Wat is de Cyberbeveiligingswet?

Een inkoper stuurt je een vragenlijst. Veertig vragen over wachtwoorden, back-ups en wie er bij je systemen kan. Bovenaan staat een zin over de Cyberbeveiligingswet, en verder legt niemand uit wat dat is.

Het korte antwoord eerst. De wet gaat niet over jou, hij gaat over je opdrachtgever. Wat die van hem moet, schuift hij door via zijn inkoop, en zo komt het bij jou op tafel.

Wat er op 15 augustus is gaan gelden

De Cyberbeveiligingswet is gepubliceerd in Staatsblad 2026, 187 en geldt sinds 15 augustus 2026. Hij zet de Europese NIS2-richtlijn om in Nederlands recht. Daarom lopen die twee namen door elkaar. NIS2 is de richtlijn uit Brussel, de Cyberbeveiligingswet is de Nederlandse wet die eruit volgt.

De wet wijst organisaties aan en geeft ze drie dingen mee. Maatregelen nemen, dat heet de zorgplicht. Incidenten doorgeven, dat heet de meldplicht. En zich aanmelden in een register. Wie niet is aangewezen, heeft geen van die drie.

Wie de wet aanwijst

Er zijn twee vragen, en op allebei moet het antwoord ja zijn. Zit de organisatie in een sector uit bijlage 1 of bijlage 2 van de wet? En haalt zij de omvangsdrempel?

In bijlage 1 staan de sectoren met de zwaarste rol. Energie, vervoer, bankwezen, infrastructuur voor de financiële markt, gezondheidszorg, drinkwater, afvalwater, digitale infrastructuur, beheer van ICT-diensten tussen bedrijven, overheid en ruimtevaart. Bijlage 2 draagt de rest: post en koeriersdiensten, afvalstoffenbeheer, chemische stoffen, levensmiddelen, een aantal takken van de maakindustrie, digitale aanbieders en onderzoek.

De omvangsdrempel volgt de Europese mkb-definitie. Middelgroot begint bij vijftig medewerkers, of bij een jaaromzet en een balanstotaal die allebei boven de tien miljoen euro liggen. Groot begint bij tweehonderdvijftig medewerkers, of bij een omzet boven vijftig miljoen met een balanstotaal boven drieënveertig miljoen.

Zit een organisatie in bijlage 1 en is zij groot, dan heet zij essentieel. In de andere combinaties heet zij belangrijk. Dat verschil bepaalt hoe streng het toezicht op haar is. Voor jou verandert het niets, want allebei moeten ze naar hun leveranciers kijken.

Staat jouw eigen sector niet in een van de twee bijlagen, dan houdt het daar voor jou op. Val ik als onderaannemer onder NIS2? loopt die vraag na, inclusief de plek waar de meeste mensen struikelen.

Wat een aangewezen organisatie moet doen

Artikel 21 is het hart van de wet, en het eerste lid zet de toon.

“De essentiële entiteit of belangrijke entiteit neemt passende en evenredige technische, operationele en organisatorische maatregelen om de risico's voor de beveiliging van de netwerk- en informatiesystemen, die zij voor haar werkzaamheden of voor het verlenen van haar diensten gebruikt, te beheersen.”

Artikel 21, eerste lid, Cyberbeveiligingswet (Stb. 2026, 187)

Passend en evenredig zijn de woorden die de rest bepalen. Er staat geen checklist in de wet en geen norm die gehaald moet worden. Het NCSC werkt de zorgplicht uit in tien maatregelen.

• Maak een risicoanalyse
• Richt incidentrespons in
• Bereid je voor op uitval
• Maak je toeleveringsketen veilig
• Zorg dat cyberhygiëne op orde is
• Beveilig netwerk- en informatiesystemen
• Regel beveiliging van personeel, toegang en assets
• Gebruik passkeys of meervoudige authenticatie
• Stel cryptografiebeleid op
• Beoordeel of de maatregelen werken

De organisatie meldt zich ook aan. Dat gaat in het entiteitenregister via MijnNCSC, met eHerkenning of SSOnRijk, en daarna krijgt zij toegang tot het CSIRT van haar sector. Hoe dat werkt en wat het voor jou betekent staat in Registreren voor de Cyberbeveiligingswet.

En zij meldt incidenten, in drie stappen. Binnen vierentwintig uur een vroegtijdige waarschuwing. Binnen tweeënzeventig uur een incidentmelding met een eerste beoordeling van de ernst. Binnen een maand een eindverslag met de oorzaak en de genomen maatregelen. Die klok begint op het moment dat zij kennis krijgt van het incident, niet na het onderzoek.

Het onderdeel dat over jou gaat

Een van de onderdelen van artikel 21 gaat over de partijen om de organisatie heen.

“de beveiliging van de toeleveringsketen, met inbegrip van beveiligingsgerelateerde aspecten met betrekking tot de relaties tussen de entiteit en haar rechtstreekse leveranciers of dienstverleners”

Artikel 21, derde lid, onderdeel d, Cyberbeveiligingswet

Lees wie er wordt aangesproken. De entiteit, dus je opdrachtgever. Hij moet zijn keten beveiligen, en dat kan hij niet zonder iets van jou. Daar komt die vragenlijst vandaan. Het woord rechtstreekse doet ook werk: de wet reikt tot de partijen waar hij zelf een contract mee heeft, en niet verder.

Het lid daarna zegt waar hij per leverancier op moet letten: de specifieke kwetsbaarheden van die leverancier, en de algemene kwaliteit van diens producten en beveiligingspraktijken. Dat betekent dat een schoonmaker en een softwareleverancier niet dezelfde lijst horen te krijgen. Hoever hij mag gaan staat in Wat mag je opdrachtgever van je eisen?.

Er is nog een artikel dat de haast verklaart. Artikel 30 draagt je opdrachtgever op om zijn eigen afnemers te waarschuwen bij een incident dat hen kan raken. Zijn klok loopt dus twee kanten op, omhoog naar de toezichthouder en omlaag naar zijn klanten.

Wat de wet jou oplegt

Niets. De Cyberbeveiligingswet legt toeleveranciers zelf geen verplichtingen op. Er is geen toezichthouder die bij jou aanbelt, en geen register waarin jij hoort te staan.

Wat er wel gebeurt, gebeurt in het contract. Je opdrachtgever moet kunnen laten zien dat hij naar zijn leveranciers heeft gekeken. Krijgt hij van jou niets, dan houdt hij een gat in zijn eigen dossier. Bij de volgende contractronde kan hij dat gat dichten met een leverancier die het wel op papier heeft staan.

Dat is een commercieel risico en geen juridisch risico, en dat scheelt in hoe je erover praat. Je hoeft niet te doen alsof je onder toezicht staat, en geen certificaat te halen dat de wet nergens vraagt. Wat je wel kunt: laten zien wat je hebt geregeld, waar het nog niet af is, en wanneer je dat oppakt.

Waar je begint

Zoek eerst uit of je opdrachtgever zelf onder de wet valt, want dat bepaalt of de vraag terugkomt en hoe vaak. Kijk daarna wat je al hebt liggen. Veel bedrijven hebben meer geregeld dan ze denken, alleen staat het nergens op papier waar een inkoper het kan lezen.

De gratis scopecheck doet het eerste stuk op bedrijfsnaam en laat zien in welke sector je zit. Daarna weet je of dit gesprek eenmalig is of elk jaar terugkomt.