Cyberbeveiligingswet: wat betekent dit voor jouw organisatie?

Maandagmorgen, zeven uur. Je productielijn moet draaien, maar het systeem dat de werkorders aanlevert doet niets. Geen storing en geen foutmelding, gewoon niets. Twee uur later blijkt het ransomware te zijn. En dan komt de vraag waar niemand een antwoord op heeft: bij wie moeten we dit melden, en binnen hoeveel tijd?

Daar gaat de Cyberbeveiligingswet over. De wet is sinds 15 augustus 2026 van kracht en stelt eisen aan ruim 8.000 Nederlandse organisaties. In een eerdere blog legden we uit wat de wet inhoudt en of jouw organisatie eronder valt. Maar dan komt de vraag die daarna volgt: wat moet je nu concreet doen?

Het antwoord zit in de zorgplicht. De wet noemt tien maatregelen waar je ten minste aan moet voldoen. In deze blog lopen we ze alle tien langs, aan de hand van een machinebouwer met honderdvijftig medewerkers. Die valt onder de wet en loopt tegen precies dezelfde vragen aan als veel andere maakbedrijven.

Wat is de Cyberbeveiligingswet?

De Cyberbeveiligingswet stelt eisen aan informatiebeveiliging, risicobeheer, incidentmeldingen en continuïteit. Belangrijk om te weten: het gaat niet alleen om techniek, maar juist ook om processen, beleid en bestuurlijke verantwoordelijkheid.

Wat vraagt de zorgplicht van je?

Kort gezegd: je neemt maatregelen die passen bij jouw risico's, en je zorgt dat je kunt aantonen dat je het doet.

Dat woord 'passen' is belangrijk. Een machinebouwer loopt andere risico's dan een energiebedrijf, en de wet vraagt dus geen identieke set maatregelen bij iedereen. Het NCSC, het Nationaal Cyber Security Centrum, zegt het zo: je bepaalt zelf welke maatregelen passend zijn, en je risicomanagement is daarvoor de basis.

Maar passend betekent niet vrijblijvend. Naast de wet geldt sinds 15 augustus ook het Cyberbeveiligingsbesluit. Dat is de uitwerking van de wet, en juist daar wordt de zorgplicht concreet. In artikel na artikel komt dezelfde formule terug: je legt je beleid schriftelijk vast én je past het aantoonbaar toe. Je hebt dus ruimte in het hoe, niet in het of. Daarom begint alles bij de risicoanalyse, want zonder die analyse kun je niet onderbouwen waarom jouw maatregelen passend zijn. En dat onderbouwen is precies wat de toezichthouder van je vraagt.

De tien maatregelen

1. Maak een risicoanalyse: Welke risico's wegen het zwaarst? Neem onze machinebouwer. Uitval van de productielijn is een heel ander risico dan diefstal van machineontwerpen, en ze vragen om andere maatregelen. Door dat eerst in kaart te brengen, weet je waar je geld en aandacht het meeste opleveren. Dit is de eerste stap, niet de laatste.

2. Richt incidentrespons in: Leg vast hoe je reageert op een incident. Denk aan wie de melding doet, wie de leverancier belt, wie beslist of de lijn stilgaat en wie de klanten informeert. Dat plan maak je op een rustige dinsdagmiddag, met de tijd om er goed over na te denken. Niet op maandagmorgen om zeven uur, als het systeem er net uit ligt.

3. Bereid je voor op uitval: Denk aan back-ups, herstelplannen en crisisbeheer. Ga ervan uit dat het een keer gebeurt, ondanks alle preventie. De vraag is dan niet of je stil komt te staan, maar hoe snel je weer draait. Test daarom ook of je back-ups echt terug te zetten zijn, want dat is precies het moment waarop veel organisaties alsnog vastlopen.

4. Maak je toeleveringsketen veilig: Je bent afhankelijk van je leveranciers, ook als je eigen huis op orde is. De wet vraagt je te kijken naar de beveiliging in de relatie met je rechtstreekse leveranciers en dienstverleners. Denk aan de partij die je machinesoftware onderhoudt, je ERP-leverancier of de beheerder van je netwerk. Breng in kaart wie toegang heeft tot wat, en maak daar afspraken over.

5. Zorg dat cyberhygiëne op orde is: Dit gaat over basispraktijken en opleiding. Het Cyberbeveiligingsbesluit vraagt dat al je medewerkers zich bewust zijn van de risico's en de basisafspraken toepassen, voor zover dat relevant is voor hun functie. Voor aangewezen functies komt daar regelmatige opleiding bij. Securityawareness en crisisoefeningen zijn een logische manier om dat in te vullen.

6. Beveilig netwerk- en informatiesystemen: Denk aan patchmanagement, veilige configuraties en afspraken over wijzigingsbeheer. Let bij de aanschaf van systemen ook op hoe lang de maker ondersteuning biedt, want bij productieapparatuur die vijftien jaar meegaat is dat een reëel punt. Het NCSC adviseert daarnaast een contactpunt in te richten waar beveiligingsonderzoekers zich kunnen melden als ze een kwetsbaarheid vinden.

7. Versterk beveiliging rond personeel, toegang en assets: Wie mag bij welk systeem? Dat vraagt om inzicht in al je assets en om toegangsbeleid op functieniveau, zodat een operator niet automatisch bij de financiële administratie kan. De wet vraagt ook om betrouwbaarheidseisen voor functies waar dat passend en noodzakelijk is, dus bepaal voor welke rollen screening zinvol is.

8. Regel je authenticatie en communicatie: De wet vraagt, waar dat past, om multifactor- of continue-authenticatie, om beveiligde spraak-, video- en tekstcommunicatie en om beveiligde noodcommunicatiesystemen binnen je organisatie. Dat laatste wordt bijna altijd vergeten. Als je mail en Teams platliggen, hoe overleg je dan met elkaar? Bij authenticatie adviseert het NCSC passkeys op basis van de FIDO2-standaard in plaats van wachtwoorden, omdat die goed bestand zijn tegen phishing.

9. Stel cryptografiebeleid op: Leg vast waar en hoe je encryptie toepast, zowel bij opgeslagen gegevens als bij je verbindingen. Denk aan versleutelde back-ups en beveiligde verbindingen met je leveranciers. Beschrijf ook wie verantwoordelijk is voor de invoering en voor het beheer van de sleutels, want dat is precies het onderdeel dat in de praktijk vaak nergens is vastgelegd.

10. Beoordeel of je maatregelen werken: Toets periodiek of je maatregelen daadwerkelijk doen wat ze moeten doen, en leg het resultaat schriftelijk vast. In de praktijk zien we dat juist deze maatregel het vaakst ontbreekt, terwijl het de maatregel is die aantoonbaarheid mogelijk maakt. Zonder toetsing heb je beleid, maar geen bewijs.

Wat opvalt aan deze tien maatregelen

Het merendeel gaat niet over techniek. Risicoanalyse, incidentresponsplan, toegangsbeleid, cryptografiebeleid en periodieke toetsing zijn beleidsstukken en processen. De techniek volgt daaruit, niet andersom. Dat is voor veel organisaties een omschakeling, want het betekent dat je niet klaar bent met de aanschaf van een securitytool.

Het goede nieuws is dat de meeste organisaties niet bij nul beginnen. Multifactor-authenticatie staat vaak al aan, back-ups lopen en endpointbeveiliging is geregeld. De uitdaging zit meestal in samenhang en aantoonbaarheid: beleid dat vindbaar en actueel is, besluiten die zijn vastgelegd en maatregelen waarvan je kunt laten zien dat ze getoetst zijn.

De meldplicht van de cyberbeveiligingswet: wat meld je wanneer?

Terug naar maandagmorgen. De ransomware is om negen uur vastgesteld, en dan gaat de klok lopen. Je meldt via het centrale meldpunt op MijnNCSC, de online omgeving van het NCSC, en dat gebeurt in drie stappen.

• • Binnen 24 uur na kennisname - Een vroegtijdige waarschuwing waarin je aangeeft of het incident vermoedelijk kwaadwillig is, of er gevolgen zijn over de grens en wie je contactpersoon is.

  • Binnen 72 uur na kennisname - Een melding waarin je die waarschuwing bijwerkt met een eerste beoordeling van de ernst en de gevolgen.

  • Binnen 1 maand na die melding - Een eindverslag met een beschrijving van het incident, de oorzaak en de maatregelen die je hebt genomen.

Twee dingen zijn hierbij belangrijk. Ten eerste zijn dit uiterste termijnen: de wet vraagt je onverwijld te melden, en pas als dat niet lukt geldt de 24 of 72 uur. Ten tweede verschillen de startpunten. De eerste twee termijnen lopen vanaf het moment dat je kennis krijgt van het incident, die laatste maand vanaf je melding van 72 uur. Duurt het incident op dat moment nog voort? Dan stuur je een voortgangsverslag, en volgt het eindverslag binnen een maand nadat het is afgehandeld.

Eén ding maakt het makkelijker dan het lijkt. Met die ene melding bereik je in één keer zowel je CSIRT, het responseteam dat je bij een incident kan ondersteunen, als de toezichthouder. Voor de meeste organisaties is dat CSIRT simpelweg het NCSC. Je hoeft ze dus niet apart te informeren.

Wat je vooral niet wil, is op maandagmorgen gaan uitzoeken wie de melding doet. Zorg dus dat je incidentproces en je contactpersonen op orde zijn voordat je ze nodig hebt.

Essentieel of belangrijk: wat is jouw categorie?

De wet maakt onderscheid tussen essentiële en belangrijke entiteiten, en dat onderscheid bepaalt hoe streng het toezicht is. Welke categorie voor jou geldt, hangt af van je sector en je omvang.

Onze machinebouwer valt onder de sector Vervaardiging, want vervaardiging van machines staat in bijlage 2 van de wet. Voor bedrijven uit die bijlage die groot genoeg zijn, geldt de categorie belangrijke entiteit.

Dat verschil merk je vooral in het toezicht. Essentiële entiteiten staan onder proactief toezicht: de toezichthouder kan ook langskomen als er niets is misgegaan. Bij belangrijke entiteiten is het toezicht reactief, dus naar aanleiding van signalen of een incident. Dat maakt de tweede groep niet vrijer, alleen later zichtbaar. De verplichtingen zijn hetzelfde.

De cyberbeveiligingswet is niet alleen een IT-project

De maatregelen uit de zorgplicht hebben de goedkeuring van je bestuur nodig, en het bestuur ziet ook toe op de uitvoering. Daar komt bij dat uitvoerende bestuurders genoeg kennis moeten hebben om risico's en maatregelen te kunnen beoordelen. Daarvoor volgen ze een training, waarvan ze een certificaat van deelname moeten kunnen laten zien. Die eis geldt uiterlijk vanaf 15 augustus 2028, en voor bestuurders die daarna aantreden gaat een eigen termijn van twee jaar in vanaf hun benoeming.

Cyberbeveiliging is daarmee geen ver-van-mijn-bed-onderwerp, maar een vast agendapunt aan de directietafel. En dat betekent ook dat je vastlegt welke risico's je bewust accepteert, en op basis van welke criteria je dat doet.

Hoe pak je dit aan?

Begin bij de risicoanalyse. Niet omdat het de leukste stap is, maar omdat de andere negen maatregelen daarop leunen.

Breng daarna in kaart wat er al staat, want in de praktijk is dat meer dan je denkt. Bepaal vervolgens wat ontbreekt, wat urgent is en wat mee kan in de reguliere roadmap. Door dat pragmatisch en stap voor stap aan te pakken, ontstaat een werkbare route. Geen dik rapport dat in de la verdwijnt, maar een lijst waar je morgen mee aan de slag kunt.

En val je zelf niet onder de wet? Dan nog kan dit op je bord komen. Organisaties die er wél onder vallen, moeten kijken naar de beveiliging bij hun rechtstreekse leveranciers en dienstverleners. Je klanten gaan dus vaker vragen hoe jouw beveiliging is ingericht, en of je dat kunt aantonen.

Veelgestelde vragen over de cyberbeveiligingswet

Hoe hoog zijn de boetes?

Dat hangt af van je categorie. Bij overtreding van de zorgplicht of de meldplicht ligt het maximum voor belangrijke entiteiten op 7 miljoen euro of 1,4 procent van de wereldwijde jaaromzet van de onderneming waar je bij hoort. Het hoogste bedrag geldt. Voor essentiële entiteiten is dat 10 miljoen euro of 2 procent.

Moeten we een CISO aanstellen?

Nee, dat verplicht de wet niet. Wel moet je vastleggen wie welke rol en verantwoordelijkheid heeft, en moet de kennis bij je bestuur geborgd zijn.

Bestaat er een officieel NIS2-certificaat?

Nee. Een commercieel assessment kan bruikbaar bewijs opleveren richting klanten en ketenpartners, maar het heeft geen wettelijke status en het vervangt het toezicht niet.

Wanneer is een incident significant genoeg om te melden?

Wat 'significant' is, verschilt per sector. Die drempels staan in aparte regelingen per departement, dus check wat voor jouw sector geldt. Kleinere incidenten en bijna-incidenten mag je vrijwillig melden, en zo'n melding gaat alleen naar het CSIRT en niet naar de toezichthouder.

Zo helpt yellow arrow

Bij een nulmeting op de Cyberbeveiligingswet kijken we niet alleen naar techniek. We lopen de tien maatregelen langs op beleid, processen, verantwoordelijkheden, leveranciersrisico's, incidentafhandeling en bewijsvoering. Wat is al geregeld? Wat ontbreekt nog? En wat moet eerst?

Voor yellowSECURE-klanten pakken we een deel hiervan structureel op, van monitoring en securityawareness tot het aantoonbaar houden van je maatregelen. Zo werk je aan digitale weerbaarheid met rust en grip, niet vanuit paniek.

Meer weten over de wet zelf? Lees onze pagina over de Cyberbeveiligingswet. Wil je weten waar jouw organisatie staat? Stuur dan een mail naar Remon Wieberdink.  Dan kijken we samen welke maatregelen bij jouw risico's passen en wat als eerste aandacht vraagt.