Registreren bij het NCSC: zo werkt het, en wat je daarna doetRegistering with the NCSC: how it works, and what to do next

Moet jij je registreren?Do you have to register?

De wet geldt voor essentiële en belangrijke entiteiten in achttien sectoren, van energie, zorg en vervoer tot digitale diensten en overheid. Binnen die sectoren telt de omvang: vijftig medewerkers of meer, of een jaaromzet én een balanstotaal boven de tien miljoen euro. Moeder- en dochterbedrijven tel je mee. Een paar groepen vallen er altijd onder, ongeacht omvang: overheidsorganisaties, DNS-dienstverleners, aanbieders van openbare telecomnetwerken, vertrouwensdiensten en registers voor topleveldomeinen. Ben je aangewezen als kritieke entiteit onder de Wet weerbaarheid kritieke entiteiten, dan val je automatisch ook onder de Cyberbeveiligingswet.

The law applies to essential and important entities in eighteen sectors, from energy, healthcare and transport to digital services and government. Within those sectors, size counts: fifty or more employees, or an annual turnover and a balance sheet total both above ten million euros. Parent and subsidiary companies count towards that. A few groups are always covered, regardless of size: public bodies, DNS service providers, providers of public telecom networks, trust services and top-level domain registries. If you have been designated as a critical entity under the Wet weerbaarheid kritieke entiteiten, you automatically fall under the Cyberbeveiligingswet as well.

Twijfel je, doe dan de zelfevaluatie van de RDI op regelhulpenvoorbedrijven.nl. Een veelgemaakte fout: de sector kiezen van je klanten in plaats van die van je eigen activiteit. Een softwarebedrijf dat voor ziekenhuizen werkt, zit niet in de sector zorg.

If in doubt, use the RDI self-assessment at regelhulpenvoorbedrijven.nl. A common mistake: choosing the sector of your clients instead of your own activity. A software company that works for hospitals is not in the healthcare sector.

Wat je nodig hebt voordat je begintWhat you need before you start

Registreren doe je op MijnNCSC. Je logt in met eHerkenning op niveau EH2+, gekoppeld aan het KVK-nummer van de organisatie die zich registreert, en je hebt een machtiging nodig van degene die eHerkenning binnen je organisatie beheert. Heeft je organisatie nog geen eHerkenning, dan kost aanvragen enkele dagen. Begin daar dus mee. Rijksorganisaties loggen in met SSOnRijk; dat moet vooraf eenmalig worden geregeld via het departement.

You register on MijnNCSC. You log in with eHerkenning at level EH2+, linked to the Chamber of Commerce (KVK) number of the organisation that is registering, and you need an authorisation from whoever manages eHerkenning within your organisation. If your organisation does not have eHerkenning yet, applying takes a few days. So start there. Central government bodies log in with SSOnRijk; that has to be arranged once in advance through the ministry.

Het NCSC adviseert de registratie te laten doen door iemand met beslissingsbevoegdheid en kennis van cybersecurity, bijvoorbeeld de CISO. Verzamel vooraf wat het formulier vraagt, want die gegevens liggen meestal bij verschillende collega's:

The NCSC advises having the registration done by someone with decision-making authority and knowledge of cybersecurity, such as the CISO. Collect in advance what the form asks for, because that information usually sits with different colleagues:

• je publieke IP-adressen of IP-reeksen, domeinnamen en, als je die hebt, AS-nummers;
• your public IP addresses or IP ranges, domain names and, if you have them, AS numbers;
• in welke EU-lidstaten je diensten levert en waar je hoofdvestiging zit;
• in which EU member states you provide services and where your main establishment is;
• of je essentieel of belangrijk bent;
• whether you are an essential or an important entity;
• de samenwerkingsverbanden waaraan je deelneemt, zoals een ISAC;
• the information-sharing arrangements you take part in, such as an ISAC;
• de contactpersoon die bij incidenten bereikbaar moet zijn: naam, functie, telefoon en e-mail.
• the contact person who must be reachable during incidents: name, role, phone and email.

De registratie zelf: vijf stappenThe registration itself: five steps

De organisatiegegevens haalt MijnNCSC zelf op uit het Handelsregister of, voor overheden, het Register van Overheidsorganisaties. Klopt daar iets niet, dan corrigeer je dat in de bron, niet in het portaal. Daarna volgen de Cbw-gegevens: hoofd- en subsector staan vooringevuld op basis van je SBI-codes, en je kiest het soort dienstverlening, de lidstaten en het type entiteit. Dan de contactpersoon, dan de netwerkgegevens, en tot slot een samenvatting waarin je verklaart dat alles naar waarheid is ingevuld. Met de gegevens bij de hand duurt dit ongeveer tien minuten.

MijnNCSC retrieves the organisation details itself from the Trade Register or, for public bodies, the Register of Government Organisations. If something is wrong there, you correct it at the source, not in the portal. Then come the Cbw details: main sector and subsector are pre-filled from your SBI codes, and you choose the type of service, the member states and the type of entity. Then the contact person, then the network details, and finally a summary in which you declare that everything has been filled in truthfully. With the details at hand, this takes about ten minutes.

Lever je diensten in meer EU-landen, dan registreer je je in principe in elk land afzonderlijk. Voor digitale aanbieders zoals cloud, datacenters, managed services en DNS geldt een uitzondering: zij registreren zich in het land van hun hoofdvestiging. De NCTV heeft hiervoor een handreiking complexe bedrijfsmodellen.

If you provide services in several EU countries, you generally register in each country separately. Digital providers such as cloud, data centres, managed services and DNS are the exception: they register in the country of their main establishment. The NCTV has published guidance on complex business models for this.

Wat registratie oplevert, en wat het van je vraagtWhat registration gives you, and what it asks of you

Met de registratie sluit je aan op de dienstverlening van het NCSC of het CSIRT van je sector: beveiligingsadviezen bij actuele kwetsbaarheden, een gerichte waarschuwing als je doelwit of slachtoffer bent, en bijstand bij incidenten, dag en nacht via MijnNCSC. Incidenten meld je via hetzelfde portaal, dat de melding doorzet naar de toezichthouder.

Registration connects you to the services of the NCSC or your sector's CSIRT: security advisories on current vulnerabilities, a targeted warning if you are a target or a victim, and assistance during incidents, day and night via MijnNCSC. You report incidents through the same portal, which forwards the report to the supervisory authority.

Daar staat een doorlopende verplichting tegenover: wijzigingen geef je binnen twee weken door. Een nieuwe contactpersoon, een fusie, een andere IP-reeks, een extra domeinnaam. Dat vraagt een vaste plek in je processen, bijvoorbeeld bij wijzigingsbeheer. Je gegevens blijven niet bij het NCSC alleen: de toezichthouders kunnen erover beschikken, en voor de digitale sectoren gaan ze ook naar ENISA, het Europese agentschap. Niet of onjuist registreren kan worden gehandhaafd.

In return there is an ongoing obligation: you report changes within two weeks. A new contact person, a merger, a different IP range, an additional domain name. That needs a fixed place in your processes, for instance in change management. Your details do not stay with the NCSC alone: the supervisory authorities can access them, and for the digital sectors they also go to ENISA, the European agency. Failing to register, or registering incorrectly, can be enforced.

En dan begint het echte werkAnd then the real work begins

De registratie is een administratieve stap. Hij zegt niets over de vraag waar de toezichthouder straks naar kijkt: of je maatregelen passen bij je risico's, en of het bestuur daar aantoonbaar over heeft besloten. Wat je dit kwartaal regelt, van risicobeoordeling tot het testen van de meldroute, staat in ons eerdere artikel over de Cyberbeveiligingswet. Wil je weten waar je staat? Een kennismaking van dertig minuten levert drie concrete observaties op.

Registration is an administrative step. It says nothing about what the supervisory authority will eventually look at: whether your measures fit your risks, and whether the board has demonstrably decided on them. What to arrange this quarter, from risk assessment to testing the notification route, is in our earlier article on the Cyberbeveiligingswet. Want to know where you stand? A thirty-minute introduction gives you three concrete observations.