De Cyberbeveiligingswet is ingegaan. Val jij eronder?

Sinds 15 augustus 2026 is de Cyberbeveiligingswet van kracht. Dat is de Nederlandse uitwerking van de Europese NIS2-richtlijn. De Eerste Kamer stemde er op 7 juli mee in, na jaren van uitstel.

Er wordt veel over geroepen. Sommige partijen doen alsof elk bedrijf in Nederland er nu iets mee moet. Dat klopt niet. Maar de kans dat jij er indirect mee te maken krijgt is een stuk groter dan je denkt, en dáár gaat dit artikel over.

Val je er direct onder?

Waarschijnlijk niet. De wet richt zich op ruim 8.000 organisaties in sectoren die de Rijksoverheid als essentieel of belangrijk aanmerkt: energie, drinkwater, zorg, transport, digitale infrastructuur, afvalbeheer, productie van kritieke goederen, en een aantal andere.

Val je eronder, dan gelden er sinds 15 augustus drie soorten verplichtingen:

• Registreren. Je moet je aanmelden bij het Nationaal Cyber Security Centrum via mijn.ncsc.nl.
• Melden. Belangrijke incidenten moet je binnen korte termijn melden.
• Maatregelen nemen. Risicobeheer, toegangsbeveiliging, incidentafhandeling, en het beveiligen van je toeleveringsketen, en aantoonbaar.

Organisaties zijn zelf verantwoordelijk om te toetsen of ze onder de wet vallen. Er komt geen brief. Twijfel je, kijk dan op ncsc.nl of bel ons even.

Het punt dat het mkb raakt: de keten

In de praktijk ziet dat er zo uit: er komt een vragenlijst binnen. Twintig tot vijftig vragen over hoe jullie omgaan met wachtwoorden, back-ups, updates en incidenten. Soms met de mededeling dat het contract afhangt van de antwoorden.

Dit is geen theorie. Brancheorganisaties waarschuwen hun leden er al voor, en in België en Duitsland, waar NIS2 eerder inging, gebeurt precies dit. Bedrijven die de vragenlijst niet konden beantwoorden, verloren opdrachten.

Wat je nu kunt doen

Je hoeft geen certificeringstraject in. Voor de meeste mkb-bedrijven is dit genoeg om de vragen onderbouwd te kunnen beantwoorden:

1. Zet tweestapsverificatie aan voor iedereen. Niet alleen voor de directie. Dit is de maatregel die de meeste inbraken tegenhoudt en hij kost niets.
2. Ruim oude accounts op. Elke oud-medewerker die nog kan inloggen is een openstaande deur, en het is een vraag die op elke vragenlijst staat.
3. Test je back-up. Niet of hij draait, maar of er iets uit terug te zetten is. Leg vast wanneer je dat getest hebt.
4. Schrijf op wie wat mag. Eén A4 met wie toegang heeft tot welke systemen. Saai, maar het is precies wat er gevraagd wordt.
5. Maak een incidentprotocol. Ook één A4: wat doen we als er iets misgaat, wie bellen we, wie informeert de klant.

Dat is het. Vijf punten, geen dure software. De meeste bedrijven hebben er twee tot drie weken werk aan, en daarna kun je het dossier bij elke volgende opdrachtgever opnieuw gebruiken.

Wat het níet is

Je hebt geen ISO 27001-certificaat nodig. Dat is een zwaar en kostbaar traject dat voor de meeste mkb-bedrijven niet in verhouding staat. Het helpt, maar het is geen voorwaarde. Verkopers die dat wel zeggen, verkopen certificeringstrajecten.

Je hoeft ook niet in paniek te raken over boetes. De boetes uit de Cyberbeveiligingswet gelden voor organisaties die onder de wet vallen, niet voor hun leveranciers. Het risico voor jou is commercieel: een opdracht die je misloopt, niet een boete die je krijgt.

Kort samengevat

• De Cyberbeveiligingswet is sinds 15 augustus 2026 van kracht.
• Ruim 8.000 organisaties vallen er direct onder, waarschijnlijk jij niet.
• Die organisaties moeten hun leveranciers controleren. Daar kom jij in beeld.
• Vijf basismaatregelen zijn voor de meeste mkb-bedrijven genoeg.
• Het risico is een opdracht mislopen, geen boete.

Bron: Rijksoverheid en NCSC. Dit artikel is bijgewerkt op 20 juli 2026. Wetgeving verandert, dus controleer de bronnen als je dit later leest.