Cyberbeveiligingswet en NIS2: wat betekent dit voor MKB en ZZP?

De Cyberbeveiligingswet is de Nederlandse uitwerking van de Europese NIS2-richtlijn. De wet is bedoeld om digitale weerbaarheid in Europa te verbeteren. Belangrijke en essentiële organisaties moeten cyberrisico’s beter beheersen, incidenten melden en zich registreren.

Dat klinkt misschien als iets voor grote organisaties, overheid, zorg, energie of digitale dienstverleners. Toch is het onderwerp ook relevant voor MKB en ZZP. Niet altijd omdat je direct onder de wet valt, maar omdat klanten, leveranciers en ketenpartners steeds vaker willen weten hoe je met beveiliging omgaat.

In dit artikel leggen we uit wat de Cyberbeveiligingswet praktisch betekent, waar je als ondernemer op moet letten en welke stappen je nu al kunt zetten zonder er een zwaar complianceproject van te maken.

Wat is de Cyberbeveiligingswet?

De Europese NIS2-richtlijn is eind 2022 vastgesteld. Nederland werkt die richtlijn uit in de Cyberbeveiligingswet, vaak afgekort als Cbw. Volgens het NCSC vervangt deze wet de huidige Wet beveiliging netwerk- en informatiesystemen zodra de Cyberbeveiligingswet in werking treedt.

De kern is simpel: organisaties die belangrijk zijn voor maatschappij of economie moeten beter voorbereid zijn op digitale risico’s. Denk aan systemen, data, leveranciers, incidenten en herstel. De wet spreekt over belangrijke en essentiële entiteiten. Of jouw organisatie daaronder valt, hangt af van sector, omvang en de diensten die je levert.

Let op: dit artikel is praktische IT-uitleg, geen juridisch advies. Twijfel je of jouw bedrijf formeel onder de wet valt, laat dat dan juridisch of compliancematig beoordelen. Voor de technische basis kun je wel alvast veel nuttige stappen zetten.

Waarom dit ook voor MKB en ZZP belangrijk is

Niet ieder MKB-bedrijf en niet iedere ZZP’er valt direct onder de Cyberbeveiligingswet. Toch kan de wet indirect invloed hebben. Grote klanten en organisaties die wel onder NIS2 vallen, kijken namelijk ook naar hun leveranciers. Als jij toegang hebt tot systemen, gegevens verwerkt, beheer uitvoert of een digitale dienst levert, kan een klant vragen om aantoonbare basismaatregelen.

Dat hoeft niet meteen ingewikkeld te zijn. Vaak gaat het om vragen die je eigenlijk sowieso wilt kunnen beantwoorden. Wie heeft toegang tot welke systemen? Staat MFA aan? Hoe worden back-ups gemaakt? Wat doe je bij een incident? Welke leveranciers zijn belangrijk voor je dienstverlening?

Voor MKB en ZZP is de beste aanpak daarom praktisch: zorg eerst dat de basis klopt. Daarmee verklein je risico’s, werk je professioneler richting klanten en voorkom je dat beveiligingsvragen later met haast moeten worden opgelost.

De drie hoofdpunten: zorgplicht, meldplicht en registratieplicht

Het NCSC benoemt drie belangrijke plichten binnen de Cyberbeveiligingswet: zorgplicht, meldplicht en registratieplicht. Niet elke ondernemer krijgt hiermee direct te maken, maar de logica erachter is nuttig voor bijna elk bedrijf.

• Zorgplicht: organisaties moeten risico’s beoordelen en passende maatregelen nemen voor hun netwerk- en informatiesystemen.
• Meldplicht: significante incidenten moeten worden gemeld bij het CSIRT en de toezichthouder. Volgens het NCSC geldt hiervoor een gefaseerde meldplicht, met een eerste waarschuwing zo snel mogelijk en in ieder geval binnen 24 uur na waarneming.
• Registratieplicht: organisaties die onder de wet vallen moeten gegevens aanleveren voor het entiteitenregister. Het NCSC geeft aan dat registreren nu al kan via mijn.ncsc.nl, maar dat de plicht pas geldt vanaf inwerkingtreding van de wet.

Voor veel ondernemers is vooral de zorgplicht interessant. Die vertaalt zich naar normaal, goed IT-beheer: weten wat je hebt, weten wat belangrijk is en passende maatregelen nemen.

Stap 1: breng je IT in kaart

Je kunt cyberrisico’s pas goed beoordelen als je weet wat je gebruikt. Maak daarom een eenvoudig overzicht van laptops, telefoons, accounts, e-mail, cloudopslag, boekhoudsoftware, website, hosting, domeinbeheer en netwerkapparatuur. Voeg ook toe wie beheerder is en welke leverancier erbij hoort.

Dit overzicht hoeft niet perfect te zijn. Een goed bijgehouden spreadsheet is vaak al een enorme verbetering. Het voorkomt dat belangrijke toegang of afhankelijkheden alleen in iemands hoofd zitten.

Stap 2: regel MFA en toegangsrechten

Multifactorauthenticatie is één van de snelste manieren om het risico op misbruik te verkleinen. Zet MFA minimaal aan voor Microsoft 365, Google Workspace, boekhouding, hosting, domeinbeheer, social media en beheerdersaccounts.

Kijk daarna naar rechten. Niet iedereen hoeft overal bij te kunnen. Gebruik aparte beheerdersaccounts waar dat kan, verwijder oude accounts en controleer gedeelde mailboxen, SharePoint, OneDrive en externe software. Dit sluit goed aan bij praktisch werkplekbeheer.

Stap 3: controleer back-ups en herstel

Een back-up is pas waardevol als je weet dat je data kunt terugzetten. Controleer daarom niet alleen of er een back-up draait, maar ook wat precies wordt bewaard. Denk aan bestanden, mailboxen, SharePoint, databases, websitebestanden en boekhouddata.

Voor ransomware of verwijderde bestanden is herstel cruciaal. Laat daarom periodiek testen of belangrijke data echt teruggezet kan worden. Heb je nog geen duidelijke aanpak, kijk dan naar een passende back-up oplossing.

Stap 4: maak een simpel incidentplan

De meldplicht uit de Cyberbeveiligingswet geldt niet voor iedereen, maar elk bedrijf heeft baat bij een incidentplan. Je wilt bij een gehackt account, verdachte betaling, malwaremelding of datalek niet op dat moment nog uitzoeken wie wat moet doen.

Zet op één pagina wie je belt, welke accounts direct worden geblokkeerd, waar back-ups staan, wie klanten of leveranciers informeert en waar je belangrijke gegevens vindt. Voeg ook toe wanneer je juridisch advies of een privacyadviseur inschakelt.

Stap 5: kijk naar leveranciers en ketenafspraken

NIS2 legt meer nadruk op ketenrisico’s. Ook als je niet direct onder de wet valt, kunnen klanten vragen hoe jij je eigen leveranciers beheert. Denk aan hosting, clouddiensten, softwareleveranciers, betaalproviders en externe IT-partijen.

Voor MKB en ZZP is het vaak genoeg om te beginnen met overzicht. Welke leveranciers zijn onmisbaar? Wie heeft toegang tot klantgegevens of systemen? Wat gebeurt er als een leverancier uitvalt? Welke afspraken zijn vastgelegd?

Moet je nu al alles regelen?

Nee, paniek is niet nodig. Maar wachten tot een klant om bewijs vraagt of tot een incident gebeurt, is ook niet handig. De Cyberbeveiligingswet is vooral een goede aanleiding om de basis op orde te brengen.

Begin klein. Maak overzicht, zet MFA aan, controleer back-ups, beperk rechten en leg incidentafspraken vast. Daarmee ben je niet automatisch volledig NIS2-compliant, maar je staat wel veel sterker dan wanneer alles ad hoc blijft.

Hoe corTechs kan helpen

corTechs helpt MKB en ZZP in Amsterdam en omgeving met praktische cybersecurity. Denk aan Microsoft 365 instellingen, MFA, werkplekbeheer, back-ups, netwerk, websitebeveiliging en duidelijke afspraken voor incidenten.

We maken het niet zwaarder dan nodig. Eerst kijken we wat je gebruikt, waar risico’s zitten en welke maatregelen het meeste effect hebben. Daarna kun je stap voor stap verbeteren, passend bij je bedrijf.

Veelgestelde vragen

Wat is de Cyberbeveiligingswet?

De Cyberbeveiligingswet is de Nederlandse uitwerking van de Europese NIS2-richtlijn. De wet verplicht belangrijke en essentiële organisaties om cyberrisico’s beter te beheersen, incidenten te melden en zich te registreren.

Valt ieder MKB-bedrijf onder NIS2?

Nee. Niet ieder MKB-bedrijf valt direct onder de Cyberbeveiligingswet. De wet richt zich vooral op belangrijke en essentiële organisaties in aangewezen sectoren. Toch kunnen MKB en ZZP indirect met de eisen te maken krijgen via klanten, leveranciers of ketenafspraken.

Wat kan ik nu alvast regelen voor NIS2?

Begin met overzicht. Breng accounts, apparaten, belangrijke data, leveranciers, back-ups en incidentafspraken in kaart. Zet MFA aan, houd systemen bijgewerkt, beperk rechten en zorg dat je weet wat je doet bij een incident.

Moet ik een incident altijd binnen 24 uur melden?

Voor organisaties die onder de Cyberbeveiligingswet vallen, geldt een gefaseerde meldplicht voor significante incidenten. De eerste waarschuwing moet volgens het NCSC zo snel mogelijk en in ieder geval binnen 24 uur na waarneming plaatsvinden. Laat bij twijfel beoordelen of jouw organisatie onder de wet valt.

Kan corTechs helpen met voorbereiding op de Cyberbeveiligingswet?

Ja. corTechs kan praktisch meekijken naar Microsoft 365, werkplekken, back-ups, rechten, basisbeveiliging en incidentafspraken. Voor juridische beoordeling of jouw organisatie formeel onder de wet valt, is specialistisch juridisch advies verstandig.