De Cyberbeveiligingswet legt verantwoordelijkheid voor digitale weerbaarheid expliciet bij het bestuur. Dat verandert de positie van cybersecurity binnen Nederlandse ondernemingen: het is geen IT-kwestie meer, maar een bestuursaangelegenheid met juridische consequenties. Wie de meldplichten, leveranciersrisico’s en technische eisen nog niet op orde heeft, loopt achter op een wettelijk kader dat al in werking is.
Gefaseerde meldplicht onder de Cyberbeveiligingswet: deadlines en valkuilen
De meldplicht voor significante incidenten kent drie wettelijke termijnen. Binnen 24 uur moet een eerste waarschuwing worden verstuurd, binnen 72 uur volgt een nadere melding, en binnen een maand is een eindrapport vereist. Die structuur klinkt overzichtelijk, maar in de praktijk blijkt de eerste fase het grootste struikelblok.
Zie ook: Fusies en overnames: trends in het Nederlandse bedrijfsleven
Veel organisaties ontdekken een incident pas na uren of dagen. Dat betekent dat de 24-uurstermijn al loopt voordat het interne escalalatieproces goed en wel is gestart. Zonder een vooraf getest meldproces (inclusief escalatielijnen buiten kantooruren) is tijdige naleving vrijwel onmogelijk.
Een werkend meldproces is even belangrijk als technische detectie. Organisaties die wel investeren in SIEM-tooling maar geen geformaliseerd meldprotocol hebben, voldoen niet aan de wet, ook niet als ze het incident technisch snel indammen.
Zie ook: Nederlandse agrosector: innovaties die de industrie vormgeven
Bestuursaansprakelijkheid en leveranciersrisico’s bij cybersecurity
De Cyberbeveiligingswet schrijft voor dat het bestuur beveiligingsmaatregelen goedkeurt. Dit gaat verder dan een handtekening onder een beleidsdocument. Bestuurders moeten aantoonbaar begrijpen welke risico’s de organisatie loopt en welke maatregelen daartegen zijn genomen.
Daarnaast verplicht de wet organisaties om de risico’s van directe leveranciers periodiek te beoordelen. Leveranciersrisico valt nu onder de wettelijke zorgplicht. Voor bedrijven in de toeleveringsketen van defensie of vitale sectoren heeft dit directe gevolgen: klanten zullen beveiligingseisen contractueel doorleggen, ook aan partijen die zelf niet onder de wet vallen.
- Bestuurders moeten beveiligingsmaatregelen formeel goedkeuren en periodiek evalueren, niet enkel delegeren aan de CISO.
- Leveranciersbeoordelingen vereisen een gestructureerd proces met documentatie, niet alleen een jaarlijkse vragenlijst.
- Kleinere toeleveranciers die niet direct onder de wet vallen, krijgen indirect te maken met dezelfde eisen via contractuele doorwerking.
De combinatie van bestuursverantwoordelijkheid en ketenrisico maakt cybersecurity tot een compliance-onderwerp dat op directieniveau thuishoort, vergelijkbaar met financiële verslaggeving of privacywetgeving.
Dreigingsbeeld Nederland: statelijke actoren en ransomware
Nederlandse inlichtingendiensten hebben concrete aanvallen op Nederlandse organisaties en infrastructuur gemeld. Dat maakt het dreigingsbeeld niet abstract maar operationeel relevant voor iedere onderneming met intellectueel eigendom, klantdata of een positie in vitale ketens.
De ransomwarecijfers illustreren de complexiteit van het landschap. Volgens de Autoriteit Persoonsgegevens waren er in 2025 136 ransomwareaanvallen, tegenover 127 in 2024. De AP-telling omvat ook aanvallen waarbij uitsluitend gegevens zijn gestolen. De NCTV rapporteerde via Project Melissa voor 2024 minimaal 121 unieke incidenten. Verschillende telmethoden maken directe vergelijking tussen bronnen lastig, maar de trend is duidelijk: ransomware blijft een structureel probleem.
Voor bedrijven die met defensie samenwerken, geldt een verhoogd risico. Statelijke actoren richten zich specifiek op technologie en data in de defensie- en veiligheidssector. De Aanwijzing Beveiliging Defensieopdrachten (ABDO) stelt daarom aanvullende eisen aan leveranciers.
Cyberbeveiligingswet: registratieplicht en zorgplicht voor Nederlandse bedrijven
Naast de meldplicht kent de wet twee andere pijlers. De registratieplicht verplicht organisaties zich te registreren bij de toezichthouder. De zorgplicht vereist passende technische en organisatorische maatregelen, afgestemd op het risicoprofiel van de organisatie.
De zorgplicht is bewust breed geformuleerd. Er is geen vast lijstje met verplichte maatregelen. Dat geeft flexibiliteit, maar creëert ook onzekerheid bij organisaties die gewend zijn aan prescriptieve normen. In de praktijk kijken toezichthouders naar gangbare standaarden als referentiekader.
Voor bedrijven die al werken met ISO 27001 of het NIST Cybersecurity Framework ligt er een voorsprong. Wie geen enkel framework hanteert, begint niet bij nul maar bij een achterstand: de wet veronderstelt dat basismaatregelen al op orde zijn.
Strategie voor sterke digitale defensie in de keten
De verschuiving van cybersecurity naar bestuursniveau en de nadruk op leveranciersketens vragen om een andere benadering dan klassieke IT-beveiliging. We zien dat Nederlandse ondernemingen die samenwerking zoeken met sectorgenoten en kennisinstellingen sneller tot een werkbare aanpak komen dan organisaties die alles intern proberen op te lossen.
- Integreer het meldproces in bestaande crisismanagementstructuren, inclusief oefenscenario’s met de gefaseerde termijnen.
- Maak leveranciersbeoordeling onderdeel van het inkoopproces, niet van een losstaand beveiligingsproject.
- Zorg dat bestuurders minimaal twee keer per jaar een actueel dreigingsbeeld en de status van maatregelen bespreken.
- Sluit aan bij sectorale samenwerkingsverbanden voor dreigingsinformatie-uitwisseling.
Cyberveiligheid is een bestuursvraagstuk met ketenbrede impact. De Cyberbeveiligingswet dwingt Nederlandse bedrijven om digitale weerbaarheid structureel te verankeren in governance, contracten en operationele processen. Wie dat nu regelt, bouwt aan een verdedigingslinie die niet alleen voldoet aan de wet maar ook daadwerkelijk beschermt.
