Wat is het NCSC?
Het NCSC (Nationaal Cyber Security Centrum) is de Nederlandse overheidsorganisatie die als nationaal CSIRT en centraal expertisecentrum digitale dreigingen signaleert, organisaties waarschuwt en adviseert, en de respons op grote cyberincidenten coördineert. Het NCSC valt onder het ministerie van Justitie en Veiligheid. Sinds 1 januari 2026 zijn het Digital Trust Center (DTC) en het CSIRT voor digitale dienstverleners (CSIRT-DSP) in het NCSC opgegaan, waardoor het centrum niet langer alleen de overheid en vitale sectoren bedient maar alle organisaties in Nederland. Voor beheerders van OT en industriële besturingssystemen is het NCSC vooral bekend als het loket waar u onder de Cyberbeveiligingswet incidenten meldt en beveiligingsadviezen vandaan haalt.
🕰️ Hoe is het NCSC ontstaan?
Het NCSC heeft een voorgeschiedenis die teruggaat tot 2002. De belangrijkste stappen:
| Jaar | Gebeurtenis |
|---|---|
| 2002 | Oprichting van CERT-RO, het CERT voor de rijksoverheid (5 juni) |
| 2003 | CERT-RO heet voortaan GOVCERT.NL (1 februari) |
| 2012 | Start van het NCSC op 1 januari; GOVCERT.NL gaat erin op, het centrum valt onder de NCTV |
| 2018 | De Wet beveiliging netwerk- en informatiesystemen (Wbni) maakt het NCSC wettelijk CSIRT voor vitale aanbieders en de rijksoverheid |
| 2019 | Het NCSC wordt per 1 januari een zelfstandige organisatie onder de secretaris-generaal van Justitie en Veiligheid, los van de NCTV |
| 2026 | DTC en CSIRT-DSP gaan per 1 januari op in het NCSC; op 15 augustus treedt de Cyberbeveiligingswet in werking |
Het NCSC is dus geen onderdeel van de AIVD. Het werkt wel nauw samen met de inlichtingendiensten, de politie en de NCTV, die de beleidskaders bepaalt. Volgens het eigen jaarplan 2026 werken er inmiddels meer dan 400 mensen.
🎯 Welke rollen vervult het NCSC?
Het NCSC beschrijft zijn werk in vier rollen, die elkaar versterken:
- Uitvoeringscoördinator - brengt publieke en private partijen samen, onder meer in het Cyberweerbaarheidsnetwerk, waarvan het bouwplan in september 2025 verscheen
- Kennis- en adviescentrum - vertaalt dreigingsinformatie naar praktische adviezen, factsheets en richtlijnen voor uiteenlopende doelgroepen
- Nationaal CSIRT - detecteert, analyseert en reageert 24/7 op aanvallen en kwetsbaarheden, en is het Nederlandse aanspreekpunt (SPOC) in het Europese CSIRT-netwerk
- Sectoraal CSIRT - is het directe aanspreekpunt voor sectoren zonder eigen CSIRT, zoals energie, drinkwater, vervoer en digitale infrastructuur, in zowel IT als OT
Het NCSC adviseert en coördineert, maar kan organisaties niets opleggen. Het is ook geen toezichthouder: het toezicht op de Cyberbeveiligingswet ligt per sector bij onder meer de RDI, de ILT en de IGJ.
🧱 Voor welke sectoren is het NCSC het CSIRT?
Onder de Cyberbeveiligingswet is het NCSC voor de meeste sectoren het wettelijke CSIRT. Daarnaast kent Nederland enkele sectorale teams, maar alleen CERT-WM is onder de wet formeel aangewezen:
| CSIRT | Achterban | Positie |
|---|---|---|
| NCSC | Energie, drinkwater, vervoer, digitale infrastructuur, chemie, levensmiddelen, vervaardiging, ministeries, provincies en meer | Standaard-CSIRT |
| CERT-WM | De 21 waterschappen | Wettelijk aangewezen sectoraal CSIRT |
| Z-CERT | Zorgsector | Aanwijzing voorgenomen; tot dan treedt het NCSC op |
| IBD-CERT | Gemeenten | Sectoraal team van de VNG; geen aanwijzing onder de Cbw, dus het NCSC blijft het wettelijke CSIRT |
| SURFcert | Onderwijs en onderzoek | Sectoraal team van SURF; geen aanwijzing onder de Cbw |
Een drinkwaterbedrijf meldt dus bij het NCSC, een waterschap via CERT-WM. In de praktijk loopt elke melding via hetzelfde meldportaal op MijnNCSC, dat haar doorzet naar het juiste CSIRT en de toezichthouder. Meer over de sector leest u in OT-security in de watersector.
🔧 Welke diensten levert het NCSC?
- Beveiligingsadviezen - over kwetsbaarheden (CVE’s) in IT- én OT-producten. Elk advies krijgt een inschaling op kans en schade, elk laag, middel of hoog; adviezen die op beide laag scoren worden niet verspreid. Sinds 15 mei 2024 publiceert het NCSC zijn adviezen ook in CSAF, zodat u ze automatisch kunt verwerken.
- Dreigingsinformatie - dreigingsinformatie en indicatoren voor aangesloten organisaties, informatiedeling binnen sectorale ISAC’s zoals de Water-ISAC, en het Nationaal Detectie Netwerk
- Incidentondersteuning - duiding, coördinatie en waar nodig respons bij grote incidenten, zoals rond ransomware of de misbruikte Citrix- en Ivanti-kwetsbaarheden
- Kwetsbaarheidsmeldingen - het NCSC publiceerde in 2018 de leidraad Coordinated Vulnerability Disclosure, een herziening van de leidraad responsible disclosure uit 2013
- Internationale richtlijnen - het NCSC is mede-auteur van gezamenlijke publicaties van CISA en partners, zoals de OT-richtlijn voor asset inventory (augustus 2025) en de principes voor AI in OT (december 2025)
- Kennisdeling - de jaarlijkse ONE Conference in het World Forum in Den Haag, die het NCSC samen met de gemeente Den Haag organiseert
Het jaarlijkse Cybersecuritybeeld Nederland (CSBN) werd in de beginjaren door het NCSC opgesteld; tegenwoordig stelt de NCTV het CSBN op, met bijdragen van onder meer de AIVD en de MIVD.
⚖️ Welke wettelijke taken heeft het NCSC?
De basis voor het werk van het NCSC ligt in meerdere wetten:
- Cyberbeveiligingswet (sinds 15 augustus 2026, invulling van NIS2) - het NCSC beheert het entiteitenregister op MijnNCSC, waar ruim 8.000 organisaties zich zelf moeten registreren, en ontvangt meldingen van significante incidenten. De termijnen staan in meldplicht onder de Cbw: binnen 24 uur een vroegtijdige waarschuwing, binnen 72 uur een incidentmelding en binnen een maand een eindrapport.
- Cyberbeveiligingsbesluit - wijst de minister van Justitie en Veiligheid aan als CSIRT; in de praktijk is dat het NCSC
- Wwke - de Wet weerbaarheid kritieke entiteiten, die de fysieke en organisatorische weerbaarheid van kritieke infrastructuur regelt
- Wet bevordering digitale weerbaarheid bedrijven (sinds 1 oktober 2024) - de grondslag om niet-vitale bedrijven te waarschuwen, een taak die met het DTC naar het NCSC kwam
- Cyber Resilience Act - sinds 11 september 2026 ontvangt het NCSC als CSIRT-coördinator de meldingen van fabrikanten over actief misbruikte kwetsbaarheden
🏭 Hoe werkt u als OT-organisatie met het NCSC samen?
Voor een fabriek, netbeheerder of drinkwaterbedrijf levert een goede relatie met het NCSC vooral tijdwinst op tijdens een incident. Een praktische aanpak:
- Bepaal uw positie - controleer met de reikwijdte van de Cbw of u essentiële of belangrijke entiteit bent, en welk CSIRT voor uw sector geldt
- Registreer op MijnNCSC - met eHerkenning (niveau EH2+) of SSOnRijk; geef wijzigingen binnen 14 dagen door
- Abonneer u op de adviezen - en koppel de CSAF-feed aan uw kwetsbaarheidsbeheer, naast de advisories van Siemens, Schneider Electric en andere OT-leveranciers
- Leg de meldroute vast - neem contactgegevens, melders, vervangers en de 24-uursklok op in uw incidentresponsplan
- Oefen samen - gebruik een tabletop-oefening om te testen of de melding binnen 24 uur de deur uit kan, ook ‘s nachts
- Deel informatie - sluit aan bij het ISAC van uw sector, zodat u dreigingsinformatie ontvangt en zelf indicatoren kunt delen
Voor waterbeheerders sluit dit aan op de CSIR, de implementatierichtlijn die Rijkswaterstaat en Het Waterschapshuis beheren; het NCSC is daar geen eigenaar van.
🔄 Wat is het verschil tussen het NCSC en vergelijkbare organisaties?
| Organisatie | Land | Rol |
|---|---|---|
| NCSC (NL) | Nederland | Nationaal CSIRT en expertisecentrum onder Justitie en Veiligheid |
| NCSC-UK | Verenigd Koninkrijk | Onderdeel van inlichtingendienst GCHQ |
| BSI | Duitsland | Federaal bureau met eigen certificerings- en normtaken |
| CISA | Verenigde Staten | Agentschap met onder meer de KEV-catalogus en ICS-advisories |
| ENISA | Europese Unie | EU-agentschap voor cybersecurity; beheert het Single Reporting Platform van de CRA |
Let op de naamgelijkenis: een bericht over “het NCSC” kan ook over de Britse NCSC gaan. Het Nederlandse centrum gebruikt internationaal vaak de aanduiding NCSC-NL.
❓ Veelgestelde vragen
Is het NCSC een toezichthouder?
Nee, het NCSC is geen toezichthouder maar het nationale CSIRT: het ontvangt meldingen, waarschuwt en adviseert. Het toezicht op de Cyberbeveiligingswet ligt per sector bij andere partijen, zoals de RDI, de ILT en de IGJ. Een melding bij het NCSC is daardoor in de eerste plaats een hulpvraag, geen inspectie.
Moet ik een cyberincident bij het NCSC melden?
Valt uw organisatie onder de Cyberbeveiligingswet, dan meldt u een significant incident via MijnNCSC, binnen 24 uur nadat u ervan kennis kreeg. Het NCSC zet de melding door naar het juiste CSIRT en de toezichthouder van uw sector. Organisaties buiten de wet kunnen het NCSC vrijwillig informeren en hulp vragen.
Wat is het verschil tussen het NCSC en het DTC?
Het Digital Trust Center was het informatiepunt van het ministerie van Economische Zaken voor niet-vitale bedrijven. Sinds 1 januari 2026 is het DTC, samen met het CSIRT-DSP, opgegaan in het NCSC. Het NCSC is daarmee het ene nationale cybersecuritycentrum voor alle organisaties in Nederland.
Is het NCSC onderdeel van de AIVD?
Nee, het NCSC is geen onderdeel van de AIVD. Het viel van 2012 tot en met 2018 onder de NCTV en is sinds 1 januari 2019 een zelfstandige organisatie binnen het ministerie van Justitie en Veiligheid. Het NCSC werkt wel samen met de AIVD, de MIVD en de politie.
Publiceert het NCSC adviezen over OT-kwetsbaarheden?
Ja, het NCSC publiceert beveiligingsadviezen over zowel IT- als OT-producten, ingeschaald op kans en schade. De adviezen zijn sinds mei 2024 ook als machineleesbare CSAF-bestanden beschikbaar. Voor sectoren zoals energie en drinkwater deelt het NCSC bovendien sectorspecifieke dreigingsinformatie over industriële besturingssystemen.
Wat is het verschil tussen het NCSC en CERT-WM?
Het NCSC is het CSIRT voor de meeste sectoren onder de Cyberbeveiligingswet, waaronder Rijkswaterstaat en de drinkwaterbedrijven. CERT-WM is het wettelijk aangewezen sectorale CSIRT voor de 21 waterschappen. Beide teams wisselen dreigingsinformatie uit en stemmen af bij grote incidenten.
📌 Samengevat
Het NCSC is het nationale CSIRT en expertisecentrum voor cybersecurity in Nederland, dat sinds 2026 alle organisaties bedient en onder de Cyberbeveiligingswet meldingen ontvangt en het entiteitenregister beheert. Voor OT-organisaties is het NCSC de bron van ingeschaalde beveiligingsadviezen en dreigingsinformatie, en het loket waar u binnen 24 uur een significant incident meldt; de beveiliging zelf blijft uw eigen verantwoordelijkheid.