Cybersecurity, NIS2, de Cyberbeveiligingswet… Je hebt er waarschijnlijk al eens iets over voorbij zien komen. Maar wat moet je er als ondernemer nu eigenlijk mee? De kans is groot dat je geen cybersecurityspecialist bent. En eerlijk gezegd hoef je dat ook niet te worden. Als ondernemer wil je vooral weten of de nieuwe regels op jouw bedrijf van toepassing zijn en, veel belangrijker misschien: hoe zorg je ervoor dat je bedrijf niet stilvalt als je wordt gehackt? De Nederlandse Cyberbeveiligingswet is op 7 juli 2026 aangenomen en sinds 15 augustus 2026 van kracht. De wet is de Nederlandse uitwerking van de Europese NIS2-richtlijn en moet ervoor zorgen dat organisaties hun digitale veiligheid beter op orde hebben. Niet iedere mkb-ondernemer valt rechtstreeks onder deze wet. De verplichtingen gelden vooral voor organisaties in bepaalde sectoren en van een bepaalde omvang. Toch is de nieuwe wetgeving voor iedere ondernemer een goede aanleiding om eens kritisch naar de eigen digitale veiligheid te kijken. Want een cyberaanval vraagt niet eerst of je onder de wet valt.
In deze blog:
- Geldt de Cyberbeveiligingswet voor mijn bedrijf?
- Bestuurder cyberveiligheid is niet meer alleen een IT-probleem
- Stel dat je morgen niet meer kunt werken
- Begin gewoon bij de basis
- Weet je niet waar je moet beginnen? Doe de Basisscan
- Je medewerkers zijn onderdeel van je beveiliging
- Wat doe je als het toch misgaat?
- En dan de cyberverzekering
- Nieuwe wetgeving of niet: dit is het moment om even te kijken
- Cybersecurity hoeft niet ingewikkeld te zijn
- MKB Assurantiehuis helpt je praktisch op weg
Geldt de Cyberbeveiligingswet voor mijn bedrijf?
Dit is waarschijnlijk de eerste vraag die bij je opkomt. En het eerlijke antwoord is: dat hangt ervan af. De Cyberbeveiligingswet geldt niet automatisch voor ieder klein mkb-bedrijf. De wet richt zich op organisaties die actief zijn in specifieke sectoren en die aan bepaalde omvangscriteria voldoen. Denk bijvoorbeeld aan bedrijven die onderdeel zijn van vitale of belangrijke economische sectoren. Val je als onderneming onder de wet, dan krijg je onder andere te maken met eisen rondom cybersecurity, het beheersen van risico’s en het melden van bepaalde incidenten. De overheid spreekt daarbij onder meer over een zorgplicht, registratieplicht en meldplicht. Twijfel je of jouw onderneming onder de Cyberbeveiligingswet valt? Dan kun je gebruikmaken van de NIS2 Zelfevaluatie van de overheid.
Maar stel nu dat je bedrijf niet onder de wet valt. Dan betekent dat vooral dat je niet aan die specifieke wettelijke verplichtingen hoeft te voldoen. Het betekent niet dat je geen cyberrisico loopt. En juist daar zouden wij als MKB Assurantiehuis de aandacht op willen leggen.
Bestuurder cyberveiligheid is niet meer alleen een IT probleem
Misschien is dit wel het onderdeel waar je als ondernemer het meest van opkijkt. Cybersecurity wordt steeds meer een onderwerp waarvoor niet alleen de IT-afdeling of je ICT-leverancier verantwoordelijk is, maar ook het bestuur van de onderneming.
Voor organisaties die onder de Cyberbeveiligingswet vallen, legt de NIS2-richtlijn de verantwoordelijkheid voor het beheersen van cybersecurityrisico’s nadrukkelijk bij het bestuur. Bestuurders moeten kunnen aantonen dat zij passende maatregelen nemen en voldoende kennis hebben om hierover weloverwogen beslissingen te nemen. De Cyberbeveiligingswet bevat daarnaast een verplichting voor bestuurders om een training te volgen.
Dat betekent niet dat je als ondernemer persoonlijk aansprakelijk bent zodra je bedrijf wordt gehackt. Een cyberincident leidt niet automatisch tot persoonlijke aansprakelijkheid van een bestuurder. Wel kan bestuurlijke aansprakelijkheid aan de orde komen wanneer wettelijke verplichtingen niet worden nageleefd en sprake is van omstandigheden die daarvoor volgens het recht aanleiding geven. En daar zit voor ondernemers misschien wel de belangrijkste boodschap:
Je kunt cybersecurity niet meer volledig wegzetten als “iets van de IT”.
Stel dat je weet dat je onderneming sterk afhankelijk is van digitale systemen. Je weet dat er risico’s zijn. Je IT-leverancier heeft misschien al meerdere keren aangegeven dat bepaalde beveiligingsmaatregelen moeten worden verbeterd. Maar er gebeurt vervolgens niets. Wat gebeurt er dan als het misgaat? Dat is precies de reden waarom cybersecurity ook een bestuurlijk en financieel risico is. Als bestuurder moet je kunnen uitleggen dat je de cyberrisico’s van je onderneming serieus hebt genomen, dat je hebt gekeken welke maatregelen redelijk en passend zijn en dat je hebt nagedacht over wat er gebeurt wanneer een incident zich voordoet. Dat hoeft overigens niet te betekenen dat je zelf verstand moet hebben van firewalls, servers of ransomware. Je moet als ondernemer vooral de juiste vragen stellen:
- Welke digitale risico’s lopen wij?
- Welke systemen zijn cruciaal voor onze onderneming?
- Welke beveiligingsmaatregelen hebben we genomen?
- Zijn onze back-ups betrouwbaar?
- Wat gebeurt er als we een week niet kunnen werken?
- Wie neemt de leiding als er een cyberincident plaatsvindt?
- En zijn de financiële gevolgen voldoende afgedekt?
Voor kleinere ondernemers die niet onder de Cyberbeveiligingswet vallen, verandert deze wettelijke verantwoordelijkheid niet automatisch. Maar de ontwikkeling is wel een duidelijke waarschuwing: cybersecurity wordt steeds meer een onderdeel van goed ondernemerschap en goed bestuur. En dat is misschien nog wel belangrijker dan de vraag of jouw bedrijf vandaag wel of niet onder de nieuwe wet valt.
Stel dat je morgen niet meer kunt werken
Denk eens aan een normale maandagochtend. Je komt op kantoor, start je computer op en probeert in te loggen. Dat lukt niet. Ook je collega’s kunnen niet bij hun bestanden. De administratie is onbereikbaar, de mailbox werkt niet en de planning staat op slot. Even later blijkt dat jullie bestanden zijn versleuteld door ransomware. Wat doe je dan? Kun je binnen een paar uur weer verder? Of ligt je onderneming dagenlang stil?
Voor een grote organisatie is een cyberincident natuurlijk ook vervelend, maar daar zijn vaak gespecialiseerde IT-afdelingen, back-ups en crisisprocedures aanwezig. Een kleine onderneming heeft die luxe meestal niet. Bij een klein mkb-bedrijf is de eigenaar vaak zelf degene die moet beslissen wat er gebeurt. Misschien heb je één IT-leverancier waar je normaal gesproken voor vragen bij terechtkunt. Maar die weet misschien ook niet wat hij moet doen wanneer je complete omgeving is gehackt. En ondertussen wachten klanten op antwoord, kunnen facturen niet worden verstuurd en kunnen medewerkers hun werk niet doen. Cybersecurity is daarom niet alleen een IT-vraagstuk. Het is een bedrijfsrisico.
Begin gewoon bij de basis
Je hoeft als kleine ondernemer geen dik cybersecuritybeleid te schrijven om je bedrijf beter te beschermen. Begin bij de systemen waar je iedere dag mee werkt. Je e-mail is bijvoorbeeld vaak belangrijker dan je denkt. Via je mailbox kunnen cybercriminelen niet alleen berichten lezen, maar soms ook wachtwoorden resetten, facturen onderscheppen of zich voordoen als jou richting klanten of leveranciers.
Zorg daarom dat je voor belangrijke accounts tweestapsverificatie of MFA gebruikt. Daarmee voeg je naast je wachtwoord een extra beveiligingslaag toe. Wordt je wachtwoord gestolen, dan kan iemand nog steeds niet zomaar inloggen.
Kijk vervolgens naar je back-ups. Veel ondernemers zeggen: “We hebben een back-up.” Maar de echte vraag is: kun je die back-up ook daadwerkelijk terugzetten als je morgen wordt gehackt?
Een back-up die iedere nacht automatisch wordt gemaakt, maar nog nooit is getest, geeft een vals gevoel van veiligheid. Laat daarom controleren of je back-ups goed werken en of er ook een kopie beschikbaar is die niet direct door een aanvaller kan worden versleuteld.
Ook software-updates verdienen aandacht. Een update is niet alleen bedoeld om een programma mooier of sneller te maken. Updates bevatten regelmatig beveiligingsoplossingen voor kwetsbaarheden die inmiddels bekend zijn. Gebruik je oude software of apparaten waarvoor geen beveiligingsupdates meer beschikbaar zijn, dan kan dat een zwakke plek in je organisatie vormen.
Weet je niet waar je moet beginnen: Doe de Basisscan
Misschien lees je dit en denk je: prima verhaal, maar hoe weet ik nu of mijn bedrijf eigenlijk goed beveiligd is? Je hoeft daarvoor niet zelf een cybersecurity-expert te worden. Het Nationaal Cyber Security Centrum (NCSC) heeft een gratis Basisscan Cyberweerbaarheid ontwikkeld. De scan is bedoeld om snel inzicht te krijgen in de digitale veiligheid van je onderneming. Aan de hand van 25 stellingen krijg je inzicht in vijf belangrijke onderdelen: risico’s in kaart brengen, veilig gedrag, het beschermen van systemen en apparaten, het beheren van toegang en het voorbereiden op incidenten.
Na het invullen krijg je een rapport met je scores en een concrete actielijst met vervolgstappen. Daarmee zie je dus niet alleen waar je staat, maar vooral ook waar je als ondernemer als eerste mee aan de slag kunt. Kleine mkb’er of zzp’er? Het NCSC verwijst inmiddels specifiek naar een aparte CyberVeilig Check voor mkb en zzp, omdat die beter aansluit bij deze doelgroep. Een mooie eerste stap dus. Niet om ineens alles perfect te regelen, maar om antwoord te krijgen op de belangrijkste vraag:
Waar zitten bij mijn bedrijf de grootste digitale risico’s en wat kan ik daar praktisch aan doen?
Je medewerkers zijn onderdeel van je beveiliging
Techniek is belangrijk, maar veel cyberincidenten beginnen uiteindelijk gewoon bij een medewerker. Een e-mail die eruitziet alsof hij van een klant komt. Een bericht van de bank. Een factuur van een leverancier. Of een waarschuwing dat het Microsoft-account binnenkort wordt geblokkeerd. De boodschap is vaak dringend en vraagt om actie. Juist daardoor klikken mensen soms voordat ze goed hebben gekeken.
Dat betekent niet dat je medewerkers nooit fouten mogen maken. Het betekent vooral dat je ervoor moet zorgen dat mensen weten waar ze op moeten letten en wat ze moeten doen als ze twijfelen. Een simpele afspraak kan al helpen: bij een onverwacht betaalverzoek of een wijziging van een rekeningnummer altijd telefonisch controleren. En bij een verdachte e-mail liever één keer te veel overleggen dan één keer te weinig.
Wat doe je als het toch misgaat?
Zelfs met goede beveiliging kun je een cyberincident nooit volledig uitsluiten. Daarom is het verstandig om vooraf na te denken over de situatie waarin het wél misgaat. Wie bel je als je systemen worden gehackt? Wie neemt contact op met je IT-leverancier? Wie informeert klanten? Wie bepaalt of je systemen kunnen worden opgestart? En wie kijkt of er persoonsgegevens zijn gelekt? Als je deze vragen pas tijdens een cyberaanval voor het eerst bespreekt, ben je eigenlijk al te laat.
Een eenvoudig incidentplan met de belangrijkste contactgegevens en afspraken kan dan enorm helpen. Je hoeft daarvoor geen ingewikkeld document van tientallen pagina’s te maken. Het belangrijkste is dat je weet wie wat doet wanneer het misgaat.
En dan de cyberverzekering
Een vraag die we bij MKB Assurantiehuis regelmatig krijgen, is of een cyberverzekering nodig is. Daar is geen standaardantwoord op. Het hangt af van je onderneming, de gegevens die je verwerkt, de afhankelijkheid van digitale systemen en de financiële gevolgen die een incident voor je bedrijf kan hebben.
Een cyberverzekering kan, afhankelijk van de gekozen dekking en polisvoorwaarden, bijvoorbeeld helpen bij kosten voor onderzoek en herstel, juridische ondersteuning, communicatie na een datalek en bedrijfsschade als je door een cyberincident tijdelijk niet kunt werken. Maar een belangrijke nuance: een cyberverzekering vervangt goede cybersecurity niet.
Een verzekeraar kijkt bij het afsluiten van een cyberverzekering ook naar de beveiliging van je onderneming. Zijn MFA en back-ups geregeld? Worden systemen bijgewerkt? Wie heeft toegang tot welke gegevens? En hoe is de organisatie voorbereid op een incident? Daarom horen preventie en verzekering bij elkaar. Je probeert eerst de kans op een incident zo klein mogelijk te maken. En vervolgens kijk je hoe je de financiële gevolgen opvangt als het toch gebeurt.
Nieuwe wetgeving of niet: dit is het moment om even te kijken
Valt jouw bedrijf onder de nieuwe Cyberbeveiligingswet? Dan moet je natuurlijk zorgen dat je aan de wettelijke verplichtingen voldoet. Valt jouw bedrijf er niet onder? Dan hoef je niet ineens een compleet cybersecurityprogramma op te tuigen. Maar misschien is dit wel het juiste moment om jezelf een paar eenvoudige vragen te stellen.
- Kun je bij je administratie als je computer morgen wordt versleuteld?
- Heb je een recente en bruikbare back-up?
- Is MFA ingesteld op je belangrijkste accounts?
- Weten je medewerkers hoe ze een verdachte e-mail herkennen?
- En weet je wie je moet bellen als je bedrijf daadwerkelijk wordt gehackt?
Als je op deze vragen een duidelijk antwoord hebt, ben je al een heel eind.
Cybersecurity hoeft niet ingewikkeld te zijn
Voor een kleinere ondernemer hoeft cybersecurity geen ingewikkeld project te worden. Het begint vooral met bewustwording en een paar goede basismaatregelen. Zorg dat je belangrijkste accounts goed beveiligd zijn, maak betrouwbare back-ups, houd software actueel en zorg dat medewerkers weten wat ze moeten doen bij verdachte berichten. En misschien wel het belangrijkste: denk vooraf na over wat je doet als het toch misgaat.
De nieuwe Cyberbeveiligingswet maakt duidelijk dat digitale veiligheid steeds belangrijker wordt. Maar ook als de wet niet rechtstreeks op jouw onderneming van toepassing is, geldt hetzelfde uitgangspunt:
Je bedrijf is waarschijnlijk veel afhankelijker van digitale systemen dan je denkt.
MKB Assurantiehuis helpt je praktisch op weg
Bij MKB Assurantiehuis kijken we niet alleen naar de vraag welke verzekering je nodig hebt. We kijken eerst naar jouw onderneming en de risico’s die daarbij horen. Daarbij kunnen we ook samen kijken naar je cyberrisico’s. Welke systemen zijn essentieel voor je bedrijfsvoering? Wat gebeurt er als die uitvallen? Welke maatregelen heb je al genomen? En sluit je huidige cyberverzekering daar goed op aan? Geen ingewikkelde cybersecuritytaal of dikke rapporten, maar gewoon praktisch kijken naar de vraag:
Wat kan er bij jouw bedrijf misgaan, wat kun je zelf doen om dat risico te beperken en waar kan een verzekering helpen?
Want een cyberincident kun je nooit helemaal uitsluiten. Maar je kunt er wel veel beter op voorbereid zijn.
