Cyberbeveiligingswet: wat MKB nu al kan regelen
Luca BrockmanTips & Tricks
De Cyberbeveiligingswet komt dichterbij. Ook MKB-bedrijven buiten de directe NIS2-plicht krijgen ermee te maken via klanten, ketens en aanbestedingen.
In dit artikel
De Cyberbeveiligingswet komt in Nederland in de laatste fase van vaststelling. Veel ondernemers kijken pas op als ze rechtstreeks onder NIS2 vallen, maar dat is te laat. Ook MKB-bedrijven buiten de formele plicht krijgen vragen van klanten, leveranciers en verzekeraars.
Vooral dienstverleners met klantportalen, planningssoftware, webshops, integraties of toegang tot klantdata merken dit snel. Grote organisaties willen kunnen aantonen dat hun keten veilig werkt. Als jij een schakel in die keten bent, moet je uitleggen hoe je met beveiliging, incidenten en toegang omgaat.
Waarom dit nu relevant is
Het Nationaal Cyber Security Centrum meldde op 1 juli 2026 dat de Cyberbeveiligingswet in de laatste fase van vaststelling zit. De wet voert de Europese NIS2-richtlijn in Nederland in. De Europese Commissie beschrijft NIS2 als een breder kader voor cybersecurity in achttien kritieke sectoren, met meer aandacht voor risicobeheer, incidentmelding, ketenveiligheid en verantwoordelijkheid van bestuurders.
Niet elk MKB-bedrijf wordt direct aangewezen als essentiële of belangrijke entiteit. Toch schuift de lat op. Klanten vragen vaker naar beveiligingsmaatregelen. Aanbestedingen bevatten strengere eisen. Leveranciers moeten aantonen wie toegang heeft tot systemen en hoe data wordt beschermd.
De wet raakt ook bedrijven buiten de directe plicht
Een klein softwarebedrijf, marketingbureau of technisch dienstverlener kan buiten de directe NIS2-scope vallen en toch vragen krijgen van een klant die er wel onder valt. Denk aan een zorgpartij, logistieke organisatie, productiebedrijf, energiebedrijf of digitale dienstverlener.
Die klant moet zijn eigen risico's beheersen. Daarom kijkt hij naar leveranciers die toegang hebben tot systemen, persoonsgegevens, bedrijfsdata of operationele processen. Een websitebouwer met beheerrechten, een integratiepartner met API-toegang of een SaaS-leverancier met klantdata telt dan mee in het risico.
De vraag wordt dus niet alleen: val je onder de wet? De betere vraag is: kun je aan klanten laten zien dat je digitale basis op orde is?
Begin met de systemen die je bedrijf draaiend houden
Veel MKB-bedrijven maken security te groot en starten daarom niet. Begin kleiner. Breng eerst de systemen in kaart die echt belangrijk zijn voor je werk:
- website, webshop of klantportaal;
- CRM, planning, ticketing en projectsoftware;
- mail, bestanden en gedeelde drives;
- boekhouding, offertes en facturatie;
- API-koppelingen met klanten of leveranciers;
- accounts van externe beheerders en freelancers.
Noteer per systeem wie toegang heeft, welke data erin staat, welke koppelingen bestaan en wat er misgaat als het systeem een dag niet werkt. Daarmee maak je risico's bespreekbaar zonder meteen een zwaar complianceproject te starten.
Maak toegang en beheer aantoonbaar
Bij veel bedrijven zit het grootste risico in gewone toegang. Oude accounts blijven actief. Beheerders delen wachtwoorden. Twee-factor-authenticatie staat niet overal aan. Niemand weet precies welke externe partij nog toegang heeft tot hosting, DNS, analytics of het CMS.
Pak dit praktisch aan:
- Zet twee-factor-authenticatie aan voor mail, hosting, CMS, CRM en beheerdersaccounts.
- Gebruik persoonlijke accounts in plaats van gedeelde logins.
- Verwijder accounts van oud-medewerkers en oude leveranciers.
- Leg vast wie beheerrechten krijgt en waarom.
- Controleer elk kwartaal of de lijst nog klopt.
Dit klinkt eenvoudig, maar het geeft klanten direct vertrouwen. Je kunt laten zien dat toegang geen losse gewoonte is, maar een beheerd onderdeel van je bedrijf.
Zorg dat incidenten niet in paniek eindigen
NIS2 legt veel nadruk op incidenten. Ook als jouw bedrijf niet direct meldplichtig is, wil een klant weten wat jij doet als er iets misgaat. Wie beslist? Wie belt de klant? Wie sluit toegang af? Waar staan back-ups? Welke logging is beschikbaar?
Je hebt geen dik handboek nodig voor een eerste stap. Maak een korte incidentkaart met vijf punten:
- wie intern eigenaar is van security-incidenten;
- welke leveranciers je direct moet kunnen bereiken;
- welke systemen als eerste gecontroleerd worden;
- hoe je klanten informeert als hun data of proces geraakt kan zijn;
- waar back-ups, herstelstappen en contactgegevens staan.
Test die kaart eens per halfjaar met een simpel scenario. Bijvoorbeeld: een beheeraccount is misbruikt, een laptop met klantdata is kwijt of een website draait kwaadaardige code. Je ziet dan snel waar je proces nog lekt.
Kijk kritisch naar maatwerk, plugins en koppelingen
Veel digitale risico's ontstaan niet in één groot systeem, maar in de rand eromheen. Een WordPress-site met oude plugins. Een maatwerkkoppeling zonder logging. Een API-token dat in een spreadsheet staat. Een testomgeving met echte klantdata. Een formulier dat gegevens mailt zonder duidelijke opvolging.
Voor bedrijven met websites, portalen en integraties verdient deze laag extra aandacht. Controleer vooral:
- of software en plugins actief worden bijgewerkt;
- of oude testomgevingen nog online staan;
- waar API-sleutels en wachtwoorden worden bewaard;
- of formulieren alleen noodzakelijke data vragen;
- of logging helpt om fouten of misbruik terug te vinden;
- wie verantwoordelijk is voor onderhoud na oplevering.
Een snelle site of slimme automatisering helpt weinig als niemand eigenaar is van onderhoud en beveiliging. Spreek dat vooraf af, zeker bij maatwerk.
Wat BLB bij nieuwe projecten standaard meeneemt
Bij BLB Solutions kijken we niet alleen naar wat een website, applicatie of integratie moet doen. We kijken ook naar beheer, toegang, datastromen en onderhoud. Dat voorkomt dat security pas aan het eind als losse checklist terugkomt.
Bij een maatwerk website of softwareproject letten we onder meer op veilige hosting, nette toegangsrollen, minimale dataverwerking, duidelijke koppelingen, onderhoudbare code en documentatie die een klant later ook kan gebruiken. Voor AI-automatisering geldt hetzelfde. Een AI-flow moet niet alleen handig zijn, maar ook controleerbaar blijven.
Die aanpak past bij de richting van NIS2: security wordt geen randzaak meer. Het wordt onderdeel van hoe je digitale processen bouwt en beheert.
Een praktische startlijst voor deze maand
Wil je zonder groot traject beginnen, plan dan één ochtend en werk deze lijst af:
- maak een overzicht van je belangrijkste systemen en koppelingen;
- controleer beheerdersaccounts en zet twee-factor-authenticatie aan;
- verwijder oude toegang van medewerkers, leveranciers en testaccounts;
- noteer waar back-ups staan en wanneer herstel voor het laatst is getest;
- maak een korte incidentkaart met namen, systemen en contactgegevens;
- controleer of je website, CMS, plugins en maatwerk actief onderhoud krijgen.
Daarmee ben je niet klaar met cybersecurity. Je maakt wel de stap van losse aannames naar aantoonbare basiscontrole. Precies dat vragen steeds meer klanten.
Conclusie
De Cyberbeveiligingswet maakt security concreter voor grotere organisaties, maar de gevolgen lopen door naar het MKB. Wie levert aan bedrijven in kritieke sectoren of digitale processen beheert, moet zijn basis kunnen uitleggen.
- Breng systemen, toegang en koppelingen in kaart.
- Maak incidenten en onderhoud bespreekbaar voordat er iets misgaat.
- Bouw websites, software en automatiseringen met beheer en security als vaste onderdelen.
Wil je weten waar jouw website, klantportaal of maatwerksoftware kwetsbaar is? BLB Solutions kan je digitale basis nalopen en laten zien welke verbeteringen als eerste rust en zekerheid opleveren.
