Per 1 juli 2026 is de Cyberbeveiligingswet in werking getreden. Dit is de Nederlandse implementatie van de Europese NIS2-richtlijn. Zonder overgangsperiode. Zonder uitstel. Ben jij er klaar voor?
Voor veel MKB-ondernemers was 1 juli ook de dag waarop de Microsoft 365-prijzen stegen. Begrijpelijk dat dat de aandacht trok, maar de Cyberbeveiligingswet verdient minstens zoveel urgentie. Want waar een prijsverhoging je portemonnee raakt, raakt deze wet je aansprakelijkheid als bestuurder.
In dit artikel leggen we uit wat de wet precies inhoudt, wie er onder valt, welke drie verplichtingen gelden en wat je de komende weken concreet moet doen.
Wat is er precies gebeurd?
De Cyberbeveiligingswet (Cbw) vervangt de Wet beveiliging netwerk- en informatiesystemen (Wbni) en implementeert de Europese NIS2-richtlijn in Nederland. De wet is op 1 juli 2026 in werking getreden. Er is geen overgangsperiode: wie eronder valt, moet nu aan de eisen voldoen.
Twee andere veranderingen die samengaan met de inwerkingtreding:
- NCSC en DTC samengevoegd Het Nationaal Cyber Security Centrum en het Digital Trust Center zijn samengegaan. Het NCSC is nu het centrale loket voor incidentmeldingen, adviezen en richtlijnen voor álle sectoren, inclusief MKB.
- Keurmerk Digitale Basisveiligheid MKB Het Centrum voor Criminaliteitspreventie en Veiligheid (CCV) lanceerde een certificering waarmee ICT-dienstverleners aantoonbaar kunnen maken dat ze de cyberbeveiligingsmaatregelen professioneel uitvoeren. Een bruikbaar ankerpunt als je wilt kunnen aantonen dat je IT-partner betrouwbaar is.
De NIS2-richtlijn bestaat al langer op Europees niveau. Maar veel organisaties hebben gewacht op de Nederlandse wet. Die is er nu. Het wachten is voorbij.
Valt mijn bedrijf er onder?
Dit is de vraag die we het meest horen. Het antwoord hangt af van je sector, omvang en positie in de keten.
Directe verplichtingen
De wet richt zich op organisaties in 18 essentiële sectoren: energie, drinkwater, transport, bankwezen, financiële marktinfrastructuren, gezondheidszorg, digitale infrastructuur, beheer van ICT-diensten, overheidsdiensten, ruimtevaart, post en koerier, afvalwater, afvalstoffenbeheer, fabricage van kritieke producten, digitale aanbieders, onderzoek en voedsel.
Binnen die sectoren gelden twee niveaus:
- Essentiële entiteiten: 250+ medewerkers OF omzet ≥ €50 miljoen én balanstotaal ≥ €43 miljoen
- Belangrijke entiteiten: 50+ medewerkers OF omzet ≥ €10 miljoen
Kleine bedrijven (onder 50 medewerkers) vallen in principe niet direct onder de wet, maar er is een belangrijke uitzondering: bepaalde sectoren (DNS-aanbieders, TLD-registers, overheidsdiensten, sommige kritieke infrastructuur) kunnen ook kleinere spelers verplichten.
Indirecte verplichtingen: de leveranciersketen
Hier zit de grote verrassing voor het MKB. Artikel 21.2d van de Cyberbeveiligingswet verplicht directe entiteiten om de beveiliging van hun leveranciers te beoordelen en contractueel vast te leggen. Kritieke leveranciers moeten jaarlijks gecontroleerd worden.
Dat betekent: als jij software levert aan een ziekenhuis, logistieke diensten aanbiedt aan een energiebedrijf, of IT-beheer verzorgt voor een financiële instelling, dan word jij ook als klein bedrijf gevraagd te bewijzen dat jij aan de beveiligingseisen voldoet.
Naar schatting zijn circa 50.000 MKB-bedrijven in Nederland indirect geraakt via deze leveranciersverantwoordelijkheid.
Weet je niet zeker of jij eronder valt? Gebruik de gratis zelfevaluatietool op zelfevaluatie.rdi.nl. Vijf minuten werk. Je weet daarna precies waar je staat.
De drie kernverplichtingen
Als jouw organisatie direct onder de Cyberbeveiligingswet valt, gelden drie wettelijke verplichtingen:
1. Zorgplicht
Je moet aantoonbaar technische en organisatorische maatregelen nemen om risico’s voor je netwerk- en informatiesystemen te beheersen. Dit zijn geen zachte aanbevelingen — de wet schrijft 10 concrete maatregelen voor (zie hieronder). Niet implementeren = niet voldoen.
2. Meldplicht
Bij een ernstig cyberincident, een incident dat de continuïteit van je diensten significant verstoort of andere ketenpartners raakt — moet je:
- Binnen 24 uur een eerste melding doen bij het NCSC
- Binnen 72 uur een volledig incidentrapport indienen
- Binnen 1 maand een eindrapport met analyses en vervolgmaatregelen aanleveren
Dit vereist dat je incidentresponsprocessen op orde hebt voordat er een incident plaatsvindt. Niet achteraf regelen.
3. Registratieplicht
Organisaties die direct onder de wet vallen, moeten zich registreren bij de toezichthouder. Hiervoor geldt een wettelijke termijn na de inwerkingtreding. Nog niet geregistreerd? Zet dit als eerste punt op de agenda, het is de formele basis voor alle verdere verplichtingen.
De 10 maatregelen van de zorgplicht
De zorgplicht concretiseert zich in tien verplichte maatregelen. Hier lopen de meeste organisaties tegenaan. Dit is waar de echte implementatiewerk zit:
- Risicoanalyse — Breng systematisch in kaart welke dreigingen en kwetsbaarheden je systemen en processen raken. Documenteer dit. Herhaal het periodiek.
- Incident response — Zorg voor gedocumenteerde processen om incidenten te detecteren, te beoordelen, te beheersen en te melden. Met duidelijke rollen en escalatiepaden.
- Bedrijfscontinuïteit — Betrouwbare back-ups, geteste herstelplannen en crisismanagement. Een back-up die niet getest is, is geen back-up.
- Leveranciersbeveiliging — Beoordeel de beveiliging van leveranciers en verwerk beveiligingseisen in contracten. Jaarlijkse controle voor kritieke leveranciers.
- Cyberhygiëne — Tijdige patching, veilige configuraties, multi-factor authenticatie (MFA) en bewustzijnstraining voor medewerkers.
- Systeembeveiliging — Bescherm systemen tegen ongeautoriseerde toegang gedurende hun volledige levenscyclus: van ingebruikname tot uitfasering.
- Personeel en toegangsbeheer — Minimale rechten, duidelijke toegangscontrole, screeningen waar relevant en een actueel overzicht van systemen en wie er toegang toe heeft.
- Sterke authenticatie — Phishing-resistente authenticatiemethoden zoals hardware-tokens of passkeys, naast of in plaats van wachtwoorden. MFA is hierbij de absolute minimumvereiste.
- Cryptografiebeleid — Vastgelegde normen voor versleuteling van data in rust en in transit. Inclusief beleid voor sleutelbeheer.
- Effectiviteitsmeting — Regelmatig testen of maatregelen daadwerkelijk werken: interne audits, penetratietests en technische beoordelingen.
Voor de meeste MKB-bedrijven zijn maatregelen 1, 3, 5 en 7 het meest urgent, en ook het meest praktisch aan te pakken. Voor de technische implementatie van deze maatregelen via Microsoft 365, lees ook ons artikel NIS2 en AVG in de praktijk: maak compliance aantoonbaar.
Wat zijn de risico’s als je niets doet?
De Cyberbeveiligingswet heeft tanden. Dit zijn geen vrijblijvende richtlijnen.
Boetes
- Essentiële entiteiten: maximale boete van €10 miljoen of 2% van de wereldwijde jaaromzet (het hoogste bedrag geldt)
- Belangrijke entiteiten: maximale boete van €7 miljoen of 1,4% van de jaaromzet
Persoonlijke aansprakelijkheid
Bestuurders en directieleden kunnen persoonlijk aansprakelijk worden gesteld bij grove nalatigheid. Dit gaat verder dan een boete voor de organisatie, dit raakt het privévermogen van leidinggevenden.
Verlies van opdrachten
Grote opdrachtgevers overheden, zorginstellingen, energiebedrijven zijn verplicht hun leveranciers te screenen op naleving. Wie niet kan aantonen dat hij aan de beveiligingseisen voldoet, riskeert van de leverancierslijst te worden geschrapt. Voor MKB-bedrijven die een groot deel van hun omzet van dergelijke klanten halen, is dit existentieel.
Reputatieschade
Cyberincidenten die publiek worden via de meldplicht of via media raken het klantvertrouwen direct. Zeker voor MKB-bedrijven in sectoren als zorg, juridische dienstverlening of financiën, waar vertrouwelijkheid en betrouwbaarheid kernelementen zijn van de klantrelatie.
Wat moet een MKB-bedrijf nú doen?
Hier is een concreet actieplan voor de komende weken:
Stap 1: Controleer of je er direct of indirect onder valt
Ga naar zelfevaluatie.rdi.nl en vul je sector en omvang in. Dit geeft je binnen vijf minuten duidelijkheid. Kom je eruit als directe entiteit, ga dan direct door naar stap 2. Kom je eruit als indirecte entiteit (leverancier), bereid je dan voor op vragen van je klanten over jouw beveiliging.
Stap 2: Registreer je organisatie
Val je direct onder de wet? Registreer je dan zo snel mogelijk bij de toezichthouder. Uitstel vergroot het risico op handhaving en maakt het moeilijker om aan te tonen dat je te goeder trouw handelt.
Stap 3: Voer een risicoanalyse uit
Maatregel 1 is de basis voor alles. Zet op papier welke systemen, processen en data kritiek zijn. Welke dreigingen zijn reëel voor jouw branche? Wat zijn de kwetsbaarheden? Dit hoeft niet perfect te zijn op dag één, een gedocumenteerde, eerlijke analyse is al aanzienlijk beter dan niets.
Stap 4: Regel de technische basis op orde
De meeste technische maatregelen zijn direct te implementeren via je bestaande Microsoft 365-omgeving:
- MFA op alle accounts — via Entra ID (Azure AD), inclusief Conditional Access-beleid
- Automatisch patchbeheer — via Windows Update for Business of Microsoft Intune
- Getest back-upproces — inclusief hersteltest, niet alleen een back-up die “ergens staat”
- Toegangscontrole-audit — wie heeft toegang tot wat? Zijn er inactieve accounts? Zijn rechten minimaal?
Onze Microsoft Cloud-diensten helpen je deze maatregelen snel en goed in te richten.
Stap 5: Documenteer alles
“Aantoonbaar” is het sleutelwoord in de zorgplicht. Maatregelen die niet gedocumenteerd zijn, bestaan niet voor een toezichthouder. Leg vast:
- Je risicoanalyse
- Welke controls je hebt geïmplementeerd
- Je incidentresponsplan (wie doet wat bij een incident?)
- Resultaten van testen en audits
Stap 6: Beoordeel je leveranciers
Als directe entiteit ben jij verantwoordelijk voor de beveiliging van je leveranciersketen. Vraag aan kritieke leveranciers om bewijs van hun beveiligingsmaatregelen. Acceptabele bewijsvormen:
- ISO 27001-certificaat
- SOC 2 Type II-rapport
- Het nieuwe Keurmerk Digitale Basisveiligheid MKB van het CCV
- NIS2-SC10 certificering voor leveranciers
Stap 7: Bereid incidentrespons voor
De 24-uurs meldplicht vereist dat je weet wat een “ernstig incident” is, hoe je het detecteert en wie er intern verantwoordelijk is voor de melding. Stel een simpel draaiboek op. Oefen het. En zorg dat je de contactgegevens van het NCSC bij de hand hebt: ncsc.nl.
Hoe kan MonkeySoft hierbij helpen?
MonkeySoft helpt MKB-bedrijven in Noord-Holland en heel Nederland met het aantoonbaar voldoen aan de Cyberbeveiligingswet. Geen bureaucratisch compliance-traject, maar pragmatische implementatie die aansluit op jouw bestaande systemen.
Microsoft 365-beveiligingsconfiguratie
Veel van de 10 maatregelen zijn direct te implementeren via Microsoft 365 en Entra ID: MFA, Conditional Access, Data Loss Prevention, Microsoft Intune voor apparaatbeheer en automatisch patchbeheer. We richten je tenant in volgens best practices en leveren documentatie voor de toezichthouder. Bekijk onze Microsoft Cloud-diensten.
Backup & Continuïteit (maatregel 3)
Een getest herstelplan is verplicht. Onze Backup & Continuïteit-aanpak op basis van Acronis levert dagelijkse back-ups, automatische herstelcontroles en gedocumenteerde RTO/RPO-afspraken, precies wat je nodig hebt als bewijs voor de zorgplicht.
Compliance-automatisering (maatregel 10)
Via onze automatiseringsdiensten zetten we compliance-rapportage en -documentatie zo veel mogelijk op automatisch. Denk aan geautomatiseerde toegangsaudits, patchrapportages en beveiligingssignalering, minder handmatig werk, meer aantoonbaarheid.
Licentie- en assetbeheer (maatregel 7)
Met AssetsMonkey houd je bij welke systemen en licenties er zijn, wie er toegang toe heeft en wanneer ze verlopen. Onmisbaar voor een up-to-date asset-inventaris, een van de basisvereisten van de zorgplicht.
Neem contact op via monkeysoft.nl/contact of bel ons direct. We plannen een gratis inventarisatiegesprek in en bepalen samen welke stappen voor jouw organisatie het meest urgent zijn, en hoe je ze het snelst kunt aantonen.
Veelgestelde vragen
- Valt mijn MKB-bedrijf onder de Cyberbeveiligingswet?
- Directe verplichtingen gelden voor organisaties in 18 essentiële sectoren met 50+ medewerkers of €10M+ omzet. Kleinere bedrijven vallen er indirect onder als leverancier van een directe entiteit. Gebruik de zelfevaluatietool op zelfevaluatie.rdi.nl voor zekerheid.
- Is er een overgangsperiode?
- Nee. De Cyberbeveiligingswet is op 1 juli 2026 in werking getreden zonder overgangsperiode. Organisaties die eronder vallen, moeten nu aan de eisen voldoen.
- Wat zijn de drie kernverplichtingen van de Cyberbeveiligingswet?
- (1) Zorgplicht — 10 verplichte beveiligingsmaatregelen implementeren en aantonen; (2) Meldplicht ernstige cyberincidenten binnen 24 uur melden bij het NCSC; (3) Registratieplicht je organisatie registreren bij de toezichthouder.
- Welke boetes kunnen worden opgelegd?
- Essentiële entiteiten riskeren boetes tot €10 miljoen of 2% van de wereldwijde jaaromzet. Belangrijke entiteiten tot €7 miljoen of 1,4%. Bestuurders kunnen bij grove nalatigheid ook persoonlijk aansprakelijk worden gesteld.
- Hoe toon ik aan dat ik aan de wet voldoe?
- Door de 10 maatregelen van de zorgplicht aantoonbaar te implementeren en te documenteren. Risicoanalyses, audit-logs, geteste herstelplannen en toegangscontrole-rapporten vormen het bewijsdossier. Het Keurmerk Digitale Basisveiligheid MKB (CCV) biedt een aanvullende certificering voor IT-dienstverleners.
- Geldt de Cyberbeveiligingswet ook als ik leverancier ben aan een grote organisatie?
- Indirect wel. Directe entiteiten zijn verplicht hun leveranciers te screenen en beveiligingseisen contractueel vast te leggen. Kritieke leveranciers worden jaarlijks gecontroleerd. Wie niet kan aantonen aan de eisen te voldoen, riskeert het verlies van de opdracht.
Conclusie
De Cyberbeveiligingswet is geen toekomstige dreiging meer. Hij is vanaf 1 juli 2026 van kracht. Geen overgangsperiode, geen zachte landing.
De drie verplichtingen zorgplicht, meldplicht en registratieplicht vragen om actie nu. De gevolgen van niet-handelen zijn concreet: boetes tot €10 miljoen, persoonlijke aansprakelijkheid voor bestuurders en het risico op verlies van klanten en opdrachten.
De goede nieuwsboodschap: wie al werkt met Microsoft 365 Business Premium heeft een sterke technische basis om aan de meeste maatregelen te voldoen. Het gaat nu vooral om het inrichten, documenteren en aantoonbaar maken.
De drie acties voor deze week:
- Controleer via zelfevaluatie.rdi.nl of je direct of indirect verplicht bent
- Registreer je organisatie als dat vereist is
- Start een risicoanalyse, ook als die nog niet perfect is
Heb je hulp nodig? Neem contact op met MonkeySoft — we helpen je snel en pragmatisch compliant worden.
Bronnen: NCSC.nl | Samen Digitaal Veilig — Cyberbeveiligingswet aangenomen | MKB Cyber Campus — Cyberbeveiligingswet door de Tweede Kamer | RDI Zelfevaluatietool