Sinds 15 augustus 2026 geldt in Nederland de Cyberbeveiligingswet. In de bijlage bij die wet staat de sector energie, en daarbinnen staat stadsverwarming en -koeling met zoveel woorden genoemd. Dat leidt begrijpelijkerwijs tot de vraag of iedereen met een collectief warmtesysteem nu ineens onder een cyberwet valt.
Het antwoord is voor de meeste vastgoedeigenaren en VvE’s nee, maar niet vanzelfsprekend, en er zijn drie routes waarlangs je er toch mee te maken krijgt. Deze blog helpt je vaststellen waar je staat: wat de wet is, hoe de toets in twee stappen werkt, wat er moet gebeuren als je eronder valt, en wat er van je verwacht kan worden als dat niet zo is.
Bedoeld voor warmteleveranciers, warmtebedrijven, asset owners met een eigen exploitatie en beheerorganisaties die verantwoordelijk zijn voor de besturing van collectieve warmte-installaties.
Wat de Cyberbeveiligingswet is
De Cyberbeveiligingswet is de Nederlandse uitvoering van de Europese NIS2-richtlijn en vervangt de Wet beveiliging netwerk- en informatiesystemen. Tegelijk met deze wet is de Wet weerbaarheid kritieke entiteiten in werking getreden, die over fysieke weerbaarheid gaat. Volgens de Rijksoverheid krijgen ruim achtduizend Nederlandse organisaties in achttien sectoren met de nieuwe verplichtingen te maken.
Er is geen algemene overgangsperiode. De verplichtingen gelden vanaf het moment van inwerkingtreding, dus wie nog moet beginnen, begint met achterstand.
Eén ding is belangrijk om vooraf te weten: er is geen instantie die je aanschrijft. Organisaties zijn zelf verantwoordelijk om te toetsen of ze onder de wet vallen. Er komt geen brief.
De toets bestaat uit twee stappen
Of de wet voor je geldt hangt af van twee dingen: de sector waarin je actief bent en de omvang van je organisatie. Beide moeten kloppen.
Stap 1: hoort je organisatie bij een sector uit de wet?
De wet werkt met twee bijlagen. Bijlage 1 bevat de zeer kritieke sectoren, bijlage 2 de overige kritieke sectoren. Energie staat in bijlage 1, met als subsectoren elektriciteit, stadsverwarming en -koeling, aardgas, waterstof en aardolie.
Het gaat daarbij niet om de sector alleen, maar om het soort entiteit binnen die subsector. Voor stadsverwarming en -koeling is dat de exploitant van stadsverwarming of stadskoeling. Je valt dus niet onder de wet omdat je iets met warmte doet, maar omdat je een specifiek in de bijlage genoemd type organisatie bent.
Daar zit meteen de belangrijkste onduidelijkheid voor dit werkveld. De term stadsverwarming wijst op het distribueren van warmte via een net naar meerdere gebouwen of locaties. Of een collectieve installatie die alleen binnen één gebouw levert, zoals klassieke blokverwarming, onder die omschrijving valt, is niet iets wat je uit de sectornaam kunt afleiden. Wie daarover twijfelt, moet dat toetsen aan de bijlage bij de wet zelf en zo nodig navraag doen bij het verantwoordelijke ministerie. Ga er niet vanuit dat het antwoord vanzelfsprekend is, in welke richting dan ook.
Stap 2: is je organisatie groot genoeg?
Zit je in een sector uit de bijlagen, dan volgt de omvangstoets. Je organisatie is groot genoeg voor de wet als je vijftig of meer medewerkers in fte hebt. Of, bij minder dan vijftig medewerkers, als zowel je jaaromzet als je balanstotaal boven de tien miljoen euro ligt.
Let op één ding dat vaak wordt overgeslagen: bij die berekening tellen partner- en verbonden ondernemingen mee. Een kleine exploitatie-bv binnen een groter vastgoedconcern kan daardoor alsnog boven de grens uitkomen. Kijk dus naar de groep, niet alleen naar de rechtspersoon waarin het warmtesysteem zit.
Voor de meeste VvE’s en veel vastgoedeigenaren strandt de toets hier. Zonder personeel van betekenis en zonder omzet van die orde val je niet van rechtswege onder de wet. Voor warmtebedrijven en grotere corporaties ligt dat anders.
Essentieel of belangrijk: waarom dat onderscheid uitmaakt
Val je onder de wet, dan ben je ofwel een essentiële ofwel een belangrijke entiteit. Voor sectoren uit bijlage 1, waaronder energie, hangt dat af van je omvang.
| Omvang | Positie binnen bijlage 1 | Toezicht |
|---|---|---|
| Groot: 250 werknemers of meer, of een jaaromzet boven 50 miljoen euro en een balanstotaal boven 43 miljoen euro | Essentiële entiteit | Proactief. De naleving wordt actief gecontroleerd, ook als er geen incidenten zijn. |
| Middelgroot: vanaf 50 werknemers, of onder de 50 met zowel omzet als balanstotaal boven 10 miljoen euro | Belangrijke entiteit | Reactief. Controle vindt vooral achteraf plaats, na signalen of na een incident. |
| Klein: onder beide drempels | Valt niet van rechtswege onder de wet | Geen, tenzij je alsnog wordt aangewezen. |
Het verschil zit ook in de handhaving. Bij beide categorieën kan de toezichthouder onder meer een bindende aanwijzing geven, een beveiligingsaudit eisen, de overtreding openbaar maken en een bestuurlijke boete opleggen. Bij essentiële entiteiten kan de toezichthouder daarnaast een controlefunctionaris aanstellen en in het uiterste geval verzoeken om tijdelijke schorsing van een bestuurslid of van een vergunning.
Wat je moet doen als je eronder valt
De wet legt drie verplichtingen op, met daarnaast een expliciete rol voor het bestuur.
Registreren
Organisaties die onder de wet vallen moeten zich registreren in het landelijke entiteitenregister. Dat gebeurt bij het Nationaal Cyber Security Centrum, via MijnNCSC. Na registratie krijg je toegang tot de dienstverlening van het CSIRT dat bij je sector hoort; voor energie is dat het NCSC zelf.
Maatregelen nemen: de zorgplicht
De zorgplicht houdt in dat je passende en evenredige technische, operationele en organisatorische maatregelen neemt om de risico’s voor je netwerk- en informatiesystemen te beheersen. Het startpunt is een risicoanalyse; daaruit volgt wat passend is voor jouw situatie.
De wet noemt tien maatregelen die er in ieder geval onder vallen: beleid voor risicoanalyse en informatiebeveiliging, incidentenbehandeling, bedrijfscontinuïteit met back-ups en herstelplannen, beveiliging van de toeleveringsketen, beveiliging bij het verwerven en onderhouden van systemen, beoordeling van de effectiviteit van maatregelen, cyberhygiëne en training, cryptografie en encryptie, personeel en toegangsbeleid, en waar passend meerfactorauthenticatie en beveiligde communicatie.
Dat vierde punt, beveiliging van de toeleveringsketen, is voor deze sector het meest onderschatte. Daarover verderop meer.
Incidenten melden
Significante incidenten moeten worden gemeld bij het CSIRT en de toezichthouder, via één centraal meldpunt. De meldplicht verloopt gefaseerd:
| Moment | Wat je doet |
|---|---|
| Binnen 24 uur | Een vroegtijdige waarschuwing, met de vraag of het incident door een onrechtmatige of kwaadwillige handeling is veroorzaakt en of er grensoverschrijdende gevolgen zijn. |
| Binnen 72 uur | De eigenlijke melding: een update van de eerdere informatie en een beoordeling van de ernst en de gevolgen. |
| Op verzoek | Een tussentijds verslag, als het CSIRT of de toezichthouder daarom vraagt. |
| Binnen 1 maand | Het eindrapport. Loopt het incident dan nog, dan volstaat een voortgangsverslag en volgt het eindrapport later. |
Een incident is significant als het een ernstige verstoring van de dienstverlening of financiële verliezen veroorzaakt of kan veroorzaken, of als andere organisaties erdoor getroffen worden of kunnen worden. Voor de energiesector zijn die drempelwaarden per subsector nader uitgewerkt in een aparte ministeriële regeling, met eigen criteria voor de exploitant van stadsverwarming of stadskoeling. Val je onder de wet, dan is die regeling het document waarin je opzoekt wanneer een storing bij jou meldingsplichtig is.
Het bestuur is medeverantwoordelijk
Cyberbeveiliging is onder deze wet geen ICT-onderwerp maar een bestuursverantwoordelijkheid. Het bestuur moet de maatregelen goedkeuren en toezicht houden op de uitvoering, en moet daarvoor een training volgen. Toezichtsmaatregelen richten zich in beginsel op de organisatie, maar kunnen in het uiterste geval ook individuele bestuurders raken.
Val je er niet onder? Drie routes waarlangs je er alsnog mee te maken krijgt
Kom je niet door de twee stappen heen, dan geldt de wet niet voor jou en hoef je je niet te registreren. Toch is dat niet het einde van het verhaal.
Ten eerste kunnen organisaties worden aangewezen. De wet biedt de mogelijkheid om ook andere entiteiten aan te merken als essentiële of belangrijke entiteit, bijvoorbeeld wanneer uitval van hun dienstverlening aanzienlijke gevolgen kan hebben of wanneer een organisatie de enige aanbieder van een bepaalde dienst is. Klein zijn is dus geen garantie.
Ten tweede: ben je aangewezen als kritieke entiteit onder de Wet weerbaarheid kritieke entiteiten, dan val je automatisch ook onder de Cyberbeveiligingswet.
Ten derde, en dat is in de praktijk de meest waarschijnlijke route: de keten. Organisaties die wél onder de wet vallen moeten de beveiliging van hun toeleveringsketen op orde brengen, inclusief de relaties met hun directe leveranciers en dienstverleners. Lever je warmte aan een partij die onder de wet valt, of beheer je installaties voor zo’n partij, dan zullen die eisen contractueel bij jou terechtkomen. Niet omdat de wet zich tot jou richt, maar omdat je opdrachtgever moet kunnen aantonen dat zijn keten in orde is.
Wat dit betekent voor de besturing van je installatie
Bij een collectief warmtesysteem gaat het niet alleen over kantoorautomatisering. De installatie zelf hangt aan gebouwbeheersystemen, regelinstallaties en monitoringsoftware, en die zijn vrijwel altijd op afstand benaderbaar. Dat is precies wat monitoring bruikbaar maakt, en tegelijk wat het onderwerp van deze wet is.
Drie vragen zijn zinvol, ongeacht of je onder de wet valt. Wie heeft toegang tot de besturing van je installaties, en hoe is die toegang beveiligd? Waar staan de meet- en installatiegegevens, en bij wie? En wat gebeurt er als de besturing uitvalt of onbetrouwbaar wordt: kun je het systeem dan nog bedienen?
Daarbij is het de moeite waard om onderscheid te maken tussen systemen die alleen uitlezen en systemen die kunnen ingrijpen. Een monitoringkoppeling die gegevens ophaalt maar geen enkele instelling kan wijzigen, vormt een wezenlijk kleiner risico dan een verbinding waarmee op afstand geschakeld kan worden. Weet van elke koppeling in welke categorie hij valt; dat is een van de eerste dingen waar een auditor naar vraagt.
Die laatste vraag raakt aan iets wat los van deze wet al speelde. Een systeem dat alleen nog via een digitale schil te bedienen is, heeft een afhankelijkheid die in het beheerplan thuishoort. Dat is de reden waarom leveringszekerheid en digitale weerbaarheid steeds moeilijker los van elkaar te zien zijn.
Waar je begint
- Doe de toets. De Rijksinspectie Digitale Infrastructuur biedt een NIS2-zelfevaluatie waarmee je bepaalt of je onder de wet valt en of je essentieel of belangrijk bent. Neem daarbij de hele groep mee, niet alleen de rechtspersoon van het warmtesysteem.
- Val je eronder: registreer je in het entiteitenregister bij het NCSC. Daarna sluit je aan op de dienstverlening van het CSIRT.
- Begin met een risicoanalyse. De tien zorgplichtmaatregelen zijn niet af te vinken zonder eerst te weten waar je risico’s zitten.
- Zoek de sectorspecifieke drempelwaarden op in de regeling voor de energiesector, zodat je weet wanneer een incident meldingsplichtig is voordat het zich voordoet.
- Val je er niet onder: stel dan alsnog vast wie toegang heeft tot je besturingssystemen en leg dat vast. Dat is werk dat je toch moet doen zodra een opdrachtgever ernaar vraagt.
Voor de energiesector is het NCSC het CSIRT en de Rijksinspectie Digitale Infrastructuur de toezichthouder.
Hoe Ecopulz hierin staat
Ecopulz is geen cybersecuritypartij, en dit artikel is geen aanbod om je compliance te regelen. Voor de toets en de inrichting van je informatiebeveiliging heb je andere expertise nodig dan de onze.
Waar we wel aan bijdragen is de installatiekant van het verhaal. Wij beheren collectieve warmtesystemen, weten welke systemen op afstand benaderbaar zijn en wie daar toegang toe heeft, en leggen vast wat er in het beheer gebeurt.
Eén eigenschap van onze opzet is in dit verband het vermelden waard. Het platform waarmee wij monitoren leest uit, maar stuurt niet aan. Het kan geen installatie bedienen en geen instelling wijzigen; het haalt meetgegevens op en maakt die zichtbaar. Dat beperkt wat er via die route mis kan gaan. De meetdata wordt versleuteld verstuurd over een beveiligde verbinding en is alleen toegankelijk voor de partij die daartoe bevoegd is, en onze informatiebeveiliging is gecertificeerd volgens ISO 27001.
Dat is precies het soort informatie dat je nodig hebt zodra iemand vraagt hoe het met je keten zit, of je nu zelf onder de wet valt of dat je opdrachtgever dat doet. Loop je tegen die vraag aan voor de systemen die wij beheren, stel hem dan gerust. Dan zorgen we dat je het antwoord op papier hebt.
Conclusie
De Cyberbeveiligingswet geldt sinds 15 augustus 2026 en noemt stadsverwarming en -koeling expliciet, maar dat betekent niet dat elk collectief warmtesysteem eronder valt. De toets bestaat uit twee stappen: hoor je bij een type organisatie uit de bijlagen, en haal je de omvangscriteria. Voor de meeste VvE’s en veel vastgoedeigenaren strandt het bij die tweede stap.
Val je er wel onder, dan gelden er drie verplichtingen die meteen ingaan: registreren, maatregelen nemen op basis van een risicoanalyse, en incidenten melden binnen 24 uur. Het bestuur keurt de maatregelen goed en volgt daarvoor een training.
En val je er niet onder, dan blijft de vraag wie toegang heeft tot de besturing van je installaties even relevant. Niet omdat een toezichthouder ernaar vraagt, maar omdat je opdrachtgever of je warmteleverancier dat vroeg of laat wel doet.
Veelgestelde vragen over de Cyberbeveiligingswet en warmte
Vallen warmtenetten onder de Cyberbeveiligingswet?
Stadsverwarming en -koeling is een subsector binnen energie in bijlage 1 van de wet, met de exploitant van stadsverwarming of stadskoeling als het genoemde type organisatie. Of je daadwerkelijk onder de wet valt hangt daarnaast af van de omvang van je organisatie.
Wanneer is mijn organisatie groot genoeg voor de Cyberbeveiligingswet?
Bij vijftig medewerkers of meer in fte. Of, bij minder dan vijftig medewerkers, als zowel de jaaromzet als het balanstotaal boven de tien miljoen euro ligt. Partner- en verbonden ondernemingen tellen bij die berekening mee.
Valt een VvE met blokverwarming onder de Cyberbeveiligingswet?
In vrijwel alle gevallen niet, omdat de omvangscriteria niet worden gehaald. Of blokverwarming binnen één gebouw daarnaast überhaupt onder de omschrijving van stadsverwarming valt, is een vraag die je aan de bijlage bij de wet moet toetsen en zo nodig bij het verantwoordelijke ministerie moet navragen.
Wat moet ik doen als mijn opdrachtgever onder de wet valt en ik niet?
Dan krijg je de eisen waarschijnlijk contractueel doorgezet, omdat die opdrachtgever de beveiliging van zijn toeleveringsketen moet kunnen aantonen. Stel in dat geval vast wie toegang heeft tot de besturing van de installaties, hoe die toegang beveiligd is en waar de meetgegevens staan. Dat zijn de vragen die als eerste komen.
