Cyberbeveiligingswet en het MKB: wat je nu moet doen

Vanaf 15 augustus 2026 geldt in Nederland de Cyberbeveiligingswet, de Nederlandse uitwerking van de Europese NIS2-richtlijn. Ruim 8.000 organisaties in achttien sectoren vallen er rechtstreeks onder. Het gros van het MKB zit daar niet bij. Toch is dit geen wet om te laten liggen, want de organisaties die er wel onder vallen krijgen een zorgplicht die ook over hun leveranciers gaat. Lever je aan een ziekenhuis, een netbeheerder, een drinkwaterbedrijf, een grote vervoerder of een overheidsorganisatie, dan komt die plicht via het contract bij jou terecht.

Dat is voor de meeste ondernemers het praktische punt van deze wet: niet de boete, maar de vragenlijst van je klant.

Valt jouw bedrijf onder de Cyberbeveiligingswet?

Twee dingen bepalen dat: je sector en je omvang. De wet werkt met achttien aangewezen sectoren, waaronder energie, drinkwater, digitale infrastructuur, gezondheidszorg, vervoer, afvalwater, post en overheid. Val je daarbuiten, dan val je in principe niet onder de wet. Zit je er wel in, dan ligt de grens bij meer dan 50 medewerkers of meer dan 10 miljoen euro omzet. Kleinere organisaties kunnen alsnog worden aangewezen als ze een kritieke rol vervullen in hun sector.

De wet kent twee categorieën: essentiële entiteiten en belangrijke entiteiten. Het verschil zit vooral in het toezicht. Bij essentiële entiteiten mag de toezichthouder ook zonder aanleiding controleren, bij belangrijke entiteiten gebeurt dat vooral na een melding of een signaal. De maximale boetes lopen op tot 10 miljoen euro of 2 procent van de wereldwijde jaaromzet voor essentiële entiteiten, en 7 miljoen euro of 1,4 procent voor belangrijke entiteiten. Dat zijn maxima voor de zwaarste gevallen, geen standaardtarief.

Weet je het niet zeker, doe dan de NIS2-zelfevaluatie op regelhulpenvoorbedrijven.nl. Dat kost een kwartier en levert een duidelijker antwoord op dan een discussie in de directiekamer.

Wat de wet vraagt van organisaties die er wel onder vallen

Drie dingen, kort samengevat.

Registreren. Organisaties moeten zich melden in het entiteitenregister via Mijn NCSC. Daarvoor heb je eHerkenning op minimaal niveau 3 nodig. Je levert onder meer je naam en adres, je sector, in welke EU-landen je diensten levert, actuele contactgegevens en waar van toepassing je IP-ranges. Wijzigingen geef je binnen twee weken door. Vraag die eHerkenning op tijd aan, want dat is niet iets van dezelfde dag.

Zorgplicht. Je doet een risicoanalyse en neemt op basis daarvan passende maatregelen. De wet schrijft geen merken of producten voor. Denk aan toegangsbeheer, incidentafhandeling, back-up en herstel, beveiliging van de toeleveringsketen en het trainen van personeel. Bestuurders moeten zelf voldoende kennis hebben en training volgen. Dat is dus geen taak die je volledig bij IT parkeert.

Meldplicht. Significante incidenten meld je bij het CSIRT en je toezichthouder, in drie stappen:

Die 24 uur is korter dan het lijkt. Als een ransomware-aanval op zaterdagnacht begint, moet er zondagochtend iemand zijn die weet wie er meldt en waar. Precies het soort ding dat je op papier zet voordat je het nodig hebt.

Je valt er niet onder en krijgt toch de vragenlijst

Ketenbeveiliging is onderdeel van de zorgplicht. Je klant moet dus kunnen aantonen dat hij weet welk risico jij meebrengt. In de praktijk vertaalt zich dat naar vragen als: welke certificeringen heb je en wat is de scope, waar staan onze gegevens en wie kan erbij, welke onderaannemers zet je in, hoe snel meld jij een incident bij ons, en wie is bij jou bereikbaar buiten kantooruren.

Die laatste twee zijn de belangrijkste. Je klant heeft zelf 24 uur. Als jij pas na drie dagen meldt dat er bij jou iets is misgegaan, haalt hij zijn eigen termijn niet. Verwacht dus dat er contractueel een meldtermijn naar jou wordt doorgeschoven, vaak 24 of 48 uur. Lees dat in nieuwe contracten en verlengingen goed na voordat je tekent.

Wat je deze maand kunt regelen

Hier hoef je geen project van te maken. Dit is de volgorde die bij onze klanten werkt:

1. Loop je klantenlijst langs. Welke klanten zitten in een aangewezen sector en zijn groot genoeg? Dat is de groep waar de vragen vandaan gaan komen.
2. Zet de basis vast: MFA op alles, geen lokale beheerdersrechten voor gewone gebruikers, patchen binnen een afgesproken termijn, en een back-up waarvan je dit kwartaal een restore hebt getest. Een back-up die je nooit hebt teruggezet is een aanname, geen maatregel.
3. Schrijf een incidentprocedure van één A4. Wie belt wie, welk nummer geldt buiten kantooruren, binnen hoeveel uur informeer je klanten, en wie mag besluiten systemen offline te halen.
4. Leg vast waar klantgegevens staan, in welk land, en welke leveranciers jij zelf inschakelt. Dat lijstje krijg je gegarandeerd gevraagd.
5. Maak één antwoorddocument met die informatie. Dan kost de vijfde vragenlijst je een half uur in plaats van een halve dag.

Een certificering zoals ISO 27001 is niet verplicht en lost dit niet vanzelf op. Het helpt bij grotere klanten, maar het is een traject van maanden. Begin bij de maatregelen, niet bij het papier.

Wat er in de praktijk misgaat

Wat we het vaakst tegenkomen: bedrijven die aannemen dat hun IT-leverancier dit allang geregeld heeft. Vraag het na, en vraag het op papier. De tweede: het lijstje met leveranciers klopt niet, omdat er in de loop der jaren tools zijn bijgekomen die niemand meer bijhoudt. De derde: er is wel beleid, maar niemand kent het. Beleid dat alleen in een map staat houdt geen enkele audit tegen, en helpt je op een zondagnacht al helemaal niet.

Zit je zelf in een aangewezen sector, begin dan met de registratie en de risicoanalyse, want die eHerkenning en die eerste risicoanalyse kosten meer doorlooptijd dan je denkt. Zit je erbuiten, richt je dan op de vijf stappen hierboven. Die maken je weerbaarder en tegelijk makkelijker om zaken mee te doen. Wil je dat we meekijken wat er in jouw omgeving nog ontbreekt, kijk dan bij security en compliance of neem contact op. Bellen mag ook: 010 89 008 89.