Sinds 15 augustus 2026 geldt in Nederland de Cyberbeveiligingswet. Het is de Nederlandse uitwerking van de Europese NIS2-richtlijn, en volgens de Rijksoverheid vallen er ruim 8.000 organisaties in 18 sectoren onder. Voor de meeste MKB-bedrijven voelt dat ver weg. Toch krijgen juist kleinere bedrijven er de komende tijd mee te maken, via hun klanten.
Valt je bedrijf er zelf onder?
Waarschijnlijk niet. De wet kijkt naar sector en grootte. Een organisatie valt eronder als ze in een van de aangewezen sectoren werkt én 50 of meer medewerkers (in fte) heeft, of minder dan 50 maar een jaaromzet en balanstotaal van elk meer dan €10 miljoen (NCSC).
Er zijn uitzonderingen die ongeacht de grootte onder de wet vallen, zoals aanbieders van DNS-diensten, openbare elektronische communicatie en overheden. Twijfel je, gebruik dan de NIS2 Quickscan of de NIS2 Zelfevaluatie van de RDI.
Waarom je er als leverancier toch mee te maken krijgt
Organisaties die onder de wet vallen, hebben een zorgplicht. Daar hoort uitdrukkelijk de beveiliging van de toeleveringsketen bij, "met inbegrip van" de relaties met hun rechtstreekse leveranciers (Cyberbeveiligingswet, artikel 21). Het Cyberbeveiligingsbesluit gaat een stap verder: de organisatie moet toetsen of haar rechtstreekse leveranciers en dienstverleners aan de beveiligingseisen voldoen, en dat periodiek controleren (artikel 10).
Het NCSC zegt het zonder omwegen: organisaties die onder de wet vallen, kunnen cybersecuritymaatregelen opleggen aan hun rechtstreekse leveranciers (NCSC). Ook RVO waarschuwt dat niet-gereguleerde leveranciers indirect met de eisen te maken kunnen krijgen.
Denk aan een installatiebedrijf dat werkt voor een drinkwaterbedrijf, een transporteur voor een voedselproducent, een softwarebureau voor een zorginstelling of een schoonmaakbedrijf met toegang tot een datacenter.
Wat je klant van je kan vragen
De wet schrijft niet voor welke vragen een klant stelt. In de praktijk komen ze neer op de basis:
- Toegang: gebruiken jullie tweestapsverificatie op e-mail en op systemen waarmee je bij de klant inlogt, en valt een verdachte inlog op, bijvoorbeeld met accountbewaking?
- Werkplekken: zijn laptops en servers beveiligd tegen malware en ransomware, bijvoorbeeld met endpointbeveiliging met EDR, en worden ze bijgewerkt?
- Medewerkers: worden medewerkers getraind in het herkennen van phishing, met training en phishingsimulaties?
- Incidenten: merk je het op tijd als er iets misgaat, en meld je het aan de klant?
- Back-ups: kun je je werk hervatten na een aanval?
Die laatste twee zijn belangrijk omdat de klant zelf strakke meldtermijnen heeft: een eerste waarschuwing binnen 24 uur, een melding binnen 72 uur en een eindrapport binnen een maand (Cyberbeveiligingswet, artikelen 26 tot 29). Een leverancier die pas na een week ontdekt dat er is ingebroken, maakt dat voor de klant onmogelijk.
Wat je nu kunt doen
- Vraag het na. Werk je voor organisaties in energie, water, transport, zorg, voedsel, digitale infrastructuur of de overheid? Vraag of ze onder de Cyberbeveiligingswet vallen en wat ze van leveranciers verwachten.
- Regel de basis. Tweestapsverificatie, bijgewerkte systemen, goede back-ups en getrainde medewerkers. De CyberVeilig Check van het NCSC geeft je in een paar minuten een eigen actielijst. CyberVeilig Check gedaan? Zo werkt de subsidie.
- Zorg dat je het merkt als het misgaat. Een vragenlijst vraagt niet alleen wat je hebt, maar ook hoe snel je een incident ziet en meldt. Bij Gentic bewaakt ons team accounts en apparaten 24/7 en reageert het bij kritieke incidenten binnen een uur, zodat jij je klant op tijd kunt informeren. Zo werkt 24/7 Managed Detection & Response.
- Leg het vast. Houd bij welke maatregelen je hebt en sinds wanneer. Dat maakt de volgende vragenlijst een stuk sneller.
Toezichthouders gebruiken het eerste jaar volgens de RDI om de sectoren beter te leren kennen. Voor de organisaties die onder de wet vallen, gelden de verplichtingen wel vanaf 15 augustus 2026. Verwacht dus dat de eerste vragenlijsten van klanten nu binnenkomen.
Wil je weten waar je staat voordat de vragenlijst komt? Vraag een gratis kwetsbaarhedenscan aan.
Bronnen
- Cyberbeveiligingswet en Cyberbeveiligingsbesluit, wetten.overheid.nl
- NCSC: Valt mijn organisatie onder de Cyberbeveiligingswet?
- NCSC: Toeleveranciers van Cbw-organisaties
- NCSC: De Cyberbeveiligingswet en toeleveranciers
- RVO: Wat betekent de Cyberbeveiligingswet voor uw bedrijf?
Dit artikel is een uitleg, geen juridisch advies. Laatst gecontroleerd op 27 september 2026.
