Sinds 15 augustus is de Cyberbeveiligingswet officieel van kracht. Misschien denk je: dat gaat over grote organisaties, niet over ons. Toch is die aanname riskant. Ook als je bedrijf niet direct onder de wet valt, krijg je er hoogstwaarschijnlijk wél mee te maken.
Wat de wet precies inhoudt
De Cyberbeveiligingswet is de Nederlandse uitwerking van de Europese NIS2-richtlijn en is sinds 15 augustus 2026 van kracht. De wet stelt eisen aan de digitale weerbaarheid van organisaties in sectoren die zijn aangemerkt als essentieel of belangrijk voor de samenleving, denk aan energie, drinkwater, gezondheidszorg en digitale infrastructuur.
Of de wet direct voor jouw organisatie geldt, hangt af van twee dingen: de sector waarin je actief bent en de grootte van je organisatie (op basis van medewerkers en omzet). Val je in een van de aangewezen sectoren en voldoe je aan de bijbehorende omvangscriteria, dan ben je wettelijk verplicht om je te registreren en te voldoen aan zorg- en meldplicht. In Nederland gaat het naar schatting om ruim 8.000 organisaties.
Val je zelf niet direct in een van deze sectoren, dan geldt de wet in principe niet rechtstreeks voor jouw bedrijf. Toch kun je er alsnog mee te maken krijgen, bijvoorbeeld als je als leverancier of ketenpartner werkt voor een organisatie die wel onder de wet valt.
Waarom dit ook jouw bedrijf raakt
Organisaties die wel onder de wet vallen, gaan hun eigen keten scherper controleren. Dat betekent: leveranciers en partners krijgen vragen over hun digitale veiligheid. Werk je als MKB-bedrijf voor een grotere klant, of lever je diensten aan een organisatie die wel onder de wet valt? Dan kan die vraag zomaar bij jou op de mat vallen.
Kun je dan aantonen dat je IT-omgeving op orde is? Voor veel ondernemers is het eerlijke antwoord: geen idee.
Wat de wet concreet vraagt
De Cyberbeveiligingswet draait om een aantal basisprincipes:
- Weten waar je digitale risico’s zitten
- Passende maatregelen nemen om die risico’s te beperken
- Incidenten kunnen melden en erop kunnen reageren
- Aantoonbaar maken dat je hier structureel mee bezig bent
Dat laatste punt is waar het vaak misgaat. Niet omdat organisaties niets doen, maar omdat ze niet kunnen laten zien wát ze doen.
Waar je zelf mee kunt beginnen
Je hoeft niet te wachten tot een klant of partner erom vraagt. Een paar dingen die je nu al kunt oppakken:
- Breng in kaart welke systemen en data het meest kwetsbaar zijn
- Check of je back-ups actueel zijn en daadwerkelijk werken
- Zorg dat medewerkers weten hoe ze een verdachte e-mail of melding moeten afhandelen
- Leg vast wat je doet aan beveiliging, zodat je het kunt tonen als iemand ernaar vraagt
Belangrijk om helder te hebben: certificeringen of audits die een IT-partner zelf heeft, zeggen iets over die partner. Ze maken jouw organisatie niet automatisch compliant. Die verantwoordelijkheid blijft bij jouw eigen bedrijf liggen.
Hoe wij hierbij kunnen helpen
Wij helpen MKB-organisaties om een eerlijk beeld te krijgen van hun huidige situatie. Geen ellenlang rapport vol jargon, maar een praktische inventarisatie: waar sta je nu, en wat is de eerstvolgende logische stap.
Wil je weten waar jouw organisatie staat ten opzichte van de Cyberbeveiligingswet? Neem contact met ons op, dan denken we met je mee.