De digitale dreiging voor bedrijven neemt al jaren toe. Ransomware, phishing, datalekken en uitval van systemen zijn allang geen probleem meer voor alleen grote organisaties. Ook mkb-bedrijven, leveranciers en dienstverleners krijgen steeds vaker te maken met cyberrisico’s. Daarom is er nu nieuwe wetgeving: de Cyberbeveiligingswet, afgekort Cbw.
De Cyberbeveiligingswet is de Nederlandse uitwerking van de Europese NIS2-richtlijn. Deze richtlijn moet zorgen voor een hoger niveau van cyberbeveiliging binnen Europa. Volgens de Eerste Kamer implementeert het wetsvoorstel de NIS2-richtlijn en richt deze zich op het verbeteren van de cyberbeveiliging en weerbaarheid van essentiële diensten.
Naast de Cyberbeveiligingswet komt ook de Wet weerbaarheid kritieke entiteiten, afgekort Wwke. Deze wet richt zich vooral op de fysieke weerbaarheid van organisaties die essentiële diensten leveren, bijvoorbeeld tegen sabotage, verstoringen of uitval van voorzieningen.
Wat verandert er?
Vanaf de inwerkingtreding krijgen veel organisaties nieuwe verplichtingen op het gebied van digitale veiligheid. De Cyberbeveiligingswet gaat gelden voor organisaties die als essentieel of belangrijk worden aangemerkt. Denk hierbij aan sectoren zoals zorg, energie, transport, digitale infrastructuur, financiële dienstverlening, overheid, drinkwater, afvalwater en bepaalde ICT-dienstverleners.
Ook organisaties die zelf niet direct onder de wet vallen, kunnen er toch mee te maken krijgen. Bijvoorbeeld omdat zij leverancier zijn van een organisatie die wel onder de wet valt. Klanten kunnen dan hogere eisen gaan stellen aan beveiliging, continuïteit, logging, back-up, incidentrespons en toegangsbeheer.
Nieuwe verplichtingen
Organisaties die onder de Cyberbeveiligingswet vallen, moeten aantoonbaar maatregelen nemen om cyberrisico’s te beheersen. Het gaat dus niet alleen om antivirus of een firewall, maar om een bredere aanpak.
Denk aan maatregelen zoals:
- inzicht in risico’s en kwetsbaarheden;
- goede back-up en herstelprocedures;
- beveiliging van netwerk en systemen;
- toegangsbeheer en multifactor-authenticatie;
- monitoring en logging;
- beleid voor incidenten en datalekken;
- afspraken met leveranciers;
- bewustwording bij medewerkers.
Daarnaast komt er een meldplicht voor ernstige incidenten. Organisaties moeten dus weten wat ze moeten doen als er iets misgaat. Niet pas achteraf, maar vooraf ingericht en getest.
Waarom dit ook voor het mkb belangrijk is
Veel ondernemers denken bij nieuwe cyberwetgeving al snel: “Dat geldt vast niet voor ons.” Toch is dat te kort door de bocht.
Ook als uw organisatie formeel niet onder de Cyberbeveiligingswet valt, kan de impact merkbaar zijn. Grote klanten, zorginstellingen, overheden of andere ketenpartners kunnen beveiligingseisen gaan doorleggen naar hun leveranciers. Een mkb-bedrijf dat toegang heeft tot systemen, data of processen van zo’n klant, wordt daarmee onderdeel van de keten.
In de praktijk kan dat betekenen dat klanten vragen gaan stellen zoals:
“Hoe is jullie back-up geregeld?”
“Gebruiken jullie MFA?”
“Wie heeft toegang tot onze gegevens?”
“Worden systemen gemonitord?”
“Hoe snel kunnen jullie herstellen na een cyberincident?”
“Is er een incidentprocedure?”
Wie hier geen duidelijk antwoord op heeft, loopt niet alleen technisch risico, maar mogelijk ook commercieel risico.
Wacht niet tot augustus 2026
De wet treedt op 15 augustus 2026 in werking als de parlementaire behandeling is afgerond. NCSC meldde dat organisaties die onder de wet vallen vanaf dat moment met nieuwe verplichtingen op het gebied van digitale weerbaarheid te maken krijgen.
Maar wachten tot die datum is niet verstandig. Cyberbeveiliging regel je niet in één week. Het kost tijd om systemen te inventariseren, risico’s in kaart te brengen, back-ups te testen, rechten op te schonen en medewerkers bewust te maken.
Een praktische eerste stap is een korte nulmeting:
- Welke systemen zijn bedrijfskritisch?
- Waar staat belangrijke data?
- Wie heeft toegang?
- Zijn back-ups getest?
- Is MFA overal actief?
- Zijn updates en patches op orde?
- Is duidelijk wie wat doet bij een incident?
Van verplichting naar voordeel
De Cyberbeveiligingswet wordt vaak gezien als extra verplichting, maar het kan ook een kans zijn. Organisaties die hun cyberbeveiliging aantoonbaar op orde hebben, zijn betrouwbaarder voor klanten en partners. Zeker in sectoren waar continuïteit belangrijk is.
Goede beveiliging voorkomt niet alleen incidenten, maar zorgt er ook voor dat een bedrijf sneller kan herstellen als er toch iets gebeurt. En dat is uiteindelijk waar het om draait: de continuïteit van uw organisatie beschermen.
Hulp nodig bij de voorbereiding?
Jetron ICT helpt organisaties praktisch en nuchter met cyberbeveiliging. Geen dikke rapporten waar niemand iets mee doet, maar concrete stappen: back-up, MFA, monitoring, patchbeheer, toegangsbeheer, e-mailbeveiliging en herstelprocedures.
Wilt u weten waar uw organisatie nu staat en welke stappen verstandig zijn richting de Cyberbeveiligingswet? Dan is dit een goed moment om dat in kaart te brengen.
