Cyberbeveiligingswet: dit verandert voor mkb

Sinds 15 augustus 2026 is de Cyberbeveiligingswet van kracht. Het is de Nederlandse uitwerking van de Europese NIS2-richtlijn. Veel ondernemers denken dat de wet alleen over ziekenhuizen en energiebedrijven gaat. Dat klopt voor de directe verplichtingen, maar de wet werkt door in de hele keten. Dit artikel legt uit wie eronder valt, wat er van u gevraagd wordt en hoe een beheerde werkplek daarbij helpt.

Wie valt er direct onder?

Ruim 8.000 organisaties in achttien sectoren: zorg, energie, water, transport, digitale dienstverlening, overheid, afvalverwerking, voedselproductie en meer. Of u erbij hoort hangt af van uw sector en uw omvang. De grens ligt in de meeste sectoren bij vijftig medewerkers of tien miljoen euro omzet. Een zzp'er of een bedrijf met twaalf mensen valt er dus vrijwel nooit rechtstreeks onder.

Waarom het mkb er toch mee te maken krijgt

De wet kent ketenverantwoordelijkheid: een organisatie die onder de wet valt, moet ook de digitale veiligheid van haar leveranciers beoordelen. Naar schatting krijgen daardoor 50.000 tot 100.000 mkb-bedrijven vragen van hun opdrachtgevers. Denk aan een installatiebedrijf dat voor een ziekenhuis werkt, een schoonmaakbedrijf bij een waterschap, of een administratiekantoor met klanten in de zorg.

De vragen die dan komen zijn altijd dezelfde:

• Waar staan uw gegevens, en die van ons?
• Wie kan erbij, en is dat met tweestapsverificatie?
• Hoe snel staat u weer als er iets kapotgaat?
• Wat doet u als er een incident is, en meldt u dat aan ons?
• Is er een verwerkersovereenkomst?

Wie daar geen antwoord op heeft, verliest op termijn de opdracht. Niet omdat de wet dat zegt, maar omdat de opdrachtgever een andere leverancier kiest die het wel op papier heeft.

De drie verplichtingen

1. Zorgplicht. Passende technische en organisatorische maatregelen: toegangsbeheer, meervoudige verificatie, back-up, updates, logging.
2. Meldplicht. Ernstige incidenten binnen 24 uur melden bij de toezichthouder, met een uitgebreider rapport binnen 72 uur.
3. Ketenverantwoordelijkheid. Zicht hebben op de digitale weerbaarheid van leveranciers en dienstverleners.

Wat een beheerde werkplek hieraan bijdraagt

Een leverancier kan uw verplichtingen niet overnemen, maar wel het grootste deel van het werk. In de VIT Werkplek zit standaard: één centrale inlog met tweestapsverificatie, rechten per groep, dagelijkse back-up op aparte apparatuur, logging van beheerhandelingen en aanmeldingen, en een verwerkersovereenkomst met de subverwerkers erin benoemd. Alles staat op eigen apparatuur in Nederland, buiten bereik van de Amerikaanse CLOUD Act.

Wat van u blijft: bepalen wie waar bij mag, de melding aan de toezichthouder doen als dat aan de orde is, en ons opnemen in uw eigen leveranciersbeoordeling. Op de pagina AVG, NIS2 en Cyberbeveiligingswet staat per onderwerp wat wij leveren en wat u zelf doet.