De Cyberbeveiligingswet geldt voor een brede groep organisaties in Nederland, maar niet automatisch voor elk MKB-bedrijf. De wet is de Nederlandse implementatie van de Europese NIS2-richtlijn en stelt verplichte beveiligingseisen aan bedrijven in sectoren die als essentieel of belangrijk worden aangemerkt. Of jouw bedrijf eronder valt, hangt af van de sector en de omvang van de organisatie. In dit artikel beantwoorden we de meest gestelde vragen over wat de Cyberbeveiligingswet betekent voor het MKB.
Voor welke bedrijven geldt de Cyberbeveiligingswet?
De Cyberbeveiligingswet geldt voor organisaties in sectoren die de overheid aanmerkt als essentieel of belangrijk voor de samenleving. Denk aan energie, transport, gezondheidszorg, drinkwater, digitale infrastructuur en financiële dienstverlening. Bedrijven in deze sectoren vallen onder de wet als ze voldoen aan bepaalde drempelwaarden voor grootte, maar ook kleinere organisaties kunnen verplicht zijn als ze een kritieke rol vervullen.
In de praktijk betekent dit dat veel MKB-bedrijven buiten de directe werkingssfeer van de wet vallen. Toch is het verstandig om dit goed te controleren, want de grenzen zijn soms smaller dan je verwacht. De wet onderscheidt twee categorieën:
- Essentiële entiteiten: grote organisaties in sectoren zoals energie, transport en gezondheidszorg. Zij vallen onder het strengste toezichtregime.
- Belangrijke entiteiten: middelgrote organisaties in een bredere set sectoren, waaronder post, afvalverwerking en digitale diensten. Zij worden minder intensief gecontroleerd, maar moeten wel voldoen aan dezelfde basisverplichtingen.
Een vuistregel is dat bedrijven met meer dan 50 medewerkers én een jaaromzet of balanstotaal van meer dan 10 miljoen euro in een aangewezen sector vrijwel zeker onder de Cyberbeveiligingswet vallen. Kleinere bedrijven in die sectoren kunnen ook verplicht zijn als ze een kritieke functie vervullen. Twijfel je? Laat het dan altijd door een specialist beoordelen.
Welke verplichtingen legt de Cyberbeveiligingswet op aan bedrijven?
De Cyberbeveiligingswet verplicht organisaties om passende technische en organisatorische maatregelen te nemen om hun netwerk- en informatiesystemen te beveiligen. Daarnaast moeten ze significante incidenten melden bij de bevoegde autoriteiten en hun bestuur actief betrekken bij het cybersecuritybeleid. De wet legt de verantwoordelijkheid nadrukkelijk bij de top van de organisatie neer.
Concreet gaat het om de volgende kernverplichtingen:
- Risicoanalyse en beveiligingsbeleid: je moet systematisch risico’s in kaart brengen en een aantoonbaar beleid voeren om die te beheersen.
- Incidentafhandeling: er moeten procedures zijn om beveiligingsincidenten snel te detecteren, erop te reageren en ervan te herstellen.
- Meldplicht: ernstige incidenten moeten binnen 24 uur worden gemeld bij de toezichthouder, met een volledig rapport binnen 72 uur.
- Beveiliging van de toeleveringsketen: je bent ook verantwoordelijk voor de cyberveiligheid van je leveranciers en partners.
- Continuïteitsbeheer: bedrijven moeten plannen hebben voor bedrijfscontinuïteit in geval van een ernstig incident.
- Bestuurlijke verantwoordelijkheid: het management moet aantoonbaar betrokken zijn bij en verantwoordelijkheid nemen voor het cybersecuritybeleid.
Het gaat er niet om dat je een perfecte beveiliging hebt, maar dat je aantoont dat je de risico’s serieus neemt en actief beheert.
Wat zijn de gevolgen als een MKB-bedrijf niet voldoet?
Als een bedrijf niet voldoet aan de Cyberbeveiligingswet, kan de toezichthouder handhavend optreden. Dit kan variëren van bindende aanwijzingen en waarschuwingen tot aanzienlijke bestuurlijke boetes. Voor essentiële entiteiten kunnen de boetes oplopen tot 10 miljoen euro of 2% van de wereldwijde jaaromzet, voor belangrijke entiteiten tot 7 miljoen euro of 1,4% van de omzet.
Naast financiële sancties zijn er ook andere gevolgen om rekening mee te houden:
- Reputatieschade: niet-naleving kan publiekelijk worden gemaakt, wat het vertrouwen bij klanten en partners schaadt.
- Persoonlijke aansprakelijkheid: bestuurders kunnen persoonlijk aansprakelijk worden gesteld als zij hun verantwoordelijkheid niet nakomen.
- Operationele beperkingen: in ernstige gevallen kan de toezichthouder tijdelijke beperkingen opleggen aan de bedrijfsvoering.
- Verhoogde kwetsbaarheid: los van de juridische gevolgen vergroot het niet naleven van beveiligingseisen de kans op een daadwerkelijk cyberincident, met alle kosten en schade van dien.
Hoe verschilt de Cyberbeveiligingswet van de AVG?
De Cyberbeveiligingswet en de AVG zijn beide Europese wetgeving die organisaties verplichten tot bescherming, maar ze richten zich op verschillende aspecten. De AVG beschermt persoonsgegevens en geeft individuen rechten over hun eigen data. De Cyberbeveiligingswet richt zich op de beveiliging van netwerk- en informatiesystemen van organisaties in kritieke sectoren, ongeacht of er persoonsgegevens in het spel zijn.
De twee wetten vullen elkaar aan, maar kennen ook duidelijke verschillen:
- Reikwijdte: de AVG geldt voor bijna elke organisatie die persoonsgegevens verwerkt. De Cyberbeveiligingswet geldt alleen voor organisaties in aangewezen sectoren die aan bepaalde drempelwaarden voldoen.
- Focus: de AVG draait om privacy en gegevensbescherming. De Cyberbeveiligingswet draait om operationele weerbaarheid en continuïteit van systemen.
- Toezichthouder: de AVG wordt gehandhaafd door de Autoriteit Persoonsgegevens. De Cyberbeveiligingswet kent sectorspecifieke toezichthouders, afhankelijk van de branche.
- Meldplicht: de AVG verplicht melding van datalekken. De Cyberbeveiligingswet verplicht melding van significante beveiligingsincidenten, ook als er geen persoonsgegevens bij betrokken zijn.
In de praktijk overlappen de verplichtingen gedeeltelijk. Een goede cybersecurityaanpak helpt je bij het voldoen aan beide wetten.
Wanneer moet een MKB-bedrijf voldoen aan de Cyberbeveiligingswet?
De Cyberbeveiligingswet is in 2026 van kracht in Nederland als implementatie van de NIS2-richtlijn. Organisaties die onder de wet vallen, moeten nu al voldoen aan de gestelde eisen. Er is geen ruime overgangstermijn meer: de verwachting is dat toezichthouders actief gaan handhaven en organisaties die nog niet compliant zijn, risico’s lopen op sancties.
Voor MKB-bedrijven die net ontdekken dat ze onder de wet vallen, is de boodschap duidelijk: stel compliance niet langer uit. De toezichthouders kijken niet alleen naar het moment van een incident, maar ook naar de vraag of een organisatie aantoonbaar bezig was met het verbeteren van haar beveiliging. Wie kan laten zien dat er een plan is en dat er stappen worden gezet, staat er beter voor dan wie niets heeft gedaan.
Welke stappen moet een MKB-bedrijf nemen om compliant te worden?
Om compliant te worden met de Cyberbeveiligingswet moet een MKB-bedrijf eerst bepalen of het onder de wet valt, vervolgens een risicoanalyse uitvoeren, passende beveiligingsmaatregelen treffen, processen voor incidentmelding inrichten en het bestuur actief betrekken bij cybersecurity. Dit is een stapsgewijs proces dat je gestructureerd kunt aanpakken.
Een praktische aanpak ziet er als volgt uit:
- Bepaal of je onder de wet valt: controleer of jouw sector en organisatiegrootte binnen de werkingssfeer van de Cyberbeveiligingswet vallen.
- Voer een nulmeting uit: breng in kaart wat je al doet op het gebied van cybersecurity en waar de hiaten zitten ten opzichte van de wettelijke eisen.
- Stel een risicoanalyse op: identificeer de belangrijkste dreigingen voor jouw netwerken en systemen en beoordeel de kans en impact van incidenten.
- Implementeer beveiligingsmaatregelen: neem op basis van de risicoanalyse concrete technische en organisatorische maatregelen.
- Richt meldprocessen in: zorg dat je weet hoe en bij wie je een incident moet melden en dat je dit snel kunt doen.
- Betrek het bestuur: zorg dat directie en management aantoonbaar verantwoordelijkheid nemen voor cybersecurity en dit vastleggen in beleid.
- Documenteer alles: toezichthouders vragen om bewijs. Leg vast wat je doet, waarom en hoe je dit evalueert.
Welke cybersecuritymaatregelen zijn verplicht onder de Cyberbeveiligingswet?
De Cyberbeveiligingswet schrijft geen specifieke technische producten voor, maar eist wel dat organisaties een set passende beveiligingsmaatregelen treffen op basis van een risicoanalyse. De wet noemt een aantal concrete categorieën waaraan elke organisatie in scope aandacht moet besteden.
De verplichte maatregelcategorieën zijn:
- Beleid voor informatiebeveiliging: een gedocumenteerd en actueel beveiligingsbeleid dat aansluit op de risico’s van de organisatie.
- Toegangsbeheer: alleen geautoriseerde gebruikers mogen toegang hebben tot systemen en gegevens, met sterke authenticatie zoals meerfactorauthenticatie.
- Patchbeheer en kwetsbaarheidsbeheer: systemen moeten up-to-date worden gehouden en bekende kwetsbaarheden moeten tijdig worden verholpen.
- Encryptie: gevoelige gegevens moeten versleuteld worden opgeslagen en verzonden.
- Netwerkbeveiliging: segmentering van netwerken en monitoring van verdacht verkeer.
- Back-up en herstel: regelmatige back-ups en geteste herstelprocedures om bedrijfscontinuïteit te waarborgen.
- Bewustwording en training: medewerkers moeten worden getraind in het herkennen van cyberdreigingen zoals phishing.
- Beveiliging van de toeleveringsketen: eisen stellen aan de cyberveiligheid van leveranciers en partners die toegang hebben tot jouw systemen.
Hoe Kinwell helpt met de Cyberbeveiligingswet
Voldoen aan de Cyberbeveiligingswet is voor veel MKB-bedrijven een flinke uitdaging, zeker als interne IT-expertise beperkt is. Wij helpen organisaties concreet en stap voor stap om compliant te worden en te blijven. Dit is wat we voor jou kunnen doen:
- Nulmeting en gap-analyse: we brengen in kaart waar jouw organisatie nu staat en wat er nog moet gebeuren om te voldoen aan de wet.
- Risicoanalyse op maat: we identificeren de specifieke dreigingen voor jouw sector en bedrijfsvoering.
- Implementatie van beveiligingsmaatregelen: van endpoint protection en netwerkmonitoring tot toegangsbeheer en encryptie, we regelen het voor je.
- Bewustwordingstraining voor medewerkers: we zorgen dat je team weet hoe het cyberdreigingen herkent en meldt.
- Doorlopende monitoring en ondersteuning: cybersecurity is geen eenmalig project. We bewaken jouw omgeving continu en grijpen in als dat nodig is.
- Documentatie en rapportage: we helpen je de bewijslast op te bouwen die toezichthouders verwachten.
Wil je weten of jouw organisatie onder de Cyberbeveiligingswet valt en wat je moet doen? Neem contact met ons op via Kinwell en we helpen je direct verder met een vrijblijvend adviesgesprek.
Vrijblijvend advies
Veelgestelde vragen
Wat als mijn bedrijf kleiner is dan 50 medewerkers — ben ik dan volledig vrijgesteld van de Cyberbeveiligingswet?
Niet per definitie. Hoewel de drempelwaarde van 50 medewerkers en 10 miljoen euro omzet een vuistregel is, kunnen ook kleinere organisaties onder de wet vallen als ze een kritieke functie vervullen in een aangewezen sector. Denk aan een klein bedrijf dat essentiële digitale infrastructuur beheert of als toeleverancier een sleutelrol speelt voor een grotere entiteit. Laat je situatie altijd beoordelen door een specialist voordat je aanneemt dat je buiten de werkingssfeer valt.
Mijn bedrijf valt niet direct onder de Cyberbeveiligingswet, maar mijn klanten wel. Heeft de wet dan toch gevolgen voor mij?
Ja, indirect zeker. De Cyberbeveiligingswet verplicht organisaties die wél onder de wet vallen om ook eisen te stellen aan de cyberveiligheid van hun leveranciers en partners. Als jij als toeleverancier toegang hebt tot systemen of gegevens van een essentiële of belangrijke entiteit, is de kans groot dat je klant jou contractueel zal verplichten aan bepaalde beveiligingsstandaarden te voldoen. Proactief werken aan je cybersecurity is dus ook voor indirecte partijen een verstandige zakelijke keuze.
Hoe weet ik of mijn sector wordt aangemerkt als 'essentieel' of 'belangrijk' onder de Cyberbeveiligingswet?
De Cyberbeveiligingswet onderscheidt een vaste lijst van sectoren die als essentieel of belangrijk worden aangemerkt, zoals energie, transport, gezondheidszorg, drinkwater, digitale infrastructuur, financiële dienstverlening, post en afvalverwerking. Je kunt de sectorindeling raadplegen via de officiële toelichting op de wet of via de website van het Nationaal Cyber Security Centrum (NCSC). Twijfel je over de classificatie van jouw sector of activiteiten? Een gespecialiseerde adviseur kan dit snel voor je uitzoeken.
Wat is de grootste fout die MKB-bedrijven maken bij het voorbereiden op de Cyberbeveiligingswet?
De meest gemaakte fout is wachten tot er iets misgaat of tot de toezichthouder klopt. Veel bedrijven onderschatten ook hoe belangrijk documentatie is: het gaat er niet alleen om dát je beveiligingsmaatregelen neemt, maar ook dat je kunt aantonen wat je hebt gedaan, waarom en hoe je dit evalueert. Een tweede veelgemaakte fout is het betrekken van het bestuur als sluitpost in plaats van als startpunt — terwijl de wet de verantwoordelijkheid juist nadrukkelijk bij de top legt.
Hoe vaak moet ik mijn risicoanalyse en beveiligingsbeleid bijwerken?
De Cyberbeveiligingswet schrijft geen vaste frequentie voor, maar verwacht wel dat je risicoanalyse en beleid actueel zijn en aansluiten op de werkelijke dreigingen voor jouw organisatie. In de praktijk wordt een jaarlijkse herziening als minimumstandaard beschouwd, aangevuld met een tussentijdse update bij significante wijzigingen in je IT-omgeving, bedrijfsprocessen of na een beveiligingsincident. Cyberdreigingen veranderen snel, dus behandel je risicoanalyse als een levend document in plaats van een eenmalige exercitie.
Wat moet ik precies doen binnen 24 uur na een beveiligingsincident?
Binnen 24 uur na een significant incident ben je verplicht een eerste melding te doen bij de bevoegde toezichthouder voor jouw sector. Deze eerste melding hoeft nog geen volledig rapport te zijn, maar moet de toezichthouder in staat stellen de ernst en reikwijdte van het incident in te schatten. Binnen 72 uur volgt een uitgebreider rapport met meer details over de aard van het incident, de oorzaak en de getroffen maatregelen. Zorg daarom dat je meldprocedures van tevoren ingeregeld zijn, zodat je in een stressvolle situatie niet hoeft te zoeken naar wie je moet bellen en wat je moet melden.
Kan ik de naleving van de Cyberbeveiligingswet uitbesteden aan een externe IT-partner?
Je kunt de uitvoering van beveiligingsmaatregelen zeker uitbesteden aan een externe partij zoals een managed security service provider, maar de eindverantwoordelijkheid blijft altijd bij jouw eigen bestuur liggen. De wet stelt expliciet dat het management aantoonbaar betrokken moet zijn bij en verantwoordelijkheid moet nemen voor het cybersecuritybeleid. Uitbesteden is dus een slimme manier om expertise en capaciteit in te huren, maar ontslaat je bestuur niet van zijn wettelijke verplichtingen. Zorg ook dat je contractueel vastlegt welke verantwoordelijkheden bij de externe partner liggen.
