Cyberbeveiligingswet (NIS2): wat betekent het voor jouw mkb-bedrijf?
Sinds 15 augustus 2026 is de Cyberbeveiligingswet van kracht. Dat is de Nederlandse invulling van de Europese NIS2-richtlijn. De Eerste Kamer stemde op 7 juli 2026 in met de wet. Misschien denk je: dat is iets voor grote bedrijven. Deels klopt dat. Maar ook als je er zelf niet onder valt, ga je de gevolgen merken. In dit artikel lees je wat de wet inhoudt, voor wie hij geldt en wat je als mkb-bedrijf nu al kunt doen.
Wat is de Cyberbeveiligingswet?
De wet moet ervoor zorgen dat organisaties die belangrijk zijn voor de samenleving en de economie beter beschermd zijn tegen digitale dreigingen. Denk aan een ransomware-aanval die een bedrijf dagen platlegt, of een storing bij een leverancier waardoor klanten niet meer geholpen kunnen worden. De wet stelt eisen aan hoe organisaties hun risico's beheersen en hoe ze omgaan met incidenten.
Voor wie geldt de wet?
De wet geldt voor ruim 8.000 organisaties in Nederland. Het gaat om sectoren als energie, drinkwater, digitale infrastructuur, zorg, overheid en transport. In de regel gaat het om middelgrote en grote organisaties: vanaf 50 medewerkers of € 10 miljoen omzet.
Let op: er is geen instantie die je een brief stuurt met de mededeling dat je eronder valt. Organisaties moeten zelf beoordelen of de wet op hen van toepassing is. Twijfel je, zoek het dan uit. Dat is beter dan er achteraf achter komen.
Wat moet je doen als je eronder valt?
Valt je organisatie onder de wet, dan krijg je te maken met vier hoofdverplichtingen:
- Registreren bij het NCSC (Nationaal Cyber Security Centrum).
- Zorgplicht: je neemt passende maatregelen om de risico's voor je netwerk- en informatiesystemen te beheersen.
- Meldplicht: significante incidenten meld je volgens een vast schema. Een vroege waarschuwing binnen 24 uur, een melding binnen 72 uur en een eindrapport binnen een maand.
- Verantwoordelijkheid van het bestuur: de directie is eindverantwoordelijk voor het beheersen van cyberrisico's. Dit kun je dus niet volledig afschuiven op je IT-leverancier.
Waarom dit ook voor kleinere bedrijven belangrijk is
Hier zit het punt dat veel mkb-bedrijven nog niet zien. Organisaties die wel onder de wet vallen, moeten ook hun keten en hun kritieke leveranciers beheersen. Ben jij leverancier van zo'n organisatie, dan krijg je daar vragen over. Hoe heb je je beveiliging geregeld? Gebruik je meervoudige authenticatie? Worden je back-ups getest? Wat doe je als er een incident is?
Die vragen komen niet alleen van klanten. Ook verzekeraars en banken stellen steeds vaker eisen aan de digitale weerbaarheid van bedrijven. Wie die vragen niet goed kan beantwoorden, loopt het risico een opdracht, een verzekering of financiering mis te lopen.
Wat kun je nu al doen?
Je hoeft niet te wachten tot er een vragenlijst in je mailbox ligt. Met deze stappen sta je er een stuk sterker voor:
- Ga na of je onder de wet valt. Kijk naar je sector, je omvang en je omzet. En kijk ook naar je klanten: vallen zij eronder, dan krijg je er indirect mee te maken.
- Weet welke IT-leveranciers kritiek zijn. Welke partijen heb je echt nodig om door te kunnen werken? En wat staat er in de contracten met die partijen over beveiliging, beschikbaarheid en incidenten?
- Zorg dat de basis op orde is. Meervoudige authenticatie (MFA) op alle accounts, back-ups die je ook echt hebt getest, updates die op tijd worden geïnstalleerd en een goed toegangsbeheer. Wie heeft toegang tot wat, en klopt dat nog?
- Maak een incidentplan. Wat doe je als het misgaat? Wie bel je, wie besluit wat en hoe communiceer je met klanten? Een simpel plan op papier is al veel beter dan niets.
- Zorg dat iemand namens de directie het overzicht houdt. Je IT-leverancier regelt de techniek, maar iemand moet aan jouw kant de regie voeren, de juiste vragen stellen en bijhouden of afspraken worden nagekomen.
Waar de IT-manager op afroep in beeld komt
Die laatste stap is voor veel mkb-bedrijven het lastigst. Je hebt een IT-leverancier, maar niemand in huis die de vragen van klanten, verzekeraars en banken kan vertalen naar concrete acties. Dat is precies wat een IT-manager op afroep doet. Wij staan aan jouw kant, brengen in kaart waar je staat en zorgen samen met je leverancier dat de basis op orde komt.
Wil je weten waar jouw bedrijf staat? Begin met een nulmeting. Je krijgt een helder overzicht van je IT-omgeving, leveranciers en risico's, met concrete acties. Plan een kennismaking.