NIS2 en de Cyberbeveiligingswet: welk personeel moet je screenen?

Kort antwoord: de Cyberbeveiligingswet (Cbw) bevat geen uitdrukkelijke plicht om medewerkers te screenen. De wet verplicht essentiële en belangrijke entiteiten om "passende en evenredige technische, operationele en organisatorische maatregelen" te nemen. Een van de maatregelen die de wet noemt is: "beveiligingsaspecten ten aanzien van personeel, toegangsbeleid en beheer van assets" (artikel 21, derde lid, onderdeel i, Cbw). Dat komt uit artikel 21, tweede lid, onderdeel i, van de NIS2-richtlijn (Richtlijn (EU) 2022/2555).

De wet zegt niet welke controles dat zijn en definieert het begrip niet verder. Medewerkers screenen is een gebruikelijke manier om deze maatregel in te vullen, en je eigen risicoanalyse bepaalt voor welke functies dat evenredig is. Dat is een keuze die je maakt en vastlegt, geen regel uit de wettekst.

Evenredig betekent volgens de wet dat je rekening houdt met de mate waarin je aan risico's bent blootgesteld, de omvang van de entiteit, en de kans op en de ernst van incidenten, inclusief de maatschappelijke en economische gevolgen (artikel 21, tweede lid, Cbw).

De Cbw is de Nederlandse uitwerking van NIS2 en geldt voor essentiële en belangrijke entiteiten in de sectoren uit de bijlagen van de richtlijn, zoals energie, transport, bankwezen, gezondheidszorg, digitale infrastructuur, beheerde IT-diensten, maakindustrie en voeding.

• Wet en besluit: de Cyberbeveiligingswet (Stb. 2026, 187) en het Cyberbeveiligingsbesluit (Stb. 2026, 189) zijn op 15 augustus 2026 in werking getreden.
• Ook Duitsland: werk je ook met een Duitse vestiging, dan geldt daar het BSI-Gesetz (BSIG) in de versie van de NIS2UmsuCG, in werking sinds 6 december 2025. Zie ons overzicht NIS2 und Mitarbeiterüberprüfung.

Of jouw organisatie onder de wet valt, hangt af van je sector, omvang en diensten. Controleer dat bij de bevoegde toezichthouder of een jurist. Deze pagina beslist dat niet voor je.

Omdat de wet de keuze bij jou laat, is de nuttige vraag: waar kan een oneerlijke of onbetrouwbare medewerker de meeste schade aanrichten aan je netwerk- en informatiesystemen? Organisaties die onder de wet vallen kijken meestal eerst naar deze groepen:

• Medewerkers met bevoorrechte of beheerdersrechten op netwerken, cloudomgevingen, identiteitssystemen en back-ups.
• Ontwikkelaars en engineers met toegang tot broncode, build-pipelines, geheimen en productiesystemen.
• Security-, IT-beheer- en SOC-medewerkers, ook degenen die monitoring kunnen uitzetten.
• Finance-, HR- en salarisadministrateurs met toegang tot betalingen of grote hoeveelheden persoonsgegevens.
• Bestuurders en managers die beveiligingsmaatregelen goedkeuren en daarvoor verantwoordelijk zijn.
• Ingehuurd personeel en leveranciers met vergelijkbare toegang. De beveiliging van de toeleveringsketen is een aparte maatregel (artikel 21, derde lid, onderdeel d, Cbw). Hoe je het personeel van leveranciers afdekt, hoort daarom in je leveranciersrisicoanalyse en je contracten.

Medewerkers zonder toegang tot gevoelige systemen of gegevens hebben meestal genoeg aan de standaardcontrole op identiteit en recht op arbeid.

Kies checks op basis van de functie en de toegang, niet op basis van de wet. De tabel is een startpunt voor je eigen risicoanalyse, geen wettelijke eis.

Screening is geen eenmalige actie. Komt iemand in een functie met meer toegang, screen dan opnieuw voor die functie: zie in-employment screening.

NIS2 gaat niet boven de privacywetgeving. Wat je ook screent, de AVG blijft gelden: je hebt een geldige grondslag nodig, je verwerkt alleen wat nodig is voor de functie en de persoon moet vooraf weten wat je doet. Meer in ons AVG-overzicht.

• Strafrechtelijke gegevens. Artikel 10 AVG staat verwerking van strafrechtelijke gegevens alleen toe onder toezicht van de overheid of als nationaal recht dat toestaat. Je zoekt dus niet zelf in registers: de kandidaat vraagt een Verklaring omtrent het gedrag (VOG) aan bij Justis, beoordeeld tegen een screeningsprofiel dat bij de functie past.
• Bijzondere persoonsgegevens. Gezondheid, religie, politieke opvattingen en vergelijkbare gegevens spelen geen rol bij beveiligingsscreening.
• Ondernemingsraad. Heb je er een, dan is bij een screeningsbeleid meestal instemming of betrokkenheid nodig.
• Bewaartermijn. Bewaar alleen wat je nodig hebt en niet langer dan nodig.

Deze pagina is algemene informatie en geen juridisch advies.

Omdat de wet evenredige maatregelen vraagt, laat je een toezichthouder het best je redenering zien:

1. Maak een lijst van de functies met toegang tot kritieke systemen en gegevens.
2. Bepaal per functie welke checks je uitvoert en waarom die evenredig zijn.
3. Vertel kandidaten en medewerkers wat je controleert, wie dat doet en hoe lang je de resultaten bewaart.
4. Leg de uitkomst vast en bewaar alleen wat nodig is.
5. Herzie de lijst als functies, systemen of leveranciers veranderen.

Pescheck voert deze checks digitaal uit, in Nederland en in het buitenland, en houdt per persoon en functie één dossier bij.