De Cyberbeveiligingswet als MKB-toeleverancier: wat het voor jou betekent

Je bent een toeleverancier met een man of twaalf in dienst, en de term Cyberbeveiligingswet is bij je binnengekomen. Niet omdat de wet jou iets verplicht, maar omdat een van je opdrachtgevers dat wel doet, en dat raakt jou net zo goed.

Wat de wet van je opdrachtgever vraagt

De Cyberbeveiligingswet is de Nederlandse invoering van de Europese NIS2-richtlijn, van kracht sinds 15 augustus 2026. Ze wijst een beperkte groep organisaties aan die hun digitale beveiliging op orde moeten hebben, en die zijn eigen toeleveringsketen moet beoordelen.

“de specifieke kwetsbaarheden van elke rechtstreekse leverancier en dienstverlener; de algemene kwaliteit van de producten en de cyberbeveiligingspraktijken van haar leveranciers en dienstverleners, met inbegrip van hun veilige ontwikkelingsprocedures.”

Artikel 21, vierde lid, onderdelen a en b Cbw (Stb. 2026, 187)

Als jouw opdrachtgever onder de wet valt, is dit precies waar hij naar jou naar kijkt.

Wat dit concreet voor jou betekent

Geen eigen wettelijke plicht, wel een reële verwachting: kunnen laten zien wat je hebt geregeld, bijvoorbeeld een wachtwoordbeleid, werkende back-ups en duidelijkheid over wie bij welke systemen mag. Niet ergens in je hoofd, maar vastgelegd, zodat het antwoord al klaarligt zodra de vraag komt.

Wat je nu kan doen

1. 01Doe de gratis check en zie op welke van de vijf kernmaatregelen je al op orde bent.
2. 02Leg dat vast, zodat het overzicht al klaarligt voor de volgende vragenlijst in plaats van dat je steeds opnieuw begint.