Je valt niet onder de Cyberbeveiligingswet. Waarom krijg je dan toch die vragenlijst?

Op 15 augustus 2026 is de Cyberbeveiligingswet (Cbw) in werking getreden. Het is de Nederlandse uitwerking van de Europese NIS2-richtlijn. Volgens de Rijksoverheid vallen er ruim 8000 organisaties onder, verdeeld over 18 sectoren. Denk aan energie, drinkwater, gezondheidszorg, vervoer, digitale infrastructuur en de overheid.

Het gaat vooral om middelgrote en grote organisaties in die sectoren. De overheid kan ook kleinere bedrijven aanwijzen, en een paar soorten dienstverleners vallen er altijd onder, zoals aanbieders van DNS-diensten en domeinregistratie.

Wie onder de wet valt, moet zich registreren bij het NCSC, passende maatregelen nemen tegen cyberrisico's en ernstige incidenten snel melden. Voor die eerste melding noemt de KVK een termijn van 24 uur. Het bestuur is eindverantwoordelijk en kan zich niet meer verschuilen achter de IT-afdeling.

De wet legt zelf geen verplichtingen op aan toeleveranciers. Maar de zorgplicht van jouw klant gaat ook over zijn toeleveringsketen. Kan een aanval via jouw bedrijf bij zijn systemen of gegevens komen, dan moet hij daar iets mee.

Daarom stellen Cbw-organisaties eisen aan hun leveranciers en vragen ze om bewijs. De KVK zegt het zonder omwegen: lever je aan een bedrijf dat onder de wet valt, dan moet je kunnen laten zien dat je beveiliging op orde is. Die eisen kunnen per opdrachtgever verschillen.

Denk aan de installateur die op afstand inlogt op het gebouwbeheer van een ziekenhuis. Of de groothandel waarvan de webshop via een koppeling bestellingen van een waterbedrijf verwerkt. Klein bedrijf, grote klant, één verbinding.

Goed om te weten: volgens het Digital Trust Center bestaat er geen keurmerk of certificaat waarmee je aan de Cbw voldoet. Een certificaat kan helpen, maar uiteindelijk telt wat je aantoonbaar geregeld hebt.

Elke opdrachtgever heeft zijn eigen lijst, maar dezelfde onderwerpen komen steeds terug:

• Tweestapsverificatie. Staat 2FA aan op alle accounts, ook op je website, webshop en boekhouding?
• Updates. Worden software en systemen regelmatig bijgewerkt, en door wie?
• Back-ups. Maak je regelmatig back-ups, en weet je zeker dat je ze kunt terugzetten?
• Melden. Hoe snel laat je het je klant weten als er een lek of aanval is?
• Toegang. Wie kan bij welke gegevens, en wat gebeurt er met accounts als iemand vertrekt?
• Bewustzijn. Herkennen je medewerkers een phishingmail?
• Continuïteit. Is er een plan als je systemen een dag platliggen?

Een deel van die vragen gaat over je eigen kantoor: laptops, wachtwoorden, je mailbox. Een ander deel gaat over je website, webshop, hosting en koppelingen. Dat deel nemen wij graag van je over.

Draait je website of webshop op My Media Editor en bij ons in de hosting, dan liggen veel antwoorden al klaar. Tweestapsverificatie en automatisch uitloggen zitten in het beheersysteem. Elke wijziging komt in een logboek, zodat je kunt laten zien wie wat heeft aangepast. Back-ups, updates en beveiliging regelen wij. Hoe dat werkt, lees je in onze blog over hosting via Media Solutions.

Koppelingen verdienen extra aandacht. Een koppeling tussen je webshop en AFAS of een ander pakket wisselt klant- en ordergegevens uit, vaak zonder dat er iemand naar kijkt. Als AFAS Partner sinds 2016 bouwen wij die koppelingen zelf. We brengen voor je in kaart welke gegevens erdoorheen gaan en wie er toegang toe heeft. Precies wat een opdrachtgever wil weten.

Draait je site ergens anders, of weet je niet goed hoe het ervoor staat? Dan laat onze securityscan snel zien waar de zwakke plekken zitten.

Stuur hem gerust naar ons door. We helpen je de vragen over je website, webshop, hosting en koppelingen te beantwoorden, en zeggen eerlijk waar nog iets te verbeteren valt. Dan sta je bij je klant met antwoorden in plaats van vraagtekens.

Neem contact met ons op of lees meer over hoe wij websites bouwen en beheren.