Hoeveel organisaties hebben zich geregistreerd onder NIS2? Cijfers per land
In Duitsland hebben zich ruim 20.000 organisaties geregistreerd onder NIS2, ongeveer twee derde van de geschatte 29.500. In Nederland stonden er half augustus 2.942 in het register, van de ruim 8.000 organisaties die onder de Cyberbeveiligingswet vallen.
Duitsland heeft als eerste land gedetailleerde registratiecijfers voor NIS2 gepubliceerd: op 30 september 2026 hadden zich 20.141 organisaties geregistreerd bij het BSI. Dat is ongeveer twee derde van de organisaties die naar schatting onder de wet vallen. In Nederland ligt de registratiegraad een stuk lager.
Hoeveel organisaties zijn geregistreerd per land?
| Land | Geregistreerd | Peildatum | Geschat aantal onder NIS2 |
|---|---|---|---|
| Duitsland | 20.141 | 30 september 2026 | ca. 29.500 |
| Italië | ruim 20.000 (op de NIS-lijst) | september 2026 | – |
| België | ca. 4.000 | najaar 2025 | ca. 4.500 |
| Nederland | 2.942 | 14 augustus 2026 | ruim 8.000 |
Duitsland. Het BSI publiceert elk kwartaal de stand. Van de 20.141 registraties zijn 6.837 besonders wichtige (essentiële) en 13.252 wichtige (belangrijke) entiteiten. Inclusief 232 nevenvestigingen komt het totaal op 20.373. De meeste registraties komen uit de maakindustrie (4.739), de zorg (3.703), energie (2.794) en digitale infrastructuur (2.674). Bij de oorspronkelijke deadline van 6 maart 2026 stond de teller nog op ongeveer 11.500. Het BSI heeft ook al 1.272 eerste meldingen van incidenten ontvangen.
België. Eén jaar na de invoering van de NIS2-wet meldde het CCB ongeveer 1.500 essentiële en 2.500 belangrijke entiteiten, van naar schatting ongeveer 4.500. Volgens het CCB is daarmee het overgrote deel van de organisaties onder de wet in beeld.
Nederland. De Cyberbeveiligingswet geldt sinds 15 augustus 2026 voor ruim 8.000 organisaties. Op 14 augustus stonden er volgens cijfers van het NCSC 2.942 registraties in het entiteitenregister, of 4.144 als verbonden organisaties worden meegeteld. Recentere cijfers zijn niet gepubliceerd.
Italië. Het ACN stelt op basis van de registraties een lijst van NIS-entiteiten vast. Ruim 30.000 organisaties leverden gegevens aan; ruim 20.000 daarvan staan op de lijst, waarvan ruim 5.000 essentiële entiteiten, aldus het ACN. In september 2026 werkte het ACN de lijst bij met ruim 2.000 late registraties.
Andere lidstaten hebben voor zover bekend nog geen registratiecijfers gepubliceerd.
Wat zeggen deze cijfers?
Ook in Duitsland, waar de registratie het verst is, ontbreekt nog ongeveer een derde van de organisaties. In Nederland had bij de start van de wet minder dan de helft zich geregistreerd. De registratie is de eerste wettelijke verplichting: zonder registratie weet de toezichthouder niet dat uw organisatie onder NIS2 valt, maar het niet registreren is zelf al een overtreding.
De Duitse sectorcijfers laten ook zien dat NIS2 niet alleen over IT gaat. De grootste groep is de maakindustrie, gevolgd door de zorg en de voedingsmiddelensector (1.986).
Wat leert België na twee jaar NIS2?
Ook in België, dat als voorloper geldt, is de onduidelijkheid niet verdwenen. Dat bleek bij een rondetafel van ITdaily over twee jaar NIS2. “Er is nog steeds onzekerheid bij bedrijven, die niet zeker zijn of ze nu onder de NIS2-regelgeving vallen of niet,” aldus Ulrich Seldeslachts (LSEC). Voor het mkb en gemeenten is het onderwerp volgens de deelnemers eerder onduidelijker geworden dan duidelijker.
Twee andere lessen uit België:
- Van papier naar bewijs. “Alle vakjes zijn aangevinkt, nu is het tijd voor bewijs,” zegt Ron Mukherjee (ESET). Op sommige plekken bestaat naleving alleen op papier.
- De keten telt mee. Een typische NIS2-organisatie heeft volgens Seldeslachts drie- tot vierduizend leveranciers. Leveranciers die niet kunnen aantonen dat hun beveiliging op orde is, kunnen volgens de deelnemers geen zaken meer doen met grote bedrijven.
Wat betekent dit voor uw organisatie?
- Controleer of u onder de Cyberbeveiligingswet valt en of u geregistreerd bent via mijn.ncsc.nl. Let ook op dochterondernemingen en vestigingen in andere EU-landen: die moeten zich daar mogelijk apart registreren. Twijfelt u, leg dan vast waarom u wel of niet onder de wet valt.
- Registratie is een begin, geen eindpunt. Daarna volgen de zorgplicht, de meldplicht en de training voor bestuurders.
- Leg vast wie verantwoordelijk is. Het bestuur is aansprakelijk voor de naleving.
Wilt u weten waar uw organisatie staat? Bekijk onze ondersteuning bij NIS2-compliancy.
