Cyberbeveiligingswet
De Cyberbeveiligingswet geldt sinds 15 augustus. Val jij eronder?
Het bestuur is verantwoordelijk. Wij bepalen of je in scope valt, wat je moet regelen en wat je antwoordt als je opdrachtgever ernaar vraagt.
Laatst gecontroleerd: 28 oktober 2026
035 2050 580Wat is de Cyberbeveiligingswet?
De Cyberbeveiligingswet is de Nederlandse uitwerking van de Europese NIS2 richtlijn en geldt sinds 15 augustus 2026. De wet verplicht organisaties in bepaalde sectoren en van een bepaalde omvang om zich te registreren, passende beveiligingsmaatregelen te nemen en ernstige incidenten te melden.
Het bestuur moet de maatregelen goedkeuren, toezicht houden en zelf voldoende kennis hebben, onder meer via opleiding. De wet maakt onderscheid tussen essentiële en belangrijke entiteiten. Voor de eerste groep gelden hogere boetes, tot 10 miljoen euro of 2 procent van de wereldwijde omzet, voor de tweede tot 7 miljoen euro of 1,4 procent.
Of jouw bedrijf eronder valt, hangt af van je sector en omvang.
Herken je dit?
Je grootste klant stuurt een brief: “Per 15 augustus 2026 vallen wij onder de Cyberbeveiligingswet. Wij verzoeken u binnen 30 dagen aan te tonen dat u voldoet aan onderstaande eisen.” Er volgen vijftien bijlagen.
Je weet niet of je zelf onder de wet valt. Je beoordeelt jezelf als “geen vitale sector” en dus niet verplicht, maar je levert software, logistiek of installaties aan iemand die dat wel is.
Je IT beheerder zegt dat jullie een firewall hebben en dagelijks backups. Of dat voldoet aan “passende en evenredige maatregelen” weet niemand.
Er is ingebroken op een mailaccount. Je weet niet hoe lang het al gaande was, niet wat er is meegenomen en niet of je dit moet melden.
Je verzekeraar vraagt een bewijs van beveiliging. Je hebt dat niet.
Voor jou als ondernemer betekent dit: de wet raakt je op drie manieren. Direct, als je er zelf onder valt. Indirect, via je klanten die eisen aan hun leveranciers stellen. En persoonlijk, omdat bestuurders aanspreekbaar zijn.
Val je eronder?
De wet geldt voor organisaties in sectoren die als essentieel of belangrijk worden gezien. Denk aan energie, vervoer, bankwezen, gezondheidszorg, drinkwater, digitale infrastructuur, ICT dienstverlening, post, afvalbeheer, productie van bepaalde goederen, levensmiddelen en digitale aanbieders.
Binnen die sectoren gaat het in grote lijnen om middelgrote en grote organisaties, dat wil zeggen ongeveer vanaf vijftig medewerkers of een omzet vanaf tien miljoen euro, al kunnen er uitzonderingen zijn voor kleinere bedrijven die cruciaal zijn. De precieze indeling is technisch.
Daarom doen we eerst een scopecheck, in plaats van te gokken.
Valt je bedrijf er niet onder, dan ben je er nog niet van af. Je klanten die er wel onder vallen, moeten de beveiliging van hun toeleveranciers beoordelen en leggen eisen bij je neer. In de praktijk krijgen veel mkb bedrijven dus toch met de wet te maken.
Wat moet je regelen?
Registratie.
Organisaties die onder de wet vallen, moeten zich registreren bij de toezichthouder. We bereiden dat voor en zorgen dat de gegevens kloppen.
Zorgplicht.
Je moet passende maatregelen nemen om risico’s te beheersen: risicoanalyse, toegangsbeheer, backups, versleuteling, beheer van kwetsbaarheden, beveiliging van leveranciers, en een plan voor als er iets misgaat. Het gaat niet om de zwaarst mogelijke beveiliging, maar om maatregelen die passen bij je risico’s.
Meldplicht.
Bij een ernstig incident geldt een strakke tijdlijn: een eerste waarschuwing binnen 24 uur, een nadere melding binnen 72 uur en een eindrapport binnen een maand. Zonder voorbereide procedure haal je dat niet.
Verantwoordelijkheid van het bestuur.
Het bestuur keurt de maatregelen goed, houdt toezicht op de uitvoering en volgt opleiding. Dat leg je vast, want bij een controle of incident is dat het eerste dat men vraagt.
Leveranciers.
Je moet ook je eigen leveranciers beoordelen en afspraken met ze maken, bijvoorbeeld over meldingen van incidenten.
Voor jou als ondernemer betekent dit: je hoeft geen IT specialist te worden. Je moet kunnen laten zien dat je de risico’s kent, dat je er maatregelen tegenover hebt gezet en dat de volgorde van handelen bij een incident vastligt.
Wat gebeurt er als je niets doet?
De toezichthouder kan aanwijzingen geven, audits uitvoeren en boetes opleggen. Bij ernstige of herhaalde tekortkomingen kunnen bestuurders tijdelijk worden uitgesloten van bestuursfuncties of persoonlijk worden aangesproken. Daarnaast kunnen klanten je als leverancier afwijzen, en kan een verzekeraar de dekking beperken als blijkt dat je de wettelijke verplichtingen niet naleefde.
Het meest voorkomende gevolg is niet een boete, maar een opdrachtgever die zegt dat hij door wil met een andere leverancier.
Wat wij voor je doen
We beginnen met de scopecheck: val je onder de wet en in welke categorie? Dan maken we een plan met een volgorde: wat is nu verplicht, wat kan wachten. We stellen het beleid en de procedures op die het bestuur moet kunnen laten zien, inclusief de meldprocedure voor incidenten.
We controleren je contracten met IT leveranciers en met klanten die eisen doorleggen. En we bereiden je bestuur voor op vragen van toezichthouders, klanten en verzekeraars. De technische kant doen we samen met jouw IT partner. Wij zijn juristen en geen beveiligingsspecialisten, en zeggen dat ook.
Onze aanpak
Zo werkt het
- 01
Ketencheck.
Tien vragen over je bedrijf en je klanten. Direct antwoord.
- 02
Plan.
We zeggen wat je moet regelen, met een volgorde en een planning.
- 03
Borgen.
We stellen beleid en procedures op en regelen het bewijs.
Vooraf weet je wat het kost
De Ketencheck is gratis. De scopecheck en het beleidspakket hebben een vast bedrag. Bij omvangrijke trajecten, zoals de voorbereiding op een audit, krijg je een begroting met een maximum.
Veelgestelde vragen
Organisaties in de sectoren die de wet noemt en die een bepaalde omvang hebben. Je moet zelf nagaan of je erin valt. Daarom doen we de scopecheck.
De toezichthouder kan aanwijzingen geven en boetes opleggen. Bestuurders kunnen persoonlijk worden aangesproken. Daarnaast kunnen klanten en verzekeraars je afwijzen.
Ja. Een incident kan onder beide regimes vallen, met elk eigen termijnen en elk een eigen toezichthouder. Daarom is een gezamenlijke procedure praktisch.
Beleid, maatregelen, opleidingen en controles. Wij helpen je dat overzichtelijk te maken, zodat je de vragenlijst van je klant kunt beantwoorden zonder elke keer opnieuw te beginnen.
Je IT partner regelt de techniek. De verantwoordelijkheid ligt bij het bestuur. Wij zorgen dat de beslissingen en het bewijs op papier staan.
Meestal alleen in de gevallen die de wet noemt, maar de eisen van je klanten kunnen je toch raken.
Je hoeft niet alles vandaag te regelen. Je moet wel weten wat er van je wordt verwacht.
Onderneem vrij. Wij bewaken de rest.