Security

Cyberbeveiligingswet: geldt hij ook voor jouw bedrijf?

Jordy Smits

19 november 2026

4 min leestijd

Werken aan een laptop aan tafel op kantoor

Grote kans dat er binnenkort een vragenlijst in je inbox landt. Van die ene grote klant in Eindhoven, Helmond of verderop. Heb je meervoudige verificatie aan? Hoe regel je je back-ups? Wie bel je bij een hack? De reden heet de Cyberbeveiligingswet. Hier lees je of die wet voor jou geldt, en wat je doet als hij niet voor jou geldt, maar wel voor je klant.

De wet geldt sinds 15 augustus 2026

De Cyberbeveiligingswet, kortweg Cbw, is de Nederlandse uitwerking van de Europese NIS2-richtlijn. De Eerste Kamer stemde op 7 juli 2026 in en sinds 15 augustus 2026 is de wet van kracht. Hij vervangt de oude Wet beveiliging netwerk- en informatiesystemen.

Volgens de Rijksoverheid gaat het om ruim 8.000 organisaties in 18 sectoren. Zij moeten dit regelen:

Registreren bij het Nationaal Cyber Security Centrum (NCSC).
Zorgplicht: passende maatregelen nemen om hun netwerk en systemen te beveiligen.
Meldplicht: een ernstig incident zo snel mogelijk melden, en in ieder geval binnen 24 uur.
De directie aan zet: het bestuur keurt de maatregelen goed, houdt toezicht en volgt zelf een training.

Organisaties moeten zelf uitzoeken of ze eronder vallen. Er komt dus geen brief.

Klein bedrijf? Dan val je er meestal zelf niet onder

Of de wet voor je geldt, hangt af van twee dingen: je sector en je omvang. Je bent groot genoeg als je 50 of meer fte hebt, of minder mensen maar een jaaromzet of balanstotaal boven de 10 miljoen euro. Let op: moeder- en dochterbedrijven tellen mee. Een kleine bv in een grotere groep kan er dus toch onder vallen.

Dan de sector. Naast energie, vervoer, zorg en drinkwater staan er sectoren in die je in onze regio veel tegenkomt. Denk aan de vervaardiging van machines, elektronica, elektrische apparatuur en voertuigen. En aan levensmiddelen, chemie, afvalbeheer en post- en koeriersdiensten.

Ben je zzp'er of heb je een bedrijf met tien mensen? Dan zit je in de meeste gevallen buiten de wet. Een paar soorten organisaties vallen er wel altijd onder, ongeacht hun omvang, zoals telecomaanbieders en overheden. Twijfel je? Het NCSC verwijst naar de NIS2-zelfevaluatie van de overheid. Die helpt je bepalen of je eronder valt.

De wet klopt niet bij jou aan, je klant wel

Nu wordt het interessant als je toeleverancier bent. Het NCSC is duidelijk: de wet legt jou als toeleverancier geen eigen verplichtingen op. Er komt geen toezichthouder langs en je krijgt geen boete omdat je geen certificaat hebt.

Maar je klant die wel onder de wet valt, moet ook de risico's in zijn keten beheersen. Daarom kan hij eisen stellen aan zijn rechtstreekse leveranciers. Vooral als je:

een product of dienst levert die raakt aan zijn netwerk en systemen;
een ICT-onderdeel van die systemen levert;
toegang hebt tot zijn systemen.

Lever je machines die op het netwerk van je klant draaien, of log je in voor onderhoud op afstand? Dan is de kans groot dat je klant je vroeg of laat vragen stelt.

Die eisen moeten wel passend zijn. Het NCSC geeft zelf een mooi voorbeeld: een toegangspas voor de serverruimte kan logisch zijn voor de ene leverancier, maar niet voor iemand die alleen digitaal prijsinformatie aanlevert. Afspraken komen in een contract of SLA. Een certificaat zoals ISO 27001 is niet verplicht, al kan het het gesprek makkelijker maken.

Houd er rekening mee dat elke klant zijn eigen lijstje maakt. Lever je aan vijf grote klanten, dan kun je vijf verschillende vragenlijsten krijgen. Handig als je de antwoorden dan al klaar hebt liggen.

Nog niet alles is duidelijk

Eerlijk is eerlijk: de wet is pas een paar maanden oud en er staan nog vragen open.

Welke eisen klanten precies gaan stellen, verschilt per klant en per sector. Een vaste lijst voor toeleveranciers is er niet.
Wanneer een incident ernstig genoeg is om te melden, staat per sector in aparte regels van het ministerie.
Volgens het NCSC is de precieze uitwerking van het toezicht nog in ontwikkeling.

En wij zijn ICT'ers, geen juristen. Twijfel je of jouw bedrijf eronder valt? Doe de zelfevaluatie en vraag bij twijfel juridisch advies.

Begin nu, dan is die vragenlijst zo ingevuld

Wacht niet tot de mail binnenkomt. Dit doe je nu:

Check of je er zelf onder valt. Tel je moeder- en dochterbedrijven mee en doe de zelfevaluatie.
Vraag het je grootste klanten. Vallen zij onder de wet, en wat verwachten ze van jou?
Weet waar je hun systemen raakt. Portalen, koppelingen, toegang op afstand, machines op hun netwerk.
Regel de basis. Meervoudige verificatie op elk account, updates op tijd, oude accounts weg en een back-up die getest is.
Schrijf het op. Wat je geregeld hebt, en wie wat doet als het misgaat. Dan vul je een vragenlijst snel en eerlijk in.

Met Nice Security heb je de antwoorden al klaar

Met Nice Security zetten we meervoudige verificatie, apparaatbeheer, back-up en monitoring standaard aan en houden we het bij. Verdachte aanmeldingen en malware pakken we op, ook buiten kantoortijd. En je krijgt een rapportage die je aan je klanten kunt laten zien. Precies wat je nodig hebt als die vragenlijst komt.

Geen idee waar je nu staat? Plan een gratis ICT-quickscan. In ongeveer 30 minuten kijken we naar je werkplekken, beveiliging, back-up en netwerk. Je krijgt een helder overzicht van wat goed geregeld is en waar risico zit. Vanuit Weert, voor ondernemers in heel Limburg en Oost-Brabant.