Cyberbeveiligingswet gaat in op 15 augustus: wat moet je nu doen?

Als jouw bedrijf onder de wet valt, gelden de verplichtingen vanaf dag één. Geen inloopperiode, geen gedoogbeleid in de eerste maanden. De toezichthouder kan direct handhaven — met boetes tot €10 miljoen voor essentiële entiteiten.

Dit blog is niet voor bedrijven die zich nog afvragen of ze plichtig zijn. Dat leggen we elders uit. Dit is voor wie weet dat hij erbij zit, en zich afvraagt: wat doe ik de komende vier weken?

Even snel: val jij eronder?

Voor wie het nog niet zeker weet: de Cyberbeveiligingswet (Cbw) geldt voor organisaties in kritieke sectoren — van zorg en energie tot transport, voeding en digitale aanbieders — die voldoen aan de drempelwaarden:

• Middelgrote entiteiten: 50+ medewerkers, of omzet/balanstotaal boven €10 miljoen
• Grote entiteiten: 250+ medewerkers, of omzet boven €50 miljoen en balanstotaal boven €43 miljoen

Valt jouw bedrijf in een kritieke sector én boven deze drempel? Dan gelden de verplichtingen.

Twijfel? Kijk op ncsc.nl/cyberbeveiligingswet-nis2 of gebruik de zelfscan op Ondernemersplein.

De twee kernverplichtingen

De wet draait om twee dingen:

1. Zorgplicht — Je neemt passende technische en organisatorische maatregelen tegen cyberrisico's. Dat betekent onder meer: risicobeoordeling, toegangsbeheer, back-ups, incidentrespons, en het bewaken van je toeleveringsketen.

2. Meldplicht — Significante incidenten meld je binnen 24 uur bij de toezichthouder én bij CSIRT/NCSC. Daarna volgt een volledig rapport binnen 72 uur.

En er is een derde verplichting die veel bedrijven over het hoofd zien: registratie in het nationaal entiteitenregister. Vanaf 15 augustus ben je verplicht je te registreren. Dat doe je bij de aangewezen toezichthouder voor jouw sector.

Vier weken, vier stappen

Je hebt geen jaar meer. Je hebt vier weken. Dit is de volgorde die werkt:

Week 1 — Weet waar je staat

Voer een basisrisicobeoordeling uit. Dat hoeft geen ISO 27001-traject te zijn; een gestructureerd gesprek met je IT-verantwoordelijke over de vijf grootste risico's is al een begin. Zet het op papier. De wet verwacht dat je kunt aantonen dat je nagedacht hebt.

Stel tegelijk vast wie intern verantwoordelijk is. Bestuurdersaansprakelijkheid is een expliciet onderdeel van de Cbw — de directie kan persoonlijk aansprakelijk worden gesteld bij nalatigheid.

Week 2 — Basishygiëne op orde

De wet schrijft geen specifieke tools voor, maar toezichthouders verwachten het volgende minimaal aanwezig:

• MFA op alle kritieke systemen en accounts
• Geteste back-ups (niet alleen aanwezig, maar ook getest op herstel)
• Patchbeleid — weten wanneer updates uitkomen en ze tijdig installeren
• Toegangsbeheer — wie heeft toegang tot wat, en waarom?

Dit zijn geen grote projecten. Dit is het fundament. Als dit er nog niet is, begin hier.

Week 3 — Ketenrisico in kaart

NIS2 heeft een ketencomponent die veel MKB-bedrijven verrast: grote klanten die onder de wet vallen, zijn verplicht hun leveranciers te controleren. Dat ben mogelijk jij.

Breng in kaart welke leveranciers jij kritisch acht voor jouw dienstverlening. Denk aan je cloudprovider, je IT-beheerder, je boekhoudpakket. Vraag ze naar hun beveiligingsmaatregelen. Leg het vast.

Week 4 — Registreren en incidentprocedure regelen

Registreer je organisatie in het nationaal entiteitenregister via de toezichthouder voor jouw sector. Dit is een harde wettelijke verplichting per 15 augustus.

Stel tegelijk een simpele incidentprocedure op: wat doe je als er iets fout gaat? Wie belt wie? Wanneer is het “significant” genoeg om te melden? Je hoeft geen volledig draaiboek te hebben, maar je moet kunnen aantonen dat je een procedure hebt.

Wat als je niets doet?

Concreet:

• Boetes tot €10 miljoen of 2% van de wereldwijde jaaromzet (voor essentiële entiteiten)
• Boetes tot €7 miljoen of 1,4% van de omzet (voor belangrijke entiteiten)
• Bestuurdersaansprakelijkheid — de directeur kan persoonlijk aansprakelijk worden gesteld
• Reputatieschade bij een incident dat je had moeten melden maar niet deed
• Contractrisico's — grote opdrachtgevers die zelf onder de wet vallen, zullen leveranciers zonder aantoonbare beveiliging gaan weren

De kans dat een toezichthouder op 16 augustus de deuren bij iedereen plat loopt: klein. Maar de kans dat een incident — een datalek, een ransomware-aanval, een uitval — onder een microscoop belandt omdat jij niet geregistreerd was en geen procedure had: veel groter.

Blijf op de hoogte

De Cyberbeveiligingswet is niet de laatste regelgeving op dit terrein. De EU werkt aan aanvullende gedelegeerde verordeningen, en de toezichthouders stellen nog nadere richtlijnen op.

RegelRadar houdt de ontwikkelingen bij en signaleert relevante wijzigingen voor jouw sector zodra ze er zijn.