Sinds 15 augustus 2026 is de Cyberbeveiligingswet van kracht, de Nederlandse uitwerking van de Europese NIS2-richtlijn. Op papier geldt hij alleen voor grote en middelgrote organisaties in achttien sectoren: minimaal 50 werknemers, of een jaaromzet en balanstotaal boven de 10 miljoen euro. Klinkt dat niet als jouw bedrijf? Dan is de kans groot dat je toch met de wet te maken krijgt, en wel via een omweg waar veel ondernemers niet op rekenen.
Wat de wet precies regelt
De Cyberbeveiligingswet vervangt de oude Wet beveiliging netwerk- en informatiesystemen en stelt eisen aan de digitale weerbaarheid van ruim 8.000 organisaties. Denk aan energiebedrijven, ziekenhuizen, vervoerders en banken, maar ook aan grotere producenten en dienstverleners. Zij krijgen een zorgplicht, een meldplicht bij incidenten en een registratieplicht. Toezicht ligt bij acht verschillende instanties, waaronder de RDI (voorheen Agentschap Telecom), terwijl het Nationaal Cyber Security Centrum als meldpunt fungeert. Er is geen overgangstermijn: de wet geldt vanaf dag één.
De boetes zijn niet mals. Essentiële entiteiten riskeren tot 10 miljoen euro of 2 procent van de wereldwijde jaaromzet, belangrijke entiteiten tot 7 miljoen euro of 1,4 procent. Bestuurders kunnen daarnaast persoonlijk aansprakelijk worden gesteld als ze de zorgplicht verwaarlozen. Meer achtergrond over de onderliggende NIS2-richtlijn staat op de site van de Europese Commissie.
Waarom een klein bedrijf toch meekijkt
Het klassieke mkb, bedrijven onder de 50 werknemers, valt formeel buiten de wet. Toch schat men in dat de wet tot 50.000 mkb-bedrijven indirect raakt. De reden heet ketenverantwoordelijkheid. Een organisatie die wel onder de Cyberbeveiligingswet valt, is verplicht om de digitale veiligheid van haar hele toeleveringsketen te controleren. Werk jij als zzp'er of klein bureau voor een ziekenhuis, een energieleverancier of een grote logistieke speler? Dan kan die opdrachtgever niet langer zonder garanties met je blijven samenwerken, simpelweg omdat hij dat zelf niet meer kan verantwoorden bij een controle.
In de praktijk betekent dit dat grote klanten steeds vaker een vragenlijst, audit of contractclausule sturen voordat ze een nieuwe opdracht gunnen. Wie daar niet op is voorbereid, verliest niet de rechtszaak, maar het contract. Dat risico speelt nu al, ook al ben je zelf geen doelwit van de toezichthouder.
Hoe je erachter komt of dit jou raakt
Je hoeft niet blind te gokken. Ga na welke klanten in je portfolio actief zijn in de achttien aangewezen sectoren: energie, water, telecom, zorg, vervoer, bankwezen en een aantal industriële en digitale sectoren. Vraag die klanten rechtstreeks of zij onder de Cyberbeveiligingswet vallen. Vaak weten ze dat zelf inmiddels wel, want de wet is al maanden onderwerp van gesprek in hun eigen compliance-afdeling. Val je niet onder een van hun ketens, dan hoef je voorlopig weinig te doen. Werk je wel voor zo'n organisatie, dan is de vraag niet óf er een leveranciersaudit komt, maar wanneer.
Wil je meer weten over wat er nog meer op je bordje komt als ondernemer dit jaar? Lees ook ons artikel over het centrale loket voor cyberhulp, waar je terechtkunt met concrete vragen over digitale weerbaarheid.
Drie dingen die je nu al kunt regelen
- Basishygiëne op orde: multi-factor-authenticatie, tijdige software-updates en een actueel overzicht van wie toegang heeft tot welke systemen. Dit zijn precies de punten die in een leveranciersaudit als eerste worden gecontroleerd.
- Een incidentplan op papier: wie bel je, wie informeer je, en binnen hoeveel uur meld je een datalek. Grote opdrachtgevers vragen hier steeds vaker expliciet naar voordat ze een contract tekenen.
- Duidelijke afspraken in contracten: leg vast wie verantwoordelijk is voor welk deel van de beveiliging in de samenwerking, zodat je niet achteraf voor verrassingen komt te staan als een klant zijn eigen ketenverplichtingen doorschuift.
Dit sluit ook aan bij hoe ERP-systemen tegenwoordig met bedrijfsdata omgaan. Benieuwd hoe dat in de praktijk werkt? Check ons artikel over ERP-software en databeveiliging.
Wat dit betekent voor jou
De Cyberbeveiligingswet is geen ver-van-je-bed-show meer, ook niet voor een bedrijf met tien man personeel. Niet omdat de toezichthouder ineens voor je deur staat, maar omdat je grootste klant dat misschien wel doet, in de vorm van een audit of een aangepast contract. Wacht niet tot die vraag in je mailbox landt. Een half uur besteden aan het navragen bij je belangrijkste opdrachtgevers en het op orde brengen van je basisbeveiliging kost nu weinig, en voorkomt dat je over een paar maanden een opdracht kwijtraakt aan een concurrent die wel kan aantonen dat zijn zaakjes kloppen. Wie je ook bent, zzp'er, klein bureau of groeiend mkb-bedrijf: die vragenlijst komt eraan. Beter dat je hem al hebt ingevuld voordat hij binnenkomt.