Achtergrond over de Cyberbeveiligingswet.

Ergens bij je opdrachtgever ligt een lijst met jouw naam erop. Dit is het proces dat hij doorloopt, en wat je per stap kunt neerleggen.

Drie alinea's over cyberbeveiliging in de contractverlenging. Het meeste ervan haal je uit systemen die je al hebt, zonder project en zonder adviesbureau.

In de uitvraag staat ineens een alinea over cyberbeveiliging. Dit is wat er aan de inkoperskant gebeurt, en wat je op elk van die punten kunt aanleveren.

Je opdrachtgever kan bezoek krijgen van een inspecteur. Dat bezoek verloopt in vaste stappen, en het papier dat jij hebt aangeleverd ligt er dan bij.

Geen IT-manager, geen jurist, geen aparte afdeling. Bij een bedrijf van twaalf man ligt de vraag van een opdrachtgever meestal op één bureau: dat van de directeur.

Een extern kostenoverzicht noemt twee bedragen voor een leveranciersverklaring. Ze staan niet voor hetzelfde, en het verschil bepaalt wat dit een leverancier werkelijk kost.

Een beveiligingsabonnement per werkplek lost een reëel probleem op. Het levert alleen niet het document op dat je opdrachtgever vraagt: bewijs dat hij kan opbergen.

Je opdrachtgever belde altijd over tarief en beschikbaarheid. Nu vraagt hij naar wachtwoordbeleid en incidentprotocollen. De eigen brancheorganisatie van uitzendbureaus legt uit waarom, en wat dat voor jou betekent.

Een bestuurder van UWV zei het hardop, in een artikel dat niet over jou leek te gaan. Dit is wat hij zei, en waarom het precies uitlegt wat je opdrachtgever van je wil.

Vanaf 11 september 2026 melden fabrikanten van digitale producten actief misbruikte kwetsbaarheden. Een vervoerder, schoonmaker of uitzender zet geen product op de markt. Waarom die vraag dan toch bij je binnenkomt.

Het stappenplan dat je vindt is voor de organisatie die is aangewezen. Als leverancier registreer je je niet. Wat er bij die registratie gebeurt, en waarom er daarna toch iets bij jou binnenkomt.

De wet geldt sinds 15 augustus 2026 en wijst organisaties aan die hun digitale beveiliging op orde moeten hebben. Jij staat er waarschijnlijk niet tussen. Je opdrachtgever wel, en daar begint jouw verhaal.

Veertig vragen in een spreadsheet, retour binnen twee weken. Ik heb twee sjablonen naast elkaar gelegd en ze naast de wet gelegd. Vier vragen komen in allebei terug, en twee staan nergens in de Cyberbeveiligingswet.

In april 2026 werd een softwareleverancier getroffen door ransomware. Tientallen zorgpraktijken kregen een datalek, zonder dat een van hen zelf was gehackt. Daar gaat ketenverantwoordelijkheid over.

Het NCSC schrijft sinds eind augustus dat je opdrachtgever je cybermaatregelen mag opleggen. Welke, staat er niet bij. In de wet staat wel hoe ver hij mag gaan.

De vraag die iedereen als eerste stelt, en waar het antwoord bijna altijd nee is. Maar dat is niet het einde van het verhaal.

Je opdrachtgever noemt ISO 27001, je vraagt een offerte op en schrikt. Dit is wat het kost, waarom de wet het niet vraagt, en wanneer het toch de moeite is.

Je opdrachtgever vraagt om een verklaring. Er bestaat geen wettelijk model, dus wat zet je erin? Dit is de inhoudsopgave, en waar die vandaan komt.

Een vragenlijst over cyberbeveiliging van een klant die je al jaren kent. Geen aankondiging, geen wetswijziging bij jou. Dit is waar die vraag vandaan komt, en waarom hij nu komt.