Zaterdag gaat de Cyberbeveiligingswet in. Jij als mkb’er valt er niet onder, je grootste klant wel
Donderdagmiddag, kwart voor vijf. Je doet net de laatste offerte van de week de deur uit, als er een mail binnenkomt van je grootste klant. Geen bestelling, maar een bijlage: “Leveranciersvragenlijst informatiebeveiliging”. Achttien vragen over hoe jij je systemen beveiligt en wat je doet als het misgaat. Eronder een deadline en de mededeling dat de samenwerking zonder ingevulde lijst niet doorgaat. Zo komt de Cyberbeveiligingswet het mkb binnen: niet via een brief van de overheid, maar via de klant die je niet kwijt wilt.
Zaterdag 15 augustus 2026 treedt de Cyberbeveiligingswet in werking, de Nederlandse invulling van de Europese NIS2-richtlijn. De Eerste Kamer nam de wet aan op 7 juli. Volgens Computable vallen er ruim 8.000 organisaties rechtstreeks onder. De wet richt zich vooral op grotere bedrijven en op sectoren als energie, zorg, transport en digitale infrastructuur. De kans is groot dat jouw bedrijf daar niet bij zit. En toch is dit jouw probleem geworden.
Waarom de Cyberbeveiligingswet ook bij mkb’ers langskomt die er niet onder vallen
De wet legt aan die 8.000 organisaties een plicht op die verder reikt dan hun eigen serverruimte. Ze moeten ook de risico’s in hun keten op orde hebben. Simpel gezegd: een bedrijf dat eronder valt, is medeverantwoordelijk voor de beveiliging van de partijen waarmee het samenwerkt. Jij bent zo’n partij. Je levert onderdelen, software, schoonmaak, administratie of transport, en via jouw toegang tot hun systemen of gegevens loopt een deel van hun risico.
Die organisaties kunnen dat risico niet negeren, dus geven ze het door. Niet omdat ze je wantrouwen, maar omdat ze het zelf moeten kunnen aantonen. Het middel daarvoor is precies die vragenlijst uit de opening, of een nieuwe passage in het contract bij de eerstvolgende verlenging. Zo verschuift een wet waar je niet onder valt alsnog jouw kant op. Niet als boete, maar als voorwaarde om zaken te blijven doen.
“Dat regelt onze ICT-partij” is niet het antwoord dat je klant zoekt
De verleiding is groot om zo’n lijst meteen door te sturen naar de partij die je computers beheert. Begrijpelijk, maar de meeste vragen gaan niet alleen over techniek. Ze gaan over hoe jouw bedrijf werkt. Wie heeft er toegang tot welke gegevens? Wat gebeurt er als een laptop wordt gestolen? Wie belt je klant als er ’s nachts iets misgaat, en hoe snel? Dat zijn keuzes die jij maakt, niet je leverancier alleen.
Neem MFA authenticatie, een tweede stap bij het inloggen zoals een code op je telefoon. Of je dat aan hebt staan, is een technische instelling. Maar of iedereen in je bedrijf het gebruikt en of een oud-medewerker nog ergens in kan, is een kwestie van afspraken en discipline. Een vragenlijst vraagt naar dat geheel. “Dat regelt onze ICT-partij” laat precies dat gat open, en je klant leest het als: hij weet het niet.
Het punt is niet dat je alles zelf moet begrijpen. Het punt is dat je moet kunnen laten zien dat het geregeld is. Wie van tevoren weet wat er in zo’n lijst staat, vult hem een stuk sneller en rustiger in dan wie blanco moet beginnen en alles pas gaat uitzoeken als de klant al op antwoord wacht.
Wat je maandag kunt doen zonder de hele boel om te gooien
Je hoeft hier niet meteen een groot beveiligingsproject van te maken. Begin klein en concreet. De volgende punten dekken het grootste deel van wat er in zo’n leveranciersvragenlijst staat:
- Zet MFA aan voor iedereen die bij je e-mail en bestanden kan, niet alleen voor jezelf.
- Controleer of je back-up niet alleen draait, maar ook echt terug te zetten is. Test dat een keer.
- Maak een kort overzicht van wie toegang heeft tot welke systemen, en haal oud-medewerkers eruit.
- Leg vast wie je belt als er iets misgaat, en zorg dat dat nummer klopt.
- Vraag je ICT-partner welke van deze punten al voor je geregeld zijn en welke niet.
Dat is geen indrukwekkend certificaat, maar het zijn wel de eerste vier of vijf vragen die je klant stelt. En het geeft je rust: je weet wat er staat voordat de lijst binnenkomt, in plaats van erna.
Wil je zien wat er allemaal onder beveiliging valt en waar wij bij kunnen helpen, kijk dan op de overzichtspagina met onze beveiligingsdiensten. Geen verplichting, gewoon om een beeld te krijgen van waar het over gaat.
De ene vraag die je deze week zelf kunt stellen
Wacht niet tot de mail van kwart voor vijf. Stuur deze week je grootste klant, of de twee grootste, een kort bericht met de vraag of er een leveranciersvragenlijst of nieuwe beveiligingseis aankomt nu de Cyberbeveiligingswet ingaat. Twee zinnen zijn genoeg. Het antwoord vertelt je of je nog tijd hebt of dat het al loopt.
Krijg je die lijst en loop je vast, dan denken we graag een keer met je mee wat er nou echt gevraagd wordt. Geen helpdesk ver weg, gewoon iemand die het rustig met je doorneemt. Maar de eerste stap kost je niks en kun je vandaag zetten: die ene mail naar je grootste klant.
Geschreven door Andy van Heeswijk
Meer ICThema's
“Dat overkomt mij toch niet?”
Het verhaal van melkveehouder Gerrit Gerrit heeft een mooi melkveebedrijf. Moderne stal, robots die het melken doen, sensoren die...
Lees meer
Wat de cyberaanval op de TU/e ons leert over cybersecurity
Op 21 mei was onze collega Ward Eikelboom aanwezig bij een lezing van Richard Derks, systeembeheerder bij de Technische...
Lees meer