De Cyberbeveiligingswet Komt Eraan: Ook Als U Er Niet Onder Valt, Raakt Het U

Op 15 augustus 2026 treedt de Cyberbeveiligingswet in werking, de Nederlandse uitwerking van de Europese NIS2-richtlijn. Ruim achtduizend Nederlandse organisaties vallen er rechtstreeks onder. Klinkt dat als een probleem van anderen? Dan is het goed om te weten dat die achtduizend organisaties samen met tienduizenden MKB-bedrijven zakendoen, en dat de wet hen verplicht om de beveiliging van hun leveranciers te controleren.

Daar zit de kern van het verhaal voor het MKB. U krijgt de eisen niet van een toezichthouder, maar van uw klant. En anders dan bij veel wetgeving is er geen overgangsperiode: vanaf dag één gelden de verplichtingen.

Waar gaat de wet over?

De Cyberbeveiligingswet verplicht organisaties in aangewezen sectoren tot drie dingen: passende beveiligingsmaatregelen nemen, incidenten melden bij de toezichthouder binnen strakke termijnen, en zich registreren. Daarbovenop staat iets wat in Nederland relatief nieuw is: bestuurders zijn persoonlijk aanspreekbaar op het naleven ervan.

De sectoren zijn ruim. Naast de voor de hand liggende partijen zoals energie, drinkwater, transport en zorg vallen ook afvalbeheer, voedselproductie en -distributie, digitale aanbieders, post- en koeriersdiensten en delen van de maakindustrie eronder. Wie denkt "wij zijn maar een gewoon bedrijf" doet er goed aan het toch even na te lopen, want de reikwijdte verrast regelmatig.

Ketenverantwoordelijkheid: hier raakt het het MKB

De wet eist van organisaties die eronder vallen dat zij de risico's in hun toeleveringsketen beheersen. In gewoon Nederlands: zij moeten kunnen aantonen dat hun leveranciers hun beveiliging op orde hebben.

Dat vertaalt zich in de praktijk naar dingen die u waarschijnlijk al voorbij ziet komen:

• Vragenlijsten van tien tot zestig vragen over uw beveiliging, voorafgaand aan een opdracht of verlenging
• Contractuele bepalingen over meldplicht bij incidenten, vaak met termijnen van 24 tot 48 uur richting uw klant
• Eisen rond toegangsbeheer voor uw medewerkers die in hun systemen werken
• De vraag welke onderaannemers en softwareleveranciers ú weer inschakelt
• Bij grotere opdrachten: de vraag om een certificering of een verklaring van een externe partij

Bedrijven die daar geen antwoord op hebben, verliezen geen boete maar een opdracht. Dat is voor de meeste MKB-ondernemers een directer risico dan welke sanctie ook.

Wat er echt van u wordt verwacht

Er ontstaat momenteel veel ruis rond dit onderwerp, deels aangewakkerd door partijen die er dure trajecten omheen verkopen. Voor een MKB-bedrijf dat als leverancier wordt bevraagd, gaat het in de kern om onderwerpen die niet exotisch zijn.

Weten wat u heeft

Een actueel overzicht van uw systemen, applicaties en gegevens. Welke software draait er, wie beheert die, waar staat welke data. Verrassend veel bedrijven kunnen deze vraag niet beantwoorden, en zonder dit overzicht is elke volgende maatregel giswerk.

Toegang op orde

Meervoudige verificatie op alles wat van buiten bereikbaar is. Accounts van vertrokken medewerkers die daadwerkelijk zijn ingetrokken. Beheerdersrechten alleen bij mensen die ze nodig hebben. Geen gedeelde accounts waar vijf mensen mee inloggen. Dit is de categorie waar de meeste incidenten in de praktijk ontstaan.

Back-ups die getest zijn

Niet of er back-ups draaien, maar wanneer u voor het laatst een herstel heeft uitgevoerd. Een back-up die nooit is teruggezet, is een aanname. En minstens één kopie moet buiten het bereik staan van iemand die uw netwerk overneemt.

Updates en einde-levensduur

Software en apparatuur die geen beveiligingsupdates meer krijgen, zijn bij een audit een direct struikelblok. Dit geldt ook voor machines op de werkvloer die op een verouderd besturingssysteem draaien, wat bij productiebedrijven eerder regel dan uitzondering is.

Een incidentprocedure die op papier staat

Wie belt wie, welke systemen worden losgekoppeld, wie informeert de klanten, wie doet aangifte. Een A4 volstaat. Het punt is niet het document, het punt is dat er tijdens een incident geen tijd is om dit te bedenken.

Bewustzijn bij medewerkers

Het overgrote deel van de incidenten begint bij een mens die op iets klikt of een overtuigend telefoontje krijgt. Een jaarlijkse sessie met een korte registratie van wie erbij was, is voldoende om aan te tonen dat u hier iets aan doet.

Het punt dat vaak wordt overgeslagen: uw eigen software

Bij deze gesprekken gaat het meestal over netwerk, mail en werkplekken. Maar als u maatwerksoftware laat bouwen of intern beheert, is dat net zo goed onderdeel van uw beveiligingsverhaal.

Concreet betekent dat: worden er updates uitgevoerd op de onderliggende onderdelen van uw applicatie, staat er logging aan zodat u achteraf kunt zien wat er is gebeurd, worden rechten binnen de applicatie per rol geregeld in plaats van iedereen alles, en staat de testomgeving niet vol met een kopie van uw echte klantgegevens.

Dit zijn vragen die u aan uw softwareleverancier mag stellen. Een partij die daar geen helder antwoord op geeft, wordt uw probleem zodra uw klant ernaar vraagt.

Praktijkvoorbeeld: toeleverancier in de foodsector

Een verpakkingsbedrijf met 35 medewerkers levert aan twee grote voedselproducenten. Beide afnemers stuurden dit voorjaar een leveranciersvragenlijst met een reactietermijn van vier weken.

Het bedrijf viel zelf niet onder de wet, maar de vragen waren die van een organisatie die dat wel doet. Op ongeveer de helft van de punten was het antwoord in orde. Op de andere helft bleek het volgende: er waren nog drie actieve accounts van medewerkers die twee jaar geleden waren vertrokken, de back-up van het ordersysteem was al vijf maanden stilletjes mislukt, en het planningssysteem draaide op een server die geen updates meer kreeg.

Geen van deze punten was duur om op te lossen. Het probleem was dat niemand ze wist. De vragenlijst was uiteindelijk waardevoller dan vervelend, en het bedrijf heeft er een halfjaarlijkse controle van gemaakt.

Wat u de komende weken kunt doen

1. Controleer of uw eigen sector onder de wet valt. Doe dit ook voor uw grootste afnemers, want dat voorspelt wanneer de vragen komen.
2. Maak het overzicht van uw systemen, accounts en leveranciers. Dit is de basis voor elke vragenlijst die u nog krijgt.
3. Test één keer een herstel vanuit uw back-up. Als dat niet lukt, heeft u nu uw belangrijkste prioriteit gevonden.
4. Loop de accounts na van iedereen die het afgelopen jaar is vertrokken.
5. Schrijf het incident-A4 en hang het ergens op waar het gevonden wordt.

Conclusie

De Cyberbeveiligingswet is geschreven voor grote en essentiële organisaties, maar het effect ervan landt bij hun leveranciers. Voor MKB-bedrijven in Noord-Holland en West-Friesland die aan industrie, zorg, transport of voedselproductie leveren, is dit geen theoretisch onderwerp meer.

Het goede nieuws: de maatregelen die uw klanten gaan vragen, zijn grotendeels dezelfde maatregelen die u zelf zou willen hebben als u morgen wordt getroffen. De wet dwingt vooral af dat u ze opschrijft en aantoonbaar maakt.