Cyberbeveiligingswet is van kracht in Nederland: DORA bepaalt route voor veel cryptobedrijven
Vanaf 15 augustus 2026 gelden nieuwe cyberplichten voor ruim 8.000 Nederlandse organisaties. De Cyberbeveiligingswet zet NIS2 om in Nederlandse regels en trekt cyberrisico nadrukkelijk de bestuurskamer in.
Voor crypto zit er alleen een belangrijke juridische draai aan. Een gereguleerde cryptodienstverlener onder MiCA valt vaak al onder DORA, de Europese cyberverordening voor financiële partijen. Die regels kunnen bij risicobeheer en incidentmeldingen voorrang krijgen op de algemene NIS2-route.
Cyberbeveiligingswet geldt vanaf vandaag
De Cyberbeveiligingswet van het NCSC is vandaag formeel in werking getreden. Daarmee vervangt Nederland de oude Wet beveiliging netwerk- en informatiesystemen en worden de verplichtingen uit NIS2 nationaal afdwingbaar.
De wet kijkt eerst naar sector en omvang.
Onder meer bankwezen, digitale aanbieders, beheer van ICT-diensten en partijen rond financiële markten kunnen binnen het bereik vallen. In veel gevallen gaat het om organisaties met minimaal 50 werknemers, of meer dan €10 miljoen jaaromzet of balanstotaal. Voor sommige categorieën gelden de regels ongeacht de omvang.
Het NCSC benadrukt dat ondernemingen zelf moeten beoordelen of zij onder de wet vallen.
Dat maakt alleen het label “cryptobedrijf” onvoldoende. Een bedrijf moet kijken naar de diensten die het daadwerkelijk levert, zijn omvang en de sector waarin het juridisch wordt ingedeeld.
Drie plichten staan centraal
Voor organisaties die rechtstreeks onder de Cyberbeveiligingswet vallen, komen drie verplichtingen steeds terug: registreren, cyberrisico's beheersen en incidenten melden.
Registratie gebeurt via het nationale entiteitenregister op MijnNCSC. Organisaties moeten daar onder meer sectorgegevens, contactpersonen en bepaalde netwerkgegevens doorgeven. Wijzigingen in geregistreerde gegevens moeten vervolgens binnen veertien dagen worden verwerkt.
De zorgplicht gaat verder dan een antiviruspakket installeren.
Organisaties moeten zelf risico's beoordelen en passende technische, operationele en organisatorische maatregelen nemen. Het NCSC noemt daarbij onder meer incidentrespons, bedrijfscontinuïteit, leveranciersrisico's, toegangsbeheer, authenticatie, cryptografie en periodieke controle van beveiligingsmaatregelen.
Bestuur kan cyberrisico niet bij IT parkeren
Een van de zwaarste veranderingen zit boven de technische afdeling.
Bestuurders moeten de beveiligingsmaatregelen goedkeuren en toezicht houden op de uitvoering. Volgens het NCSC moeten bestuursleden bovendien voldoende kennis hebben om die verantwoordelijkheid daadwerkelijk te kunnen dragen.
Dat raakt financiële en digitale ondernemingen direct.
Een bestuurder kan na een ernstig incident niet simpelweg volstaan met de uitleg dat private keys, toegangsrechten of back-ups bij de technische afdeling lagen. Er moet aantoonbaar beleid zijn rond risico, controle en herstel.
Voor bedrijven die wallets, handelsdiensten of andere systemen rond digitale activa aanbieden, kan dat snel over zeer gevoelige onderdelen gaan.
Incidentmelding krijgt een harde klok
Ook de meldtermijnen zijn strak.
Onder de normale Cyberbeveiligingswet-route moet een significant incident zo snel mogelijk worden gemeld. Uiterlijk binnen 24 uur volgt een eerste waarschuwing. Binnen 72 uur moet een uitgebreidere melding volgen met een eerste beoordeling van ernst en gevolgen.
Binnen één maand volgt normaal gesproken het eindverslag.
Loopt het incident dan nog, dan moet eerst een voortgangsverslag worden ingediend. Het definitieve verslag volgt nadat de gebeurtenis is afgehandeld.
Dat zijn harde termijnen voor een sector waarin een incident binnen minuten financiële schade kan veroorzaken.
Een gecompromitteerde sleutel, ransomware-aanval of ongeautoriseerde toegang kan bij blockchain-systemen gevolgen hebben die niet simpelweg met een databaseback-up worden teruggedraaid.
Maar voor gereguleerde cryptobedrijven verschijnt DORA
Hier moet de cryptosector oppassen met één simpele conclusie.
Niet iedere Nederlandse cryptodienstverlener krijgt zijn volledige cyberregime opeens rechtstreeks uit de Cyberbeveiligingswet.
De Europese Digital Operational Resilience Act, of DORA, noemt vergunde crypto-asset service providers uitdrukkelijk als financiële entiteiten die onder de verordening vallen. Ook uitgevers van asset-referenced tokens vallen binnen dat kader.
DORA is bovendien door de Europese wetgever aangemerkt als lex specialis ten opzichte van NIS2 voor de financiële sector. Simpel gezegd: waar DORA specifieke regels geeft voor digitaal risicobeheer en ICT-incidenten, kan die sectorspecifieke regeling voorgaan.
Dat is geen theoretisch detail.
CASP meldt ernstig ICT-incident bij AFM
De AFM zegt expliciet dat aanbieders van cryptoactivadiensten, oftewel CASP's, onder DORA ernstige ICT-incidenten moeten rapporteren.
Die meldingen lopen via de AFM Portal. CASP's moeten daar onder DORA ook bepaalde meldingen rond ICT-leveranciers en cyberdreigingen indienen.
De AFM koppelt DORA bovendien rechtstreeks aan CASP-vergunningen. Bij een vergunningaanvraag vraagt de toezichthouder expliciet naar IT- en DORA-beheersing en bedrijfscontinuïteit.
Het NCSC waarschuwt daarom zelf dat voor organisaties die ook onder DORA vallen een andere meldroute of andere termijn kan gelden. Bij twijfel moet de onderneming bij haar eigen toezichthouder controleren welke procedure van toepassing is.
Crypto krijgt dus geen vrijstelling van cyberregels
DORA betekent niet dat cryptobedrijven minder hoeven te doen.
Het tegenovergestelde ligt dichter bij de werkelijkheid.
DORA stelt eigen eisen aan ICT-risicobeheer, incidentrapportage, testen en risico's bij externe technologieleveranciers. De verordening geldt onder meer voor MiCA-vergunde cryptodienstverleners.
De juridische vraag voor een cryptobedrijf wordt daardoor niet alleen: vallen wij onder NIS2?
De betere vragen zijn: vallen wij onder de Cyberbeveiligingswet, vallen wij onder DORA, en welke specifieke verplichting geldt bij overlap?
Dat onderscheid voorkomt dat een bedrijf na een aanval bij het verkeerde loket terechtkomt.
Leveranciers worden een groter risico voor crypto
Ook partijen die zelf geen CASP zijn, kunnen in beeld komen.
Crypto- en fintechbedrijven gebruiken cloudomgevingen, beveiligingsbedrijven, handelssoftware, dataleveranciers, nodeproviders en andere externe technologie. Sommige van die ondernemingen kunnen zelfstandig onder de Cyberbeveiligingswet vallen door hun eigen sector en omvang.
Dat maakt leverancierscontrole zwaarder.
Een walletbedrijf kan zijn eigen sleutels goed beveiligen en toch geraakt worden wanneer een externe dienst wordt overgenomen. DORA legt bij financiële ondernemingen eveneens veel nadruk op het beheren van risico's bij ICT-dienstverleners.
Cyberweerbaarheid stopt dus niet meer bij de voordeur van het bedrijf.
Ransomware houdt directe cryptolink
Ook ransomware blijft voor de sector een herkenbaar risico.
Bij zulke aanvallen kunnen systemen worden versleuteld en gebruiken criminelen digitale betaalmiddelen om losgeld te ontvangen. Voor Bitcoin en andere cryptovaluta betekent dat opnieuw dat technologie zelf niet het misdrijf hoeft te veroorzaken, maar wel onderdeel kan worden van de betalingsroute.
Voor ondernemingen ligt de wettelijke aandacht elders: voorkomen dat een aanval diensten ontwricht, snel kunnen reageren en weten wanneer toezichthouders moeten worden geïnformeerd.
Daarmee verschuift cybersecurity van een technische kostenpost naar aantoonbaar bedrijfsrisico.
Vandaag begint vooral de bewijsfase
De Cyberbeveiligingswet creëert geen garantie tegen hacks.
Ook verdwijnen hacks, datalekken of ransomware niet omdat een organisatie een risicoanalyse op papier heeft staan.
Wat vanaf 15 augustus 2026 wel verandert, is de bewijsdruk. Een organisatie die onder de wet valt, moet kunnen laten zien hoe risico's worden beoordeeld, welke maatregelen zijn gekozen en hoe het bestuur daarop toeziet.
Voor Nederlandse cryptobedrijven komt daar nog een tweede laag bovenop.
Vergunde CASP's zitten al in het DORA-regime. Andere digitale spelers rond crypto kunnen juist door hun activiteiten of omvang rechtstreeks binnen de Cyberbeveiligingswet vallen.
De belangrijkste vraag is daarom niet of “crypto onder NIS2 valt”.
De vraag is welke cyberwet op welke onderneming van toepassing is — en of het bestuur dat vóór het volgende incident al heeft uitgezocht.
Stop met te veel betalen voor je crypto. Bij de Amsterdamse exchange Finst handel je tegen de laagste tarieven van Nederland, zonder verborgen kosten.
👀 Bekijk Finst nu ›Let op: Beleggen in crypto brengt risico’s met zich mee. Handel alleen met geld dat u kunt missen.
Ga verder met lezen
Dit vind je misschien ook leuk
Laat mensen jouw mening weten
Lees ook
Populair Nieuws
Loading
