Van wettelijke zorgplicht naar aantoonbare technische maatregelen
De Cyberbeveiligingswet (Cbw), de Nederlandse invulling van de Europese NIS2-richtlijn, is op 15 augustus 2026 in werking getreden. De wet stelt eisen aan de digitale weerbaarheid van organisaties die essentiële of belangrijke diensten leveren, en heeft ook gevolgen voor hun toeleveringsketen, doordat organisaties onder de wet de beveiligingsrisico's van hun leveranciers en dienstverleners moeten beheersen.
Voor veel MKB-organisaties roept dat twee vragen op: vallen wij hieronder? en wat betekent dit concreet voor onze IT? Wij helpen bij het tweede: het vertalen van de zorgplicht naar technische maatregelen die daadwerkelijk werken én aantoonbaar zijn.
Deze pagina beschrijft de technische en organisatorische kant van NIS2/de Cyberbeveiligingswet. Voor de juridische vraag óf en hoe uw organisatie onder de wet valt, verwijzen wij naar de officiële bronnen en waar nodig juridisch advies. Onze rol is het technisch implementeren en aantoonbaar maken van de maatregelen.
Officiële bronnen: NCSC: Cyberbeveiligingswet (NIS2), NCTV: zorgplicht, registratieplicht en meldplicht en het entiteitenregister (MijnNCSC).
De Cyberbeveiligingswet kent grofweg drie verplichtingen:
Daarnaast legt de wet nadrukkelijk verantwoordelijkheid bij het bestuur: het bestuur moet de maatregelen goedkeuren en toezicht houden op de uitvoering, en de wet bevat een trainingsplicht voor bestuurders. Ook kijkt de wet naar de hele keten: ook als u zelf niet rechtstreeks onder de wet valt, kan een klant die dat wél doet eisen aan u stellen als toeleverancier.
Wij zijn geen juristen en geen toezichthouder. Wij implementeren en verifiëren de technische maatregelen die de zorgplicht concreet maken, en zorgen dat u ze kunt aantonen. In de praktijk gaat het om:
Inventarisatie van systemen, gegevens en datastromen, en het koppelen daarvan aan risico's, de basis onder elke NIS2-maatregel.
Gecentraliseerde logging en detectie zodat incidenten zichtbaar, traceerbaar en, belangrijk voor de meldplicht, tijdig te herkennen zijn.
Geteste back-ups en herstelprocedures, met hersteldoelstellingen (RTO/RPO) en bestendigheid tegen ransomware.
Hardening, segmentatie en veilige configuraties voor systemen, netwerk en cloud (waaronder Microsoft 365).
SPF, DKIM, DMARC, DNSSEC, DANE en MTA-STS tegen phishing, spoofing en onderschepping.
Voorbereiding zodat u bij een significant incident snel kunt handelen én binnen de termijnen kunt melden.
Heeft u al ISO 27001 of NEN 7510 (of bent u daarmee bezig)? Dan heeft u een groot deel van de NIS2-zorgplicht al ingevuld. De risicogebaseerde aanpak, toegangsbeheer, logging, back-ups en incidentbeheer overlappen sterk. Wij helpen de resterende gaten te dichten en de maatregelen aantoonbaar te maken, zodat u niet dubbel werk doet.
Lees meer: NIS2 en ISO 27001, hoeveel werk is de stap echt? →
Net als bij ISO-trajecten starten wij doorgaans met een Audit-klaar Analyse: een technische beoordeling van uw omgeving die zichtbaar maakt waar u staat ten opzichte van de zorgplicht, met een geprioriteerd verbeterplan.
Neem contact op voor een vrijblijvend gesprek, of start met een Audit-klaar Analyse om te zien waar u technisch staat ten opzichte van de zorgplicht.