Sinds 15 augustus 2026 is de Cyberbeveiligingswet van kracht. Daarmee is de Europese NIS2-richtlijn officieel in Nederlandse wetgeving omgezet. Voor ruim 8.000 organisaties gelden hierdoor nieuwe verplichtingen op het gebied van cybersecurity, risicobeheersing en het melden van ernstige cyberincidenten.
Maar wanneer valt uw organisatie eigenlijk onder deze wet? En ook als dat niet het geval is: kunt u er via klanten of leveranciers toch mee te maken krijgen?
Cybersecurity is niet langer alleen een IT-vraagstuk
Een cyberincident kan tegenwoordig een groot deel van een organisatie stilleggen. Denk aan medewerkers die niet meer bij systemen kunnen, facturen die niet kunnen worden verzonden, betalingen die stagneren of gegevens die tijdelijk niet beschikbaar zijn.
De Cyberbeveiligingswet kijkt daarom breder dan alleen naar technische IT-beveiliging. Organisaties die onder de wet vallen, moeten aantoonbaar nadenken over risico's, continuïteit, incidenten, leveranciers en de beveiliging van hun netwerk- en informatiesystemen.
Daarbij ligt de verantwoordelijkheid nadrukkelijk ook bij het bestuur van de organisatie. Cybersecurity kan dus niet simpelweg volledig bij de IT-afdeling of een externe IT-leverancier worden neergelegd. Het bestuur moet maatregelen goedkeuren, toezicht houden op de uitvoering daarvan en voldoende kennis hebben om cyberrisico's te kunnen beoordelen.
Geldt de Cyberbeveiligingswet voor uw organisatie?
Of uw organisatie rechtstreeks onder de Cyberbeveiligingswet valt, wordt in belangrijke mate bepaald door de sector waarin u actief bent en de omvang van uw organisatie.
De wet heeft betrekking op organisaties in achttien sectoren. Hieronder vallen onder andere energie, vervoer, gezondheidszorg, bankwezen, digitale infrastructuur, ICT-dienstverlening, overheid, post- en koeriersdiensten, afvalverwerking, levensmiddelen, chemie, onderzoek en bepaalde productiebedrijven.
Vervolgens wordt gekeken naar de omvang van de organisatie. In hoofdlijnen kan de wet van toepassing zijn wanneer een organisatie 50 of meer medewerkers in fte heeft. Heeft een organisatie minder dan 50 medewerkers, dan kan zij eveneens onder de wet vallen wanneer zowel de jaaromzet als het balanstotaal hoger is dan € 10 miljoen.
Bij het bepalen van de omvang kunnen ook verbonden ondernemingen en partnerondernemingen moeten worden meegenomen. Daarnaast gelden voor bepaalde categorieën organisaties afwijkende regels en kan een organisatie specifiek worden aangewezen.
De overheid heeft hiervoor een NIS2-zelfevaluatie beschikbaar gesteld. Daarmee kan relatief snel een eerste beoordeling worden gemaakt of een organisatie als belangrijke of essentiële entiteit onder de Cyberbeveiligingswet valt.
Wat moet u regelen als de wet van toepassing is?
Organisaties die onder de Cyberbeveiligingswet vallen, krijgen onder andere te maken met de volgende verplichtingen:
- Registratieplicht: de organisatie moet worden geregistreerd in het nationale entiteitenregister via MijnNCSC.
- Zorgplicht: cyberrisico's moeten in kaart worden gebracht en er moeten passende technische én organisatorische maatregelen worden genomen.
- Meldplicht: significante cyberincidenten moeten snel worden gemeld. De eerste waarschuwing moet in beginsel binnen 24 uur plaatsvinden, gevolgd door een nadere melding binnen 72 uur.
- Leveranciersrisico's: ook afhankelijkheden en cybersecurityrisico's binnen de toeleveringsketen moeten worden beoordeeld.
- Bestuurlijke verantwoordelijkheid: bestuurders moeten betrokken zijn bij cybersecurity, maatregelen goedkeuren en beschikken over voldoende kennis van cyberrisico's.
- Aantoonbaarheid: beleid, risicoanalyses, procedures en getroffen maatregelen moeten niet alleen bestaan, maar ook aantoonbaar worden uitgevoerd en onderhouden.
Ook relevant als u niet rechtstreeks onder NIS2 valt
Een belangrijk punt wordt gemakkelijk over het hoofd gezien. Uw organisatie kan buiten de formele reikwijdte van de Cyberbeveiligingswet vallen en er toch indirect mee te maken krijgen.
Organisaties die wél onder de wet vallen, moeten namelijk ook de cyberrisico's binnen hun toeleveringsketen beoordelen. Zij zullen daardoor steeds kritischer kijken naar leveranciers en zakelijke partners die toegang hebben tot gegevens, systemen of belangrijke bedrijfsprocessen.
Een grotere klant kan daarom vragen welke beveiligingsmaatregelen uw organisatie heeft getroffen, hoe toegang tot systemen is geregeld, wat er gebeurt bij een cyberincident en welke afspraken met software- en IT-leveranciers zijn gemaakt.
Voor veel MKB-bedrijven wordt cybersecurity hierdoor niet alleen een beveiligingsvraagstuk, maar ook steeds meer een commerciële voorwaarde om zaken te kunnen blijven doen met grotere organisaties.
Kijk verder dan alleen uw IT-omgeving
Voor ondernemers en bestuurders is dit een goed moment om de digitale afhankelijkheden binnen de organisatie opnieuw te bekijken.
Welke processen vallen stil wanneer een belangrijk systeem niet beschikbaar is? Wie heeft toegang tot financiële gegevens? Is meervoudige authenticatie overal ingericht? Hoe snel kan de organisatie herstellen na een aanval? Zijn back-ups daadwerkelijk getest? Welke softwareleveranciers zijn essentieel? En weet iedereen binnen de organisatie wat er moet gebeuren wanneer zich een ernstig incident voordoet?
Denk daarbij niet alleen aan servers en computers. Ook de financiële administratie, salarisverwerking, CRM-systemen, betalingsprocessen, cloudapplicaties en digitale klantomgevingen zijn tegenwoordig essentieel voor de dagelijkse bedrijfsvoering.
Wacht niet tot het eerste incident
De Cyberbeveiligingswet maakt duidelijk dat digitale weerbaarheid onderdeel is geworden van normale bedrijfsvoering en risicobeheersing.
Valt uw organisatie onder de wet, dan gelden de verplichtingen sinds 15 augustus 2026. Maar ook voor organisaties die er formeel buiten vallen, is het verstandig om cybersecurity structureel onderdeel te maken van de interne beheersing.
Ons advies: bepaal eerst of de Cyberbeveiligingswet op uw organisatie van toepassing is. Breng vervolgens uw belangrijkste digitale processen, leveranciers en risico's in kaart en leg vast wie binnen de organisatie waarvoor verantwoordelijk is.
Want goede cybersecurity begint niet pas bij de IT-afdeling. Het begint bij weten waar uw organisatie kwetsbaar is en daar als ondernemer of bestuurder tijdig op sturen.
Bron: | 03-09-2026
