Beantwoord deze twee vragen, dan weet je snel waar je staat:
Twijfel je? Doe een snelle check via het Digital Trust Center.
Wil je liever meteen praktische basistips? Bekijk dan de basismaatregelen van het NCSC.
In de eerste plaats geldt de Cyberbeveiligingswet voor grotere, aangewezen organisaties. Ben je een mkb’er en heb je 5 tot 10 medewerkers? Dan val je (meestal) niet automatisch onder de wet. Toch kun je er alsnog mee te maken krijgen, namelijk als je klanten of opdrachtgevers hebt die zelf wél verplicht zijn. Zij kunnen jou vragen om aan te tonen dat jouw digitale omgeving veilig is.
Ineens zie je de Cyberbeveiligingswet overal voorbij komen en niet iedereen weet meteen of dit voor hun eigen bedrijf geldt. En het geldt voor de meeste mkb’ers ook niet. Logisch: de wet is behoorlijk technisch en richt zich op specifieke sectoren. Toch kunnen je klanten hier wél om gaan vragen. In dit artikel lees je wat de wet inhoudt, voor wie die direct geldt en waarom je er als kleiner mkb-bedrijf soms toch mee te maken krijgt.
De Cyberbeveiligingswet is de Nederlandse wet waarmee de Europese NIS2-richtlijn is ingevoerd. NIS staat voor Network and Information Security: de richtlijn moet de digitale weerbaarheid van belangrijke organisaties in de EU vergroten.
De wet verplicht organisaties die eronder vallen om:
Dat laatste punt is precies waarom de wet ook buiten de aangewezen sectoren voelbaar kan worden.
De Cyberbeveiligingswet geldt in eerste instantie voor (middel)grote organisaties in sectoren die de wet als "kritiek" bestempelt. Denk aan energie, drinkwater, digitale infrastructuur, gezondheidszorg, vervoer en (semi-)overheid. Kleine en micro-ondernemingen vallen in principe buiten de wet, tenzij een minister een specifiek bedrijf aanwijst op basis van een risicobeoordeling.
Ben jij een mkb'er met 5 tot 10 medewerkers en zit je niet in zo'n sector? Dan is de kans groot dat de wet niet rechtstreeks op jouw bedrijf van toepassing is. Daarmee is het verhaal voor jou als ondernemer echter niet meteen klaar.
Grotere, NIS2-plichtige organisaties moeten ook hun toeleveringsketen beveiligen. Zij brengen daarom vaak in kaart met welke leveranciers en dienstverleners ze werken, welke toegang die partijen hebben tot hun systemen of data, en of die partijen voldoende beveiligingsmaatregelen nemen.
Voor jou als mkb'er betekent dit dat een grotere klant of opdrachtgever je kan vragen om:
Dit gebeurt niet per se ineens, maar het is verstandig om er nu al rekening mee te houden, zeker als je (semi-)overheidsklanten, zorginstellingen of grotere zakelijke klanten in je portfolio hebt.
Je hoeft niet meteen een compliance-traject te starten. Een paar praktische stappen helpen je al een heel eind:
Deze stappen zijn niet alleen relevant met het oog op NIS2. Het zijn ook gewoon verstandige basismaatregelen voor elk bedrijf dat met klant- en financiële data werkt.
Je financiële administratie bevat vaak gevoelige gegevens: klantgegevens, betaalgegevens, contracten en soms ook persoonsgegevens van medewerkers. Daarom is het slim om te weten hoe die gegevens beveiligd zijn, ongeacht of NIS2 wettelijk op jou van toepassing is.
Werk je met eAccounting? Dan staat je administratie in een beveiligde, cloudgebaseerde omgeving, met een duidelijke rolverdeling voor wie toegang heeft tot welke gegevens. Dat is geen vervanging van een NIS2-beoordeling, maar wel een stevige basis als een klant je ooit vraagt hoe je met data omgaat.
Wil je je bredere digitale basis als bedrijf op orde krijgen? Kijk dan ook eens naar wat je eigenlijk nodig hebt van boekhoudsoftware. Net als bij NIS2 geldt namelijk: ook als een regel niet één-op-één voor jouw bedrijf is geschreven, kan hij via klanten of de markt alsnog invloed hebben op hoe je werkt. Dat zag je bijvoorbeeld ook al bij de nieuwe Europese verpakkingsregels (PPWR) en bij duurzaamheidsrapportage voor het mkb: niet iedereen is direct plichtig, maar grotere ketenpartners kunnen de eisen wel doorleggen.
Meestal niet direct. De wet richt zich op (middel)grote organisaties in kritieke sectoren. Kleine en micro-ondernemingen vallen er alleen onder als een minister ze specifiek aanwijst.
Omdat grotere klanten die wél onder de wet vallen, hun eigen leveranciers moeten beoordelen op cyberveiligheid. Als jij aan zo'n organisatie levert, kun je vragen krijgen van bijvoorbeeld klanten over je digitale beveiliging.
Gebruik de gratis zelfevaluatietool van het Digital Trust Center. Daarmee zie je snel of jouw sector of situatie (indirect) onder de wet valt en weet je direct waar je aan toe bent.
Niet per se. Zorg wel dat je weet hoe je klant- en financiële data beveiligd zijn en dat je met een betrouwbare, actuele omgeving werkt.
Val je zelf niet onder de wet, dan riskeer je geen boete. Wel kun je merken dat een grotere klant strengere eisen stelt aan leveranciers, of zelfs kiest voor een partij die dit al op orde heeft.
De Cyberbeveiligingswet (NIS2) geldt in eerste instantie voor grotere organisaties in kritieke sectoren, en raakt de meeste mkb-bedrijven met 5 tot 10 medewerkers niet rechtstreeks. Toch is het slim om er nu al even bij stil te staan, vooral als je voor grotere klanten werkt: zij kunnen beveiligingseisen doorleggen aan hun leveranciers. Met de zelfevaluatietool van het Digital Trust Center check je snel of dit voor jou relevant is, en met een paar praktische basismaatregelen sta je sterker, met of zonder wettelijke verplichting.
Werk je met eAccounting? Dan beheer je je financiële administratie in een beveiligde cloudomgeving. Zo leg je een goede basis voor de bescherming van je financiële gegevens. Bekijk wat voor boekhoudprogramma bij jouw mkb past. Of doe de gratis scan voor ondernemers hieronder.