Cyberbeveiligingswet (NIS2): wat verandert er voor jouw hostingomgeving?

Praktische gids voor Nederlandse bedrijven die een website, webwinkel of SaaS-applicatie hosten en willen weten wat de Cyberbeveiligingswet inhoudt en wat bij hen blijft liggen. Stand per 30.09.2026.

Kort antwoord

  1. 1De Cyberbeveiligingswet zet de Europese NIS2-richtlijn (2022/2555) om in Nederlands recht. De Eerste Kamer nam het wetsvoorstel aan op 7 juli 2026; wet en Cyberbeveiligingsbesluit zijn in werking getreden op 15 augustus 2026 (Staatsblad 2026, 189).
  2. 2De wet geldt niet voor elke website. Ze geldt voor organisaties in bepaalde sectoren en van een bepaalde omvang; het Rijk noemt 18 sectoren, waaronder digitale infrastructuur. Of jij erbij hoort, bepaal je zelf aan de hand van de wettekst en de informatie van het NCSC.
  3. 3Organisaties die eronder vallen moeten zich registreren via MijnNCSC en significante incidenten melden aan hun CSIRT. De richtlijn noemt een eerste melding binnen 24 uur en een incidentmelding binnen 72 uur.
  4. 4Je hostingprovider is een leverancier in jouw keten, geen vervanging van jouw verplichtingen. Stand van zaken per 30.09.2026.

Wat is de Cyberbeveiligingswet?

De wet voert NIS2 uit voor Nederland. Het wetsvoorstel (36.764) werd op 15 april 2026 aangenomen door de Tweede Kamer en op 7 juli 2026 door de Eerste Kamer. Het Cyberbeveiligingsbesluit van 8 juli 2026, gepubliceerd op 10 juli 2026 in Staatsblad 2026, 189, stelt in artikel 35 vast dat wet en besluit ingaan op 15 augustus 2026.

Volgens het Rijk gaat het om ongeveer 8.000 organisaties in 18 sectoren, onder andere energie, drinkwater, digitale infrastructuur, gezondheidszorg, overheid en vervoer. Toezichthouders controleren of organisaties aan hun verplichtingen voldoen.

Registratie en incidentmelding

Het NCSC meldt dat organisaties die onder de wet vallen zich registreren via MijnNCSC. Welke termijn daarvoor precies geldt en welke toezichthouder bij jouw sector hoort, lees je op ncsc.nl en in de wettekst; dat nemen we hier niet over zonder bron.

Voor meldingen verwijst het Rijk naar de wettelijke termijnen. De onderliggende richtlijn (artikel 23) schrijft voor: een eerste waarschuwing zonder onnodige vertraging en binnen 24 uur na kennisname van een significant incident, en een incidentmelding binnen 72 uur. Je meldt aan je CSIRT en, waar van toepassing, aan de toezichthouder.

Wat betekent dit voor je hostingomgeving?

Er zijn twee rollen. Ben je zelf een organisatie die onder de wet valt, dan hoort je hostingprovider in je leveranciersoverzicht: contract, contactpersoon bij incidenten, beschrijving van back-up en herstel, locatie van de data. Lever je zelf hosting, clouddiensten of beheerde diensten aan anderen, dan kun je zelf onder digitale infrastructuur vallen.

4hosting heeft geen datacenter in Nederland. De servers staan in de EU, in Frankfurt. Dat verandert jouw verplichtingen niet, maar het hoort in je ketendocumentatie, samen met de verwerkersovereenkomst (art. 28 AVG). Over de AVG-kant lees je meer op de pagina AVG-naleving.

Drie concrete voorbeelden

Webwinkel op een VPS

Een Nederlandse webwinkel draait op een VPS. De eigenaar vraagt zich af of registratie nodig is. De juiste eerste stap is nagaan of sector en omvang onder de wet vallen, bij voorkeur met een jurist. Zo niet, dan blijven geteste back-ups, updates en een WAF toch verstandig.

SaaS-bedrijf met zakelijke klanten

Valt het bedrijf onder de wet, dan registreert het zich en brengt het leveranciers in kaart. De hostingprovider komt in die lijst met contract, verwerkersovereenkomst, back-upbeschrijving en incidentcontact. In het incidentplan staat wie meldt aan het CSIRT en met welke logs.

Ransomware op een productieserver

De meldtermijnen lopen voor de organisatie die onder de wet valt, niet voor wie de infrastructuur verhuurt. Leg daarom vooraf vast wie beslist, wie de eerste melding doet, waar de logs staan en vanaf welke back-up je herstelt.

Veelgemaakte fouten

  • Denken dat "de server staat in de EU, dus we zijn gedekt". De verplichtingen rusten op de organisatie die onder de wet valt, niet op de leverancier van de infrastructuur.
  • Nooit nagaan of je organisatie onder de wet valt en dus ook niet weten of je je moet registreren.
  • Geen schriftelijke meldprocedure hebben: met een eerste melding binnen 24 uur begin je niet vanaf nul.
  • De hostingprovider niet opnemen in je leveranciersoverzicht (contract, verwerkersovereenkomst, back-up, incidentcontact).

Zo helpt 4hosting

  • Infrastructuur in de EU, in Frankfurt, niet in Nederland, met DDoS-bescherming op L3/L4 tot 1,5 Tbps inbegrepen.
  • Verwerkersovereenkomst (DPA) volgens art. 28 AVG, standaardcontractbepalingen voor doorgifte en afstemming op ISO 27001. Dat is geen ISO 27001-certificering.
  • DevOps- en CyberSecurity-diensten binnen de uren die in je plan zitten: Hardening & Compliance, WAF & DDoS, SIEM & Incident Response, CI/CD & Monitoring. Uren vraag je aan via het klantenpaneel; uren boven het quotum worden apart gefactureerd.
  • 4hosting heeft geen NIS2-, ISO- of SOC 2-certificering, certificeert de naleving van de klant niet en tekent niet voor juridische naleving. Of 4hosting zelf onder de wet valt, beoordelen we hier niet.

Veelgestelde vragen

Geldt de Cyberbeveiligingswet voor elke Nederlandse website?

Nee, niet automatisch. De wet richt zich op organisaties in bepaalde sectoren en van een bepaalde omvang. Controleer het via ncsc.nl of met een jurist.

Certificeert 4hosting mijn NIS2-naleving?

Nee. 4hosting levert infrastructuur, een verwerkersovereenkomst en DevOps- en CyberSecurity-diensten. De naleving van jouw organisatie blijft jouw verantwoordelijkheid.

Waar staan de servers van 4hosting?

In de EU, in Frankfurt. Er is geen datacenter in Nederland.

Zie ook

Gidsen voor Nederlandse bedrijven