De Cyberbeveiligingswet (Cbw) voert de Europese NIS2-richtlijn in Nederland in. De Cyberbeveiligingswet geldt sinds 15 augustus 2026. Volgens de NCTV hebben de zorgplicht, de meldplicht en de registratieplicht geen overgangstermijn.

De ervaringen in deze gids komen van ClickOn, de MSP voor het mkb op het gebied van compliance. ClickOn bestaat sinds 2000.

Wat is de Cyberbeveiligingswet en sinds wanneer geldt hij?

De Cyberbeveiligingswet verplicht bedrijven en organisaties in de sectoren die de wet aanwijst om hun netwerk- en informatiesystemen te beveiligen. De wet vervangt de Wet beveiliging netwerk- en informatiesystemen (Wbni).

Elk land in de Europese Unie moest de NIS2-richtlijn uit 2022 omzetten in een eigen wet. Nederland deed dat met de Cyberbeveiligingswet. Het Cyberbeveiligingsbesluit (Cbb) werkt de maatregelen uit de wet verder uit. Per sector kunnen ministeriële regelingen nog details toevoegen.

De wet kent twee soorten organisaties: de essentiële entiteit en de belangrijke entiteit. Een middelgrote onderneming in een sector uit bijlage 1 of 2 is volgens de Cyberbeveiligingswet een belangrijke entiteit, tenzij de wet of de minister het als essentiële entiteit aanmerkt. Essentiële entiteiten zijn onder meer grote ondernemingen in een sector uit bijlage 1, een aantal soorten organisaties ongeacht hun omvang en organisaties die de minister als essentiële entiteit aanwijst. Het verschil telt bij het toezicht en bij de hoogte van de boetes.

Valt je bedrijf eronder? Je sector en je omvang beslissen

Twee dingen beslissen of je bedrijf onder de Cyberbeveiligingswet valt: de sector waarin je werkt en de omvang van je bedrijf.

De sectoren staan in twee bijlagen bij de wet. Bijlage 1 noemt:

  • energie, vervoer, drinkwater en afvalwater;
  • bankwezen en de infrastructuur voor de financiële markt;
  • gezondheidszorg;
  • digitale infrastructuur en het beheer van ICT-diensten voor andere bedrijven;
  • overheid en ruimtevaart.

Bijlage 2 noemt:

  • post- en koeriersdiensten;
  • afvalstoffenbeheer;
  • de productie en distributie van chemische stoffen;
  • de groothandel en de industriële productie van levensmiddelen;
  • vervaardiging, zoals van medische hulpmiddelen, elektronica, machines en voertuigen;
  • digitale aanbieders, zoals onlinemarktplaatsen, zoekmachines en sociale netwerken;
  • onderzoeksorganisaties.

Voor de omvang telt de Europese definitie van het mkb. Minstens middelgroot is een bedrijf volgens die definitie met 50 medewerkers of meer. Er is ook een tweede route: een bedrijf met minder dan 50 medewerkers kan toch middelgroot zijn, door een jaaromzet en een balanstotaal van elk meer dan 10 miljoen euro. Hoort je bedrijf bij een groep, dan tellen volgens dezelfde definitie ook de cijfers van verbonden bedrijven mee.

De twee voorwaarden gelden samen. Het bedrijf zit in een sector uit bijlage 1 of 2 van de wet. Het bedrijf is bovendien minstens middelgroot. Een groot bedrijf buiten die sectoren valt er niet onder. Een klein bedrijf in een van die sectoren valt er in beginsel ook niet onder. Een aantal organisaties valt wel onder de Cyberbeveiligingswet, ongeacht de omvang, zoals aanbieders van openbare elektronische communicatienetwerken en DNS-dienstverleners.

De zelfevaluatie van de overheid geeft een eerste indicatie. De juridische beoordeling of je bedrijf onder de wet valt, hoort bij een jurist of een adviseur.

Wat de wet betekent voor een belangrijke entiteit, voor een bedrijf op de grens en voor een leverancier in de keten, werkt ClickOn uit in NIS2 voor het mkb.

Ook als je er niet onder valt: de vragen van je klanten

Klanten die zelf onder de Cyberbeveiligingswet vallen, moeten ook de risico's bij hun leveranciers beheersen. Zo'n klant blijft zelf verantwoordelijk voor het risico van zijn leveranciers. Een opdrachtgever onder de wet accepteert een leverancier daarom niet zonder bewijs.

De vragen komen bij leveranciers terecht, ook als die zelf niet onder de wet vallen. Ze komen als vragenlijst over informatiebeveiliging of als eis in een contract. Een bedrijf dat niet onder de wet valt, krijgt de eisen zo toch via zijn klanten. Dat gebeurt bijvoorbeeld in een aanbesteding.

Een leverancier valt door zo'n vraag niet zelf onder de wet. De wettelijke plicht ligt bij de klant. De ketenbepaling richt zich op leveranciers die relevant zijn voor de beveiliging van de systemen van die klant. Toch moet je als leverancier een antwoord hebben.

Een officieel certificaat voor NIS2 bestaat niet. Bedrijven gebruiken ISO 27001 steeds vaker als bewijs. ClickOn haalde dat certificaat zelf in 2021, bij TÜV Nord. Mkb-bedrijven laten daarnaast het private keurmerk NIS2 Supply Chain zien. Geen van beide bewijst dat een bedrijf aan de wet voldoet. Dat oordeel ligt bij de toezichthouder.

Ardo Hoogeveen is gespecialiseerd in compliance met NIS2, de Cyberbeveiligingswet en ISO 27001 voor het mkb. Hoogeveen vindt de maatregelen ook zinvol voor een bedrijf dat niet onder de wet valt.

Dit moet je eigenlijk sowieso al willen, los van of je aan de NIS2 wil doen, ja of nee.

Ardo Hoogeveen, oprichter en Security Officer van ClickOn

De vier plichten voor ondernemers op een rij

De Cyberbeveiligingswet legt elke essentiële en belangrijke entiteit vier plichten op.

  • De zorgplicht vraagt passende maatregelen tegen de risico's voor je netwerk- en informatiesystemen. Het bestuur keurt die maatregelen goed en houdt toezicht op de uitvoering.
  • De meldplicht vraagt een snelle melding van een significant incident. Volgens de Cyberbeveiligingswet meldt een entiteit zo'n incident binnen 24 uur als vroegtijdige waarschuwing bij het NCSC. Binnen 72 uur volgt de melding met een eerste beoordeling van het incident.
  • De registratieplicht vraagt dat je bedrijf zich registreert in het entiteitenregister via mijn.ncsc.nl. Daarna houdt je bedrijf die gegevens actueel.
  • De trainingsplicht voor bestuurders vraagt dat elke bestuurder de risico's en de maatregelen kan beoordelen. Elke bestuurder toont dat aan met een certificaat van een training. Volgens de NCTV loopt de termijn voor die kennis- en trainingseis tot 15 augustus 2028.

De zorgplicht is de breedste van de vier. De wet noemt de onderwerpen die in elk geval in je maatregelen terugkomen:

  • een risicoanalyse en een beleid voor de beveiliging van je systemen;
  • de afhandeling van incidenten;
  • bedrijfscontinuïteit, met back-ups, herstelplannen en crisisbeheer;
  • de beveiliging van de keten, met je directe leveranciers en dienstverleners;
  • veilige aanschaf, ontwikkeling en onderhoud van systemen, met de aanpak van kwetsbaarheden;
  • een toets of de maatregelen werken;
  • basishygiëne en training op het gebied van cyberbeveiliging;
  • het gebruik van versleuteling;
  • personeelsbeveiliging, toegangsbeleid en het beheer van je bedrijfsmiddelen;
  • multifactorauthenticatie waar dat passend is.

Een product of tool schrijft de wet niet voor. Wat passend is, hangt af van de risico's en de omvang van je bedrijf.

Wat het kost als je het niet regelt: toezicht en boetes

De Rijksinspectie Digitale Infrastructuur (RDI) houdt toezicht op de Cyberbeveiligingswet, tenzij voor de sector een andere toezichthouder is aangewezen. Bij een essentiële entiteit kijkt de toezichthouder vooraf en achteraf. Bij een belangrijke entiteit gebeurt dat achteraf, als er aanwijzingen zijn voor een overtreding.

Volgens de Cyberbeveiligingswet riskeert een essentiële entiteit een boete tot 10 miljoen euro of 2 procent van de wereldwijde jaaromzet, als dat bedrag hoger is. Een belangrijke entiteit riskeert volgens dezelfde wet een boete tot 7 miljoen euro of 1,4 procent van de wereldwijde jaaromzet. Naast een boete kan de toezichthouder een waarschuwing geven of een bindende aanwijzing opleggen. Ook een bestuurder kan persoonlijk een last onder dwangsom of een boete krijgen als de kennis- en trainingseis niet is nageleefd.

Een boete is niet de enige kostenpost. Een incident kan leiden tot fraude, verlies van gegevens, uitval en schade aan de naam van je bedrijf. En wie het bewijs mist dat klanten onder de wet vragen, kan opdrachten verliezen.

Waar begin je met de Cyberbeveiligingswet als mkb-bedrijf? De eerste vijf stappen

Begin bij de vraag of de wet voor je bedrijf geldt. Kijk pas daarna naar de techniek.

1.        Stel vast of je bedrijf onder de wet valt. Kijk naar je sector en je omvang, gebruik de zelfevaluatie van de overheid en laat de uitkomst juridisch toetsen. Noteer ook welke klanten onder de wet vallen, want van hen komen de vragen.

2.        Registreer je bedrijf als het onder de wet valt. Dat gaat via mijn.ncsc.nl.

3.        Maak een overzicht van wat je hebt: accounts, apparaten, toepassingen, gegevens en leveranciers. Zonder dat overzicht kun je geen risicoanalyse maken.

4.        Regel de basismaatregelen. Zet MFA aan op alle accounts, werk systemen en applicaties bij, test het terugzetten van een back-up en sluit de toegang af als iemand vertrekt.

5.        Leg de meldroute en de besluiten vast. Spreek af wie een incident beoordeelt en meldt, ook in het weekend. Laat het bestuur de maatregelen goedkeuren en plan de training van bestuurders.

Leg bij elke stap vast wat je hebt gedaan. ClickOn begeleidde bij klanten meer dan 25 audits. Alle audits zijn doorstaan. Volgens Hoogeveen kijkt een auditor naar drie dingen: is er beleid, houdt het bedrijf zich eraan en kan het laten zien dat het controleert. Dat laatste vraagt bewijs met een datum, zoals een overzicht van de instellingen, een test met de uitkomst en de opvolging van wat afwijkt.