De Cyberbeveiligingswet is in 2026 van kracht geworden en geldt voor meer bedrijven dan velen denken. Ook als u geen groot bedrijf runt, kunt u verplichtingen hebben. En bij niet-naleving riskeert u forse boetes en persoonlijke aansprakelijkheid als bestuurder. In dit artikel leggen wij uit wat de wet inhoudt, voor wie hij geldt en wat u nu concreet moet doen.
Wat is de Cyberbeveiligingswet?
De Cyberbeveiligingswet is de Nederlandse uitwerking van de Europese NIS2-richtlijn (Network and Information Security 2). NIS2 vervangt de oude NIS-richtlijn uit 2016 en stelt strengere eisen aan de digitale beveiliging van organisaties die actief zijn in sectoren die essentieel zijn voor de samenleving.
Concreet betekent dit: organisaties moeten aantoonbare maatregelen nemen om cyberrisico’s te beheersen, incidenten te melden bij de bevoegde autoriteit en hun toeleveringsketen te beveiligen. De verantwoordelijkheid ligt nadrukkelijk bij het bestuur, niet alleen bij de IT-afdeling.
Voor wie geldt de Cyberbeveiligingswet?
De wet maakt onderscheid tussen twee categorieën organisaties:
Essentiële entiteiten: grote organisaties in sectoren als energie, transport, water, financiën, zorg en digitale infrastructuur. Zij vallen onder zwaar toezicht.
Belangrijke entiteiten: middelgrote organisaties in aanvullende sectoren zoals post, afvalverwerking, levensmiddelen, chemie, onderzoek en digitale dienstverlening. Zij vallen onder lichter toezicht, maar moeten wel aan dezelfde basiseisen voldoen.
De grens ligt globaal bij middelgrote ondernemingen: meer dan 50 medewerkers of een jaaromzet van meer dan €10 miljoen. Kleinere bedrijven vallen in principe buiten de directe werking van de wet, tenzij zij toeleverancier zijn van een essentiële of belangrijke entiteit.
Dat laatste is cruciaal voor het MKB. Levert u IT-diensten, schoonmaak, catering, beveiliging of andere diensten aan gemeenten, zorginstellingen, energiebedrijven of andere grote organisaties? Dan kunnen uw opdrachtgevers u contractueel verplichten om aan NIS2-eisen te voldoen.
Wat zijn de verplichtingen?
De Cyberbeveiligingswet verplicht organisaties om passende technische en organisatorische maatregelen te nemen. In de praktijk betekent dit:
- Risicoanalyse en beveiligingsbeleid: u moet aantoonbaar weten welke risico’s uw organisatie loopt en hoe u die beheerst
- Incidentbeheer: procedures voor het detecteren, melden en afhandelen van beveiligingsincidenten
- Bedrijfscontinuïteit: back-ups, herstelplannen en noodprocedures zodat u na een aanval snel weer operationeel bent
- Beveiliging van de toeleveringsketen: u bent ook verantwoordelijk voor de beveiliging van uw leveranciers en partners
- Toegangsbeveiliging en authenticatie: multi-factor authenticatie (MFA) en strikte toegangsrechten voor alle systemen
- Encryptie: gevoelige data moet versleuteld worden opgeslagen en verzonden
- Meldplicht: een significant beveiligingsincident moet binnen 24 uur gemeld worden bij het NCSC of de relevante toezichthouder
Wat zijn de gevolgen bij niet-naleving?
De sancties zijn aanzienlijk. Voor essentiële entiteiten kunnen boetes oplopen tot €10 miljoen of 2% van de wereldwijde jaaromzet. Voor belangrijke entiteiten tot €7 miljoen of 1,4% van de omzet.
Maar de financiële boete is niet het grootste risico. De wet introduceert ook persoonlijke aansprakelijkheid voor bestuurders. Als een bestuurder aantoonbaar nalatig is geweest in het treffen van beveiligingsmaatregelen, kan hij of zij persoonlijk aansprakelijk worden gesteld. Dit is een fundamentele verschuiving: cybersecurity is niet langer alleen een IT-kwestie, maar een bestuurlijke verantwoordelijkheid.
Wat moet u nu doen?
Of u nu direct onder de wet valt of als toeleverancier indirect verplichtingen heeft, de stappen zijn vergelijkbaar:
- Bepaal of u onder de wet valt: kijk naar uw sector, bedrijfsomvang en uw klantenkring
- Voer een risicoanalyse uit: breng in kaart welke systemen, data en processen kritiek zijn voor uw bedrijfsvoering
- Zet basismaatregelen op orde: MFA, back-ups, patchbeheer, toegangsrechten en encryptie zijn de fundering
- Stel een incidentresponsplan op: wat doet u als er iets misgaat? Wie belt u? Wat meldt u en aan wie?
- Documenteer alles: bij toezicht moet u kunnen aantonen dat u maatregelen heeft getroffen
Conclusie
De Cyberbeveiligingswet is geen papieren tijger. De meldplicht, de bestuurlijke aansprakelijkheid en de doorwerking via toeleveringsketens maken het voor veel MKB-bedrijven een reëel aandachtspunt, ook als u zelf niet direct onder de wet valt.
Weet u niet waar u staat? Sysplex helpt MKB-bedrijven in Schoonhoven en de Krimpenerwaard bij het in kaart brengen van de vereisten en het treffen van de juiste maatregelen. Neem contact op via sysplex.nl/contact of bel 085 002 29 31.
Meer weten? Bekijk onze dienstenpagina over cybersecurity voor MKB of neem contact op voor een gratis adviesgesprek.