cbw hadden zij zich uiterlijk 15 augustus 2026 moeten registreren in het registratieportaal van het Nationaal Cyber Security Centrum (NCSC). Dat betekent dat zij ook voor die tijd moeten toetsen of hun organisatie aan de overheidscriteria voldoet.
In 2025 heeft het ministerie van BZK een eerste inschatting gemaakt op basis van openbare informatie welke zbo’s en gemeenschappelijke regelingen zouden voldoen aan de criteria voor overheidsinstanties. In december 2025 heeft de staatssecretaris van Binnenlandse Zaken en Koninkrijksrelaties (BZK) deze gemeenschappelijke regelingen en zbo’s aangeschreven: ruim 220 gemeenschappelijke regelingen en ongeveer 50 zbo’s. In deze brief werd de organisaties gevraagd te verifiëren of zij aan de overheidscriteria uit de Cbw voldoen. Ook werd gevraagd de bevindingen hierover te delen met het ministerie van BZK. Nog niet alle aangeschreven gemeenschappelijke regelingen en zbo’s hebben op de brief gereageerd.
In augustus 2026 stuurt het ministerie een brief naar alle overheidsorganisaties die (mogelijk) onder de Cbw vallen. Deze brief wordt gericht aan de bestuurders van deze organisaties. In de brief vraagt het ministerie aandacht voor de inwerkingtreding en de bijbehorende verplichtingen uit de wet. Daar hoort ook de registratieplicht bij, en voor gemeenschappelijke regelingen en zbo’s de verificatie van de overheidscriteria. Deze brief gaat naar alle gemeenschappelijke regelingen en zbo’s. Hiermee wil het ministerie de kans verkleinen dat er gemeenschappelijke regelingen of zbo’s zijn die de afweging of zij onder de Cbw vallen niet hebben gemaakt.
Een gemeenschappelijke regeling die voldoet aan de overheidscriteria van de Cbw valt zelfstandig onder deze wet. Gemeenten die verbonden zijn aan de betreffende regeling zijn niet verantwoordelijk voor de naleving van de verplichtingen door de regeling. Wel blijft er sprake van verbondenheid. Het is daarom belangrijk altijd passende afspraken te maken over risico’s, incidenten en continuïteit. Ook als een gemeenschappelijke regeling niet onder de Cbw valt.
Criteria overheidsinstanties
Een organisatie is een overheidsinstantie als:
- zij is opgericht om te voorzien in behoeften van algemeen belang en geen industrieel of commercieel karakter heeft;
- zij rechtspersoonlijkheid heeft of volgens de wet namens een andere entiteit met rechtspersoonlijkheid mag optreden;
- zij grotendeels wordt gefinancierd door de staat, regionale autoriteiten of andere publiekrechtelijke organen, is onderworpen aan beheerstoezicht door die autoriteiten of organen, of een bestuursorgaan, leidinggevend of toezichthoudend orgaan heeft, waarvan de leden voor meer dan de helft door de staat, regionale autoriteiten of andere publiekrechtelijke organen worden benoemd;
- zij de bevoegdheid heeft om ten aanzien van natuurlijke of rechtspersonen administratieve of regelgevende besluiten te nemen die van invloed zijn op hun rechten op het grensoverschrijdende verkeer van personen, goederen, diensten of kapitaal. Denk hierbij aan besluiten in de zin van de Algemene wet bestuursrecht.
Meer informatie over hoe je deze criteria moet lezen, lees je in de Memorie van Toelichting bij de Cyberbeveiligingswet onder 5.1.2.
Uitzondering overheidsorganisaties van de Cyberbeveiligingswet
De Cyberbeveiligingswet geeft een uitzondering voor overheidsinstanties die hoofdzakelijk activiteiten uitvoeren op het gebied van nationale veiligheid, openbare veiligheid, defensie of rechtshandhaving (inclusief het voorkomen, onderzoeken en opsporen van strafbare feiten). Dit betekent dat het ministerie van Defensie, de Militaire Inlichtingen- en Veiligheidsdienst, de Algemene Inlichtingen- en Veiligheidsdienst, het Openbaar Ministerie, de politie en de veiligheidsregio’s zijn uitgezonderd van de NIS2-richtlijn. De NIS2-richtlijn geeft wel aan dat ook uitgezonderde organisaties moeten streven naar een minstens gelijkwaardig niveau voor hun weerbaarheid.
Overheidsinstanties die activiteiten uitvoeren die zijdelings te maken hebben met nationale veiligheid et cetera, vallen wel onder toepassing van de richtlijn.
Val ik onder de Cyberbeveiligingswet?
Organisaties zijn zelf verantwoordelijk om te bepalen of zij onder de Cyberbeveiligingswet vallen. Op basis van interdepartementale afstemming is een vragenlijst ontwikkeld. Hiermee kunnen organisaties zelf bepalen of ze onder de Cyberbeveiligingswet/NIS2-richtlijn vallen. En of ze gekenmerkt worden als essentieel of belangrijk. Doe de NIS2 Zelfevaluatie.
Of bekijk de Flowchart Registratieplicht, opgesteld door het NCSC.
