Sinds 15 augustus 2026 geldt in Nederland de Cyberbeveiligingswet (Cbw). Deze wet vormt de Nederlandse uitwerking van de Europese NIS2-richtlijn en stelt eisen aan de digitale weerbaarheid van ruim 8.000 organisaties die belangrijke of essentiële diensten verlenen.

De wet richt zich op organisaties binnen achttien kritieke sectoren, waaronder energie, vervoer, digitale infrastructuur, gezondheidszorg, overheid en onderzoek. Of een organisatie onder de wet valt, hangt onder meer af van haar sector, omvang en specifieke wettelijke criteria.

De gevolgen kunnen verder reiken dan de organisaties waarop de wet rechtstreeks van toepassing is. Ook hun leveranciers en dienstverleners kunnen ermee te maken krijgen.

Wat houdt de Cyberbeveiligingswet in?

Organisaties die onder de Cyberbeveiligingswet vallen, krijgen te maken met drie belangrijke verplichtingen:

• Registratieplicht: de organisatie moet zich registreren in het nationale entiteitenregister.
• Zorgplicht: de organisatie moet een risicoanalyse uitvoeren en passende, evenredige maatregelen nemen om haar netwerk- en informatiesystemen te beveiligen.
• Meldplicht: significante incidenten moeten zo snel mogelijk en in ieder geval binnen 24 uur worden gemeld bij het betreffende Computer Security Incident Response Team (CSIRT) en de toezichthouder.

Cyberbeveiliging wordt binnen de wet nadrukkelijk als een bestuurlijke verantwoordelijkheid behandeld. Het bestuur moet de beveiligingsmaatregelen goedkeuren, toezicht houden op de uitvoering en hiervoor een training volgen.

De beveiliging van de toeleveringsketen

De zorgplicht bestaat uit verschillende maatregelen. Een daarvan richt zich specifiek op de beveiliging van de toeleveringsketen.

Organisaties zijn voor hun dienstverlening vaak afhankelijk van producten, systemen en diensten van andere partijen. Een beveiligingsprobleem bij een leverancier kan daardoor gevolgen hebben voor meerdere organisaties verderop in de keten. De Cyberbeveiligingswet verlangt daarom dat organisaties ook beveiligingsrisico’s binnen de relaties met hun rechtstreekse leveranciers en dienstverleners meenemen in hun risicomanagement.

Een organisatie die onder de wet valt, zal daarvoor eerst moeten weten van welke leveranciers zij afhankelijk is. Vervolgens kan zij beoordelen welke risico’s deze samenwerkingen met zich meebrengen en welke afspraken nodig zijn om die risico’s te beheersen.

Wat betekent dit voor kleinere leveranciers?

De Cbw-plicht geldt uitsluitend voor organisaties die binnen het toepassingsbereik van de wet vallen. De gevolgen kunnen echter doorwerken naar hun leveranciers.

Een grote klant kan bijvoorbeeld meer informatie willen ontvangen over:

• de beveiliging van klant- en bedrijfsgegevens;
• de toegang van medewerkers en externe partijen tot systemen;
• het maken, bewaren en herstellen van back-ups;
• de werkwijze bij een beveiligingsincident;
• de afhankelijkheid van externe softwareleveranciers;
• de afspraken over continuïteit en herstel na uitval.

Welke vragen een leverancier precies ontvangt, zal afhangen van de samenwerking en de risico’s die daarmee samenhangen. Het Nationaal Cyber Security Centrum adviseert organisaties en ketenpartners om hierover met elkaar in gesprek te gaan, afspraken vast te leggen en zich waar mogelijk gezamenlijk op incidenten voor te bereiden.

Digitale weerbaarheid als zakelijke factor

Door de Cyberbeveiligingswet kan digitale weerbaarheid zwaarder gaan meewegen bij leveranciersselecties, contractverlengingen en aanbestedingen. Organisaties die onder de wet vallen, moeten immers kunnen onderbouwen hoe zij hun eigen risico’s en de risico’s binnen hun toeleveringsketen beheersen.

Voor leveranciers wordt het daardoor belangrijker om inzicht te hebben in hun eigen digitale processen. Welke gegevens worden verwerkt? Wie heeft toegang? Van welke systemen en externe partijen is de bedrijfsvoering afhankelijk? Welke afspraken gelden wanneer een systeem uitvalt of gegevens mogelijk zijn gelekt?

Duidelijke antwoorden op deze vragen helpen bij het gesprek met klanten en geven tegelijkertijd meer inzicht in de continuïteit van de eigen organisatie.

Kunt u uw digitale weerbaarheid uitleggen?

Voor veel mkb-bedrijven begint de invloed van de Cyberbeveiligingswet waarschijnlijk bij een klant die vragen stelt over systemen, gegevens en beveiligingsmaatregelen.

Een belangrijke vraag voor ondernemers wordt daarom:

Kunt u een klant uitleggen hoe digitaal weerbaar uw organisatie is?

Wilt u controleren of uw organisatie onder de Cyberbeveiligingswet valt of meer lezen over de mogelijke gevolgen voor leveranciers? Raadpleeg dan de informatie en zelfevaluatie van het Nationaal Cyber Security Centrum:

• Cyberbeveiligingswet (NIS2)
• De Cyberbeveiligingswet en toeleveranciers
• Valt mijn organisatie onder de Cyberbeveiligingswet?

• Blijf op de hoogte van meer nieuws!
• Volg ons op LinkedIn