Veel organisaties denken bij NIS2 meteen aan maatregelen en meldplicht, maar de eerste concrete stap is vaak administratief: de registratieplicht. Essentiële en belangrijke entiteiten moeten zich melden bij de toezichthouder, zodat die weet wie onder de wet valt. Wie dat mist, staat al met 1-0 achter bij toezicht.
Wie moet zich registreren?
De plicht geldt voor organisaties die onder de Nederlandse Cyberbeveiligingswet (de NIS2-implementatie) vallen als essentiële of belangrijke entiteit. Bepaal eerst je toepasselijkheid: sector, omvang en of je onder een van de aangewezen categorieën valt. Twijfel je, documenteer dan de afweging — ook “wij vallen er niet onder, want…” is een beslissing die je moet kunnen onderbouwen. Die onderbouwing is je eerste bewijsstuk, of je nu wel of niet registreert.
Bepaal je toepasselijkheid zorgvuldig
De valkuil zit in de details. Je kunt direct onder NIS2 vallen op basis van sector en omvang, maar ook indirect geraakt worden doordat een opdrachtgever die er wél onder valt eisen aan jou doorlegt. Kijk dus niet alleen naar je eigen classificatie, maar ook naar je grootste klanten. Leg de uitkomst en de peildatum vast; sector- en omvangsgrenzen kunnen veranderen en je afweging moet op enig moment reproduceerbaar zijn.
Wat houdt registratie in?
- Basisgegevens: naam, sector, contactpersoon en vestiging(en).
- Digitale contactpunten en, waar gevraagd, IP-ranges of domeinen.
- Actueel houden: wijzigingen doorgeven — niet eenmalig invullen en vergeten.
- Bewijs: bewaar wat je hebt geregistreerd en wanneer.
Zie registratie niet als losstaand, maar als startpunt van je NIS2-dossier — het koppelt direct aan governance en ketenverantwoordelijkheid.
Waarom het meer is dan een formulier
Registratie zet je organisatie op de radar van de toezichthouder. Vanaf dat moment gelden ook de zorgplicht (passende maatregelen) en de meldplicht bij incidenten. Bestuurders zijn onder NIS2 persoonlijk medeverantwoordelijk; de registratie is het moment waarop die verantwoordelijkheid formeel wordt. Zorg dus dat registratie samengaat met een minimale set aantoonbare maatregelen, niet als los administratief vinkje.
Wat komt er na registratie?
Zodra je geregistreerd bent, verwacht de toezichthouder dat je aantoonbaar aan de zorgplicht werkt: risicobeheer, incidentprocessen, bedrijfscontinuïteit en ketenmaatregelen. Een ISO 27001-ISMS is de meest efficiënte manier om die maatregelen aantoonbaar in te richten — je hoeft het wiel niet twee keer uit te vinden. Ook de meldplicht wordt concreet: een significant incident meld je binnen strakke termijnen, met een eerste melding kort na ontdekking en een uitgebreider vervolg later.
Veelgemaakte fouten
- Aannemen dat je niet onder NIS2 valt zonder de afweging vast te leggen — juist die onderbouwing wil een toezichthouder zien.
- Registreren en stoppen — registratie zonder zorgplicht-maatregelen is een lege huls.
- Gegevens niet actueel houden — een verouderd contactpunt betekent dat je een melding of instructie mist.
- Bestuur niet betrekken — de persoonlijke verantwoordelijkheid van bestuurders maakt dit een directieonderwerp, geen IT-taak.
Aan de slag
Bepaal deze week je toepasselijkheid en leg de afweging vast. Val je eronder, regel dan de registratie en koppel die meteen aan een minimale set maatregelen. Twijfel je over je positie of maatregelen? Doe de NIS2-readiness scan of bekijk onze pagina over NIS2.