Laatst bijgewerkt: 16 juni 2026.
Cyberveiligheid is niet meer alleen iets voor de IT-afdeling. Nieuwe wetten maken digitale veiligheid steeds meer een taak voor het hele bedrijf. Ook directie, management, administratie, HR, inkoop en klantenservice krijgen ermee te maken.
Deze uitleg is geschreven voor kleine, middelgrote en grote bedrijven. Geen moeilijke juridische taal. Wel duidelijk wat er verandert en wat je nu al kunt doen.
Let op: dit artikel is algemene informatie en geen juridisch advies. Controleer altijd of jouw organisatie onder een wet valt.
Kort antwoord: wat verandert er?
Bedrijven moeten steeds beter kunnen laten zien dat zij digitaal veilig werken. Niet alleen zeggen dat het goed zit, maar ook aantonen wat er is geregeld.
De belangrijkste verandering is dit: cyberveiligheid wordt een vast onderdeel van bestuur, risico en bedrijfscontinuïteit. Denk aan toegang, back-ups, leveranciers, incidenten, training en veilig omgaan met klantgegevens.
Welke cyberwetten zijn belangrijk?
1. NIS2 en de Nederlandse Cyberbeveiligingswet
NIS2 is een Europese richtlijn voor betere cyberveiligheid. Nederland werkt deze richtlijn uit in de Cyberbeveiligingswet. Deze wet is vooral belangrijk voor organisaties in belangrijke en essentiële sectoren.
Denk aan sectoren zoals zorg, energie, transport, digitale diensten, overheid, financiële diensten, drinkwater, afvalwater, voedsel, post, productie en bepaalde ICT-diensten.
Niet elk klein bedrijf valt direct onder NIS2. Toch kunnen veel kleinere bedrijven er indirect mee te maken krijgen. Bijvoorbeeld als zij leverancier zijn van een grotere organisatie die wél onder de wet valt.
2. Wet weerbaarheid kritieke entiteiten
Deze wet gaat over organisaties die heel belangrijk zijn voor de samenleving. Bijvoorbeeld organisaties die nodig zijn voor energie, zorg, water, vervoer of digitale diensten. Het doel is dat deze organisaties beter bestand zijn tegen grote verstoringen.
Het gaat niet alleen om digitale risico's. Ook fysieke risico's, personeel, gebouwen, leveringen en noodplannen kunnen belangrijk zijn.
3. DORA voor de financiële sector
DORA is een Europese wet voor digitale weerbaarheid in de financiële sector. Deze wet is vooral belangrijk voor banken, verzekeraars, betaaldiensten, beleggingsbedrijven en sommige ICT-leveranciers aan de financiële sector.
De kern is simpel: financiële organisaties moeten hun ICT-risico's goed beheren, incidenten melden, systemen testen en afspraken met ICT-leveranciers goed vastleggen.
4. Cyber Resilience Act voor digitale producten
De Cyber Resilience Act is belangrijk voor bedrijven die digitale producten maken, leveren of verkopen. Denk aan software, apparaten, slimme producten en producten met internetverbinding.
De wet vraagt om veilige producten, veilig onderhoud, beveiligingsupdates en een proces om kwetsbaarheden te behandelen. Belangrijke verplichtingen gaan stap voor stap gelden. Meldplichten starten eerder dan de hoofdverplichtingen.
5. AI Act voor veilig gebruik van kunstmatige intelligentie
Veel bedrijven gebruiken inmiddels AI-tools. Bijvoorbeeld voor teksten, klantenservice, analyse, marketing, administratie of HR. De AI Act maakt regels voor veilig en eerlijk gebruik van AI.
Voor bedrijven is vooral belangrijk: weet welke AI-tools je gebruikt, welke gegevens erin gaan, wie verantwoordelijk is en of er risico's zijn voor klanten, medewerkers of persoonsgegevens.
6. AVG en datalekken blijven belangrijk
De AVG bestaat al langer, maar blijft de basis voor privacy en persoonsgegevens. Cyberwetgeving en privacywetgeving raken elkaar vaak. Een hack kan ook een datalek zijn. Dan moet je weten wat er is gebeurd, welke gegevens geraakt zijn en of je moet melden.
Wat betekent dit voor kleine bedrijven?
Voor kleine bedrijven is de eerste vraag: val je direct onder een wet, of krijg je er vooral mee te maken via klanten en leveranciers?
Ook als je niet direct onder NIS2 valt, kan een grote klant vragen om bewijs. Bijvoorbeeld: werk je met MFA, heb je back-ups, train je medewerkers, heb je een incidentplan en weet je wie toegang heeft tot klantgegevens?
Begin klein, maar begin wel. Deze basis helpt bijna elk bedrijf:
- gebruik sterke wachtwoorden en een wachtwoordmanager;
- zet tweestapsverificatie aan op e-mail, boekhouding en cloudsystemen;
- maak back-ups en test of je ze kunt terugzetten;
- houd laptops, telefoons en software up-to-date;
- leg vast wie toegang heeft tot welke systemen;
- maak een korte instructie voor phishing en verdachte links;
- maak een simpel noodplan: wie bel je bij een hack?
Wat betekent dit voor middelgrote bedrijven?
Middelgrote bedrijven hebben vaak meer systemen, meer medewerkers en meer leveranciers. Daardoor is het risico groter. Ook is de kans groter dat klanten om beveiligingsbewijs vragen.
Voor middelgrote bedrijven is het verstandig om één eigenaar aan te wijzen voor cyberveiligheid. Dat hoeft niet altijd een fulltime securitymanager te zijn. Maar iemand moet verantwoordelijk zijn voor overzicht en opvolging.
Maak minimaal een overzicht van:
- belangrijke systemen, zoals e-mail, CRM, boekhouding en productie;
- belangrijke gegevens, zoals klantdata, personeelsdata en contracten;
- belangrijke leveranciers, zoals cloud, IT-beheer, software en hosting;
- grootste risico's, zoals phishing, ransomware, datalekken en uitval;
- maatregelen die al bestaan en maatregelen die nog ontbreken.
Wat betekent dit voor grote bedrijven en organisaties?
Grote organisaties moeten meestal meer aantonen. Niet alleen maatregelen nemen, maar ook bewijzen dat die maatregelen werken.
Belangrijke onderwerpen zijn dan:
- bestuurlijke verantwoordelijkheid;
- risicoanalyse en beleid;
- incidentrespons en crisisoefeningen;
- leveranciersbeheer en contracten;
- logging en monitoring;
- toegangsbeheer;
- back-up, herstel en continuïteit;
- training voor medewerkers en management.
Waarom leveranciers steeds belangrijker worden
Veel cyberincidenten beginnen niet bij het bedrijf zelf, maar bij een leverancier. Bijvoorbeeld via software, externe IT-beheerder, cloudomgeving of gedeelde toegang.
Daarom kijken nieuwe cyberregels vaak naar de hele keten. Een groot bedrijf wil weten of zijn leveranciers veilig genoeg werken. Daardoor krijgen ook kleinere bedrijven vragen over hun beveiliging.
Praktische checklist voor elke organisatie
Gebruik deze checklist als startpunt:
- Weten wij welke systemen bedrijfskritisch zijn?
- Weten wij welke persoonsgegevens en klantgegevens wij verwerken?
- Gebruiken wij tweestapsverificatie op alle belangrijke accounts?
- Zijn beheeraccounts extra beschermd?
- Hebben wij actuele back-ups?
- Hebben wij getest of herstel werkt?
- Weten medewerkers hoe zij phishing herkennen?
- Hebben wij een lijst van belangrijke leveranciers?
- Hebben wij een incidentplan?
- Weten wij wanneer wij een incident of datalek moeten melden?
Veelgestelde vragen
Moet elk bedrijf aan NIS2 voldoen?
Nee, niet elk bedrijf valt direct onder NIS2 of de Cyberbeveiligingswet. Dat hangt af van sector, grootte en soort dienst. Maar veel bedrijven krijgen er indirect mee te maken via klanten, opdrachten, aanbestedingen of leveranciersvoorwaarden.
Is cyberwetgeving alleen belangrijk voor grote bedrijven?
Nee. Grote bedrijven hebben vaak meer formele verplichtingen, maar kleine bedrijven zijn ook kwetsbaar. Een gehackt e-mailaccount, valse factuur of ransomware-aanval kan ook een klein bedrijf hard raken.
Wat is de beste eerste stap?
Begin met overzicht. Welke systemen zijn belangrijk? Wie heeft toegang? Welke gegevens zijn gevoelig? Welke leveranciers zijn onmisbaar? Daarna kun je pas goede maatregelen kiezen.
Conclusie
De komende cyberwetten maken één ding duidelijk: digitale veiligheid wordt normaal bedrijfsbeheer. Niet alleen techniek, maar ook beleid, gedrag, leveranciers en voorbereiding.
Wacht daarom niet tot een klant, toezichthouder of incident je dwingt. Begin met de basis. Dat maakt je bedrijf veiliger en geeft meer vertrouwen aan klanten en partners.
Wil je weten waar jouw organisatie nu staat? IdenScan helpt bedrijven met een praktische cybercheck, bewustwording en duidelijke stappen zonder ingewikkelde taal.
Bronnen en nuttige links
- Rijksoverheid: Tweede Kamer stemt in met Cyberbeveiligingswet
- Digitale Overheid: Cyberbeveiligingswet
- NCTV: Cyberbeveiligingswet
- NCSC: aan de slag met NIS2 en de Cyberbeveiligingswet
- European Commission: Cyber Resilience Act
- European Commission: Digital Operational Resilience Act
- European Commission: AI Act