De Cyberbeveiligingswet is de Nederlandse invulling van de Europese NIS2-richtlijn. De ingangsdatum is 15 augustus 2026.
Wat verandert er vanaf die datum?
Organisaties in de aangewezen sectoren (onder meer zorg, energie, transport, digitale infrastructuur en overheid) krijgen een zorgplicht. Die bestaat uit twee delen die in de praktijk aan elkaar vastzitten: zij moeten hun eigen beveiliging op orde hebben, én zij moeten de beveiliging van hun toeleveringsketen beoordelen. Bestuurders zijn daar persoonlijk voor aansprakelijk.
Dat tweede deel is de reden dat deze wet ook bedrijven raakt die er zelf niet onder vallen.
Ik lever aan zo'n organisatie. Wat merk ik ervan?
Dat uw klant iets van u wil weten, en dat op papier wil hebben. In de praktijk komt dat neer op een vragenlijst, een verzoek om beleidsstukken, of een clausule in de volgende contractverlenging.
Naar schatting krijgen 50.000 tot 100.000 Nederlandse bedrijven hiermee te maken zonder zelf onder de wet te vallen. Zie ook Moet ik als toeleverancier aan NIS2 voldoen?.
Ben ik te laat als ik nu pas begin?
Nee. Er is voor u geen datum waarop een deur dichtgaat, want u valt zelf niet onder de wet; er is alleen een verschil tussen antwoorden in uw eigen tempo en antwoorden in de week dat een contract verlengd moet worden.
Wel loopt u dan achter de vragen aan in plaats van andersom. Uw klant moet vanaf de ingangsdatum kunnen aantonen dat hij zijn keten beoordeelt, en inkoop- en compliance-afdelingen beginnen daar ruim voor die datum aan, omdat zij zelf tijd nodig hebben om de antwoorden te verwerken. Bij veel toeleveranciers lag de eerste lijst dan ook al op de mat voordat de wet gold.
Wacht u tot de deadline van uw grootste klant, dan doet u het werk onder tijdsdruk, en dan wordt het duurder dan nodig.
Geldt er een overgangsperiode?
Voor de zorgplicht niet. De verplichtingen gelden vanaf de inwerkingtreding; er is geen jaar respijt waarin een organisatie nog niet aan de eisen hoeft te voldoen. Wat wel tijd kost, is de registratie van entiteiten en het opbouwen van het toezicht: toezichthouders beginnen in de praktijk met voorlichting en met de zwaarste sectoren, niet met steekproeven bij iedereen op dag één.
Voor u als toeleverancier verandert dat weinig. Uw klant wacht niet op de toezichthouder om zijn ketenbeoordeling te starten; die begint zodra zijn eigen compliance-afdeling het onderwerp op de agenda krijgt, en dat is bij de meeste organisaties allang gebeurd.
Verandert er na de ingangsdatum nog iets?
Aan de zorgplicht zelf niet. De tien onderwerpen staan in de richtlijn en veranderen niet met het jaar; wie ze op orde heeft, houdt ze op orde.
Wat wel beweegt, is de scherpte van de vragen. Toezichthouders publiceren sectorleidraden, brancheorganisaties maken hun eigen standaardlijsten, en klanten die de eerste ronde achter de rug hebben, vragen de tweede keer gerichter door: niet meer of u back-ups maakt, maar wanneer u het terugzetten voor het laatst getest heeft en wat daaruit kwam. Reken er dus op dat de vragenlijsten specifieker worden in plaats van dat ze verdwijnen. Zie aantonen dat uw maatregelen werken.
Wat als mijn klant in een ander EU-land zit?
Dan geldt daar de nationale uitwerking van dezelfde NIS2-richtlijn. De onderwerpen zijn identiek, want ze staan in artikel 21 lid 2 van de richtlijn zelf; de termijnen voor incidentmelding zijn dat ook. Verschillen zitten in de uitvoering: welke toezichthouder, welke registratieplicht, en hoe streng er gehandhaafd wordt.
Praktisch betekent dat: een Duitse of Belgische klant stuurt u een vragenlijst die op dezelfde tien onderwerpen is gebaseerd, vaak in het Engels. Uw antwoorden hoeven daar niet anders voor te zijn; de vertaalslag zit in de formulering, niet in de inhoud.
Mijn klant heeft nog niets gevraagd. Zit ik goed?
Waarschijnlijk betekent het alleen dat u nog niet aan de beurt bent. Inkoop- en compliance-afdelingen beginnen bij de leveranciers die het dichtst bij het primaire proces zitten, en werken van daaruit naar buiten. Een partij met toegang tot systemen of gegevens komt eerder aan bod dan een partij die kantoorartikelen levert.
Er is één situatie waarin stilte iets anders betekent: als uw klant zelf nog niet weet dat hij onder de wet valt. Dat komt voor bij organisaties die net boven de drempel van vijftig medewerkers zijn gegroeid of in een sector zitten waar de grens niet voor de hand ligt. Zie welke sectoren eronder vallen. Ook dan komt de vraag, alleen later en met meer haast.
Waar begin ik?
Weten waar u staat, is het enige dat u zonder budget of project kunt doen. Loop de tien zorgplichtmaatregelen langs en bepaal per onderwerp of het geregeld is, half geregeld, of helemaal niet. Dat kost een ochtend en levert meteen een volgorde op waarin u de openstaande punten het beste kunt oppakken.
Daarna hebt u iets om te delen wanneer de eerste vragenlijst binnenkomt, in plaats van een middag zoeken naar wie het antwoord weet.
Deze pagina geeft algemene uitleg en is geen juridisch advies. Of uw organisatie onder de Cyberbeveiligingswet valt en welke verplichtingen dan precies gelden, hangt af van uw sector en omvang.