Cyberbeveiligingswet: deze maatregelen moet je nemen

Je hebt back-ups. Toegangsbeheer met MFA (multifactorauthenticatie). Afspraken met je hostingpartij. Iemand die belt als er iets misgaat. Vraag je het team, dan is het antwoord: ja, dat is geregeld. En dan vraagt een opdrachtgever, of een toezichthouder, of je dat kunt laten zien. Wanneer is die herstelprocedure voor het laatst getest? Wie is eigenaar van dat proces? Waar staat de afspraak met die leverancier op papier? Het is er allemaal wel, maar verspreid over vier mensen, drie mappen en een paar gesprekken die nooit zijn vastgelegd.

Dat verschil, tussen geregeld hebben en kunnen aantonen, is waar de Cyberbeveiligingswet over gaat. In deze blog leggen we uit wat de wet precies vraagt, waarom bewijs het echte knelpunt is, en wat er gebeurt als je er zelf niet onder valt maar wel levert aan iemand die er wel onder valt.

Auteur: Allard Rothengatter

Gepubliceerd: 13 oktober, 2026

Wat er sinds 15 augustus geldt

De Cyberbeveiligingswet is de Nederlandse uitwerking van de Europese NIS2-richtlijn. De Tweede Kamer nam het voorstel aan op 15 april 2026, de Eerste Kamer op 7 juli, en op 15 augustus 2026 is de wet in werking getreden. Ruim achtduizend Nederlandse organisaties vallen er direct onder, in sectoren als energie, drinkwater, zorg, transport, overheid en digitale infrastructuur. Er is geen overgangstermijn: de verplichtingen golden vanaf dag één.

De wet kent drie verplichtingen:

De registratieplicht

Wie onder de wet valt, registreert zich in het entiteitenregister via mijn.ncsc.nl.

De zorgplicht

Passende technische, operationele en organisatorische maatregelen om risico’s te beheersen, uitgewerkt in het Cyberbeveiligingsbesluit en per sector in afzonderlijke regelingen. Hieronder valt uitdrukkelijk ook de beveiliging van je toeleveringsketen.

De meldplicht

Bij een significant incident volgt een vroegtijdige waarschuwing binnen 24 uur, een inhoudelijke melding binnen 72 uur en een eindverslag binnen een maand. Raakt het incident de dienstverlening aan je klanten, dan moet je die ook informeren.

Mogelijke sancties

De sancties zijn fors. Voor essentiële entiteiten lopen de boetes op tot 10 miljoen euro of 2 procent van de wereldwijde jaaromzet, voor belangrijke entiteiten tot 7 miljoen of 1,4 procent. Daarbij ligt de verantwoordelijkheid expliciet bij het bestuur: dat moet de maatregelen goedkeuren en zich laten trainen, en kan zelf een boete of last onder dwangsom krijgen.

Eén nuance die in veel samenvattingen ontbreekt: de wet schrijft geen specifieke norm of certificering voor. ISO 27001 is niet verplicht. Wat telt is of je maatregelen passend zijn bij jouw risico’s, en of je dat kunt onderbouwen.

Geregeld is niet hetzelfde als aantoonbaar

In de toezichtstaal van de RDI (Rijksinspectie Digitale Infrastructuur, één van de toezichthouders op de Cyberbeveiligingswet) komt één woord steeds terug: aantoonbaar. Je moet je risico's aantoonbaar beheersen. Dat is geen juridische franje, het is de hele crux.

Want in vrijwel elke organisatie geldt hetzelfde patroon. De maatregelen bestaan. Ze zijn ooit ingevoerd door iemand die wist waarom. Maar ze zijn nergens samengebracht, niemand is formeel eigenaar, en er is geen moment waarop iemand controleert of het nog klopt. Op de dag dat er wordt gevraagd om bewijs, moet je het gaan reconstrueren, en reconstrueren onder tijdsdruk is precies wanneer je ontdekt dat de herstelprocedure sinds vorig jaar niet meer is getest.

De RDI werkt met een eigen toezichtkader. Na een inspectie bespreekt de inspectie de uitkomsten met je en kan ze je verplichten een verbeterplan te maken. Pas daarna komen sancties in beeld. Dat klinkt mild, en in zekere zin is het dat ook. Maar het betekent wel dat de eerste vraag die je krijgt een bewijsvraag is, en dat je positie vanaf dat moment bepaald wordt door wat je op tafel kunt leggen.

"De vraag is zelden of iets geregeld is. De vraag is wie het weet, waar het staat, en wanneer het voor het laatst is gecontroleerd."

– Allard Rothengatter, CEO van Dolphiq

Waar het in de praktijk vastloopt

Vier patronen die we telkens terugzien, bij onszelf en bij opdrachtgevers.

Verlopen bewijs

De documenten zijn er wel

Maar ze zijn twee jaar verlopen

Een hersteltest, een risicoanalyse, een leveranciersbeoordeling: allemaal een keer gedaan. Zonder herzieningsmoment verlopen ze stilletjes. Een document zonder datum van laatste controle is in een gesprek met een toezichthouder of opdrachtgever weinig waard.

Geen eigenaar

Iedereen denkt dat iemand anders het doet

Dus niemand doet het

Zonder naam bij een maatregel blijft hij liggen op het moment dat het druk wordt. Dit is ook de reden dat verbeterpunten uit een audit vaak een jaar later nog open staan.

Mondelinge afspraken

Je vertrouwt elkaar

Maar vertrouwen is geen bewijs

Je hostingpartij belt je als er iets is. Prima, maar staat die meldtermijn ook in het contract? Dit is het punt waar ketenbeveiliging in de praktijk op stukloopt: de afspraak bestaat, alleen niet op papier.

Een ongetest meldproces

Vierentwintig uur is korter dan het lijkt

Zeker op vrijdagavond

De eerste termijn begint te lopen op het moment dat je kennis krijgt van het incident. Iemand moet dan kunnen beoordelen of het significant is, en weten waar gemeld wordt. Dat lukt alleen als het proces bestaat en een keer is doorlopen.

Je klant valt eronder, jij niet

Hier wordt het voor veel bedrijven concreet. De zorgplicht verplicht organisaties ook om de beveiliging van hun toeleveringsketen te regelen, inclusief de relaties met hun rechtstreekse leveranciers en dienstverleners. Sinds augustus betekent dat post: vragenlijsten, certificeringseisen, nieuwe contractclausules.

Hier is wat daarbij zelden hardop wordt gezegd. Val je zelf niet onder de wet, dan legt de wet jou ook geen verplichtingen op. Het NCSC stelt het nuchter: leveranciers die er zelf niet onder vallen, kunnen wel eisen verwachten van klanten die er wel onder vallen. Je onderhandelt dus over eisen, je voert geen wet uit. Dat onderscheid bepaalt de toon van het gesprek, en het betekent ook dat de eisen proportioneel moeten zijn aan wat jij levert. Toch is het verstandig om de vraag serieus te nemen, en niet om juridische redenen. Een opdrachtgever die geen bewijs van je krijgt, heeft een probleem in zijn eigen dossier.

In aanbestedingen en bij contractverlengingen is dat een reden om voor iemand anders te kiezen. Voordat je concludeert dat de wet niet over jou gaat, één sector uit bijlage 1 die vaak over het hoofd wordt gezien: beheer van ICT-diensten tussen bedrijven onderling, waaronder aanbieders van beheerde diensten en beheerde beveiligingsdiensten. Die categorie geldt als essentiële entiteit, met proactief toezicht door de RDI. De omvangsdrempel ligt bij vijftig medewerkers, waarbij cijfers van verbonden ondernemingen meetellen. Een kleine werkmaatschappij binnen een grotere groep kan er dus alsnog onder vallen. Ben je een financiële entiteit, dan val je op grond van artikel 7 juist buiten deze wet en geldt DORA.

"Je onderhandelt over eisen, je voert geen wet uit. Dat scheelt nogal in de toon van het gesprek."

– Allard Rothengatter, CEO van Dolphiq

Waarom wij het doen terwijl het niet hoeft

Dolphiq valt niet onder de Cyberbeveiligingswet. Twaalf mensen, ongeveer een miljoen omzet: daarmee zitten we ruim onder elke drempel. We hebben er desondanks voor gekozen om het in te richten en eraan te voldoen.

Niet omdat we dachten dat het moest. Wel omdat we aan de ontvangende kant van die vragenlijsten zitten, en omdat we bij onszelf precies het probleem aantroffen dat hierboven staat. We hadden al veel: leveranciersbeoordelingen, toegangsbeleid, databeleid, AI-beleid, een proces voor het melden van incidenten. Alleen was het versnipperd. De inhoud was er, het overzicht niet. Op de vraag "laat eens zien" hadden we een middag nodig gehad.

Dat is ook de reden dat we er software voor zijn gaan bouwen: om inzichtelijk te krijgen waar we staan en bij te houden wat er nog moet gebeuren. Dezelfde reden waarom we AI-geschreven code door dezelfde controles halen als handwerk: als je iets belangrijk vindt, moet je het kunnen aanwijzen.

Zo maak je je beveiliging aantoonbaar

Of je nu onder de wet valt of niet, de praktische volgorde is dezelfde. Breng in kaart welke maatregelen je hebt en waar het bewijs daarvan staat. Zet er een naam bij. Spreek af wanneer het opnieuw wordt gecontroleerd. En loop je meldproces een keer door voordat je het nodig hebt.

Dat is geen compliance-project. Het is gewoon weten hoe je ervoor staat, en dat is sowieso prettig.

Wil je sparren over waar jouw organisatie staat, of over wat je moet met de vragenlijst die op je bureau belandde? Neem contact op. We denken graag mee, ook als de uitkomst is dat je ons er niet bij nodig hebt.

Veelgestelde vragen over de Cyberbeveiligingswet

Dat hangt af van je sector en je omvang. De wet werkt met twee bijlagen van sectoren en een omvangsdrempel die in de regel bij vijftig medewerkers ligt, waarbij cijfers van verbonden ondernemingen meetellen. Voor sommige typen organisaties geldt de wet ongeacht omvang. Je moet zelf vaststellen of je eronder valt. De RDI (Rijksinspectie Digitale Infrastructuur) biedt daarvoor een zelfevaluatie aan.
Op 15 augustus 2026, tegelijk met de Wet weerbaarheid kritieke entiteiten. De Tweede Kamer nam het voorstel aan op 15 april 2026, de Eerste Kamer op 7 juli. Er is geen overgangstermijn: registratieplicht, zorgplicht en meldplicht gelden sindsdien onverkort.
Een vroegtijdige waarschuwing binnen 24 uur nadat je kennis kreeg van het significante incident, een inhoudelijke melding binnen 72 uur en een eindverslag binnen een maand. Melden gaat via het meldpunt op MijnNCSC. Raakt het incident je dienstverlening aan klanten, dan moet je die ook informeren.
Nee. De wet schrijft geen specifieke norm of certificering voor. Een certificering kan helpen om aan te tonen dat je maatregelen op orde zijn, maar dekt niet automatisch de volledige zorgplicht, en het ontbreken ervan is geen overtreding.
Dan legt de wet jou geen verplichtingen op, maar mag je opdrachtgever wel beveiligingseisen aan je stellen, omdat hij zijn eigen toeleveringsketen moet beheersen. Die eisen moeten proportioneel zijn aan wat je levert en aan de afhankelijkheid die hij van je heeft. In de praktijk gaat het om kunnen laten zien hoe je het geregeld hebt.