De Cyberbeveiligingswet verandert de eisen aan telecom- en IT-bedrijven. Waarom digitale weerbaarheid meer vraagt dan beveiliging en NIS2-compliance.
Gastschrijver
Digitaal en AI-strateeg en medeoprichter van Schmuki, een onafhankelijk adviesbureau dat organisaties helpt bij technologische verandering. Hij schrijft over de invloed van innovatie op organisaties, ondernemers en de samenleving.
Deel 1 van een drieluik over digitale weerbaarheid
Na mijn gesprek met Jesper Pelgrim, die bij Enreach leidinggeeft aan Quality Security, praatte ik nog even door met Robbert Maarschalkerweerd, Marketeer bij Enreach. Daarbij bleef één beeld hangen.
Robbert beschreef een ondernemer die jaren geleden met een goede auto de weg op ging. Die auto was destijds modern, betrouwbaar en geschikt voor het verkeer. Hij rijdt nog steeds. Alleen is de wereld eromheen veranderd. Er zijn andere auto's bijgekomen, het verkeer is drukker geworden en de eisen aan veiligheid zijn veranderd.
Dat beeld helpt om naar de nieuwe Cyberbeveiligingswet te kijken. Het begint bij een herkenbare ervaring: je onderneming is ooit ergens begonnen en heeft zich onderweg ontwikkeld. Af en toe is het zinvol opnieuw te bekijken in welk landschap je inmiddels rijdt.
Denk aan een Nederlands telecom- of IT-bedrijf met twintig medewerkers. Het begon misschien twintig jaar geleden met telefooncentrales, verbindingen of mobiele telefonie. Daarna kwam VoIP. Telefonie verhuisde naar de cloud. Klanten wilden ook Microsoft 365, werkplekken, beveiliging en beheer. Het bedrijf groeide mee met hun behoeften.
Dat ging stap voor stap. Er was waarschijnlijk nooit een maandagmorgen waarop iemand binnenkwam en zei: vanaf vandaag zijn wij een ander soort onderneming.
Toch kan de betekenis van dat bedrijf voor zijn klanten behoorlijk zijn veranderd. Een leverancier die ooit zorgde dat de telefoons het deden, beheert nu misschien ook accounts, verbindingen en cloudomgevingen. De toegang die nodig is om klanten goed te helpen, brengt verantwoordelijkheid mee. Een storing kan inmiddels een groot deel van hun bedrijfsvoering raken.
Ook aan de kant van de klant is het landschap veranderd. Meer werk verloopt digitaal. Systemen zijn met elkaar verbonden. Medewerkers werken op verschillende locaties. Bij uitval is het vaak lastig om terug te vallen op een andere manier van werken.
De onderneming heeft onderweg veel aangepast. De vraag is of ook de afspraken, verantwoordelijkheden en voorbereiding op verstoringen voldoende zijn meegegroeid.
De Cyberbeveiligingswet, sinds 15 augustus 2026 van kracht, is de Nederlandse uitwerking van de Europese NIS2-richtlijn. Organisaties die eronder vallen, moeten onder meer hun beveiligingsrisico's in kaart brengen en passende maatregelen nemen om die te beheersen. Ook krijgen zij verplichtingen rond registratie, incidentmeldingen en bestuurlijke verantwoordelijkheid.
Voor een kleinere ondernemer lijkt de eerste vraag vanzelfsprekend: geldt deze wet voor ons?
Bij het beantwoorden daarvan telt behalve de omvang ook het soort dienstverlening. Aanbieders van openbare elektronische communicatienetwerken of -diensten vallen bijvoorbeeld ook onder de wet als zij een kleine of micro-organisatie zijn. Een klein telecombedrijf kan dus rechtstreeks met de verplichtingen te maken krijgen. De precieze activiteiten bepalen of die uitzondering van toepassing is.
Daarnaast is er een tweede route: de klant.
Een organisatie die onder de wet valt, moet ook kijken naar beveiligingsrisico's bij haar leveranciers. Daardoor kan een kleine IT-dienstverlener vragen krijgen over toegangsbeheer, herstel na een incident of de beveiliging van klantgegevens. Zulke verwachtingen kunnen terechtkomen in inkoopvoorwaarden en contractuele afspraken.
De leverancier valt daarmee niet automatisch zelf onder de wet. Wel kan de zakelijke relatie veranderen. Waar vroeger ervaring, bereikbaarheid en onderling vertrouwen voldoende waren, wil een klant nu ook kunnen beoordelen hoe continuïteit en beveiliging zijn georganiseerd.
Alleen vaststellen of je rechtstreeks onder de wet valt, geeft daarom een onvolledig beeld. Het is ook relevant om te weten welke verwachtingen via klanten op je afkomen.
Veel bedrijven hebben al een behoorlijke technische basis. Back-ups worden gemaakt, accounts beveiligd en systemen bijgewerkt. Het vervolg zit vaak in de samenhang: wie doet wat, hoe controleren we of het werkt en wat gebeurt er wanneer iets misgaat?
CBS-cijfers laten zien dat technische maatregelen en formele vastlegging niet overal even ver ontwikkeld zijn. In 2025 gebruikte 79 procent van de bedrijven met tien tot vijftig werknemers multifactorauthenticatie. Binnen dezelfde grootteklasse had 38 procent documenten waarin maatregelen of procedures voor ICT-veiligheid waren vastgelegd. Bij bedrijven met vijftig tot 250 werknemers was dat laatste 71 procent.
Die cijfers geven geen volledig oordeel over de kwaliteit van de beveiliging. Ze maken wel een verschil zichtbaar tussen het toepassen van maatregelen en het vastleggen van de aanpak.
Een back-up is daarvan een eenvoudig voorbeeld. Hij wordt elke nacht gemaakt en het systeem meldt dat alles goed is gegaan. Maar wie zet hem terug bij een storing? Hoe lang duurt dat? Welke dienstverlening kan in de tussentijd doorgaan? En is het herstel al eens geprobeerd?
Hetzelfde geldt voor accounts. Een medewerker kan zorgvuldig toegangsrechten beheren. Als die medewerker afwezig is, helpt het wanneer een collega weet welke afspraken gelden en hoe een urgente wijziging moet worden uitgevoerd.
Zo krijgt digitale weerbaarheid ook een organisatorische kant. Kennis die bij enkele mensen zit, wordt overdraagbaar. Afspraken worden controleerbaar. Een klant kan beter begrijpen waarop hij vertrouwt.
Voor een kleine onderneming vraagt dat tijd en aandacht. Risico's bespreken, afspraken vastleggen en herstel oefenen zijn taken die vaak bij dezelfde mensen terechtkomen die ook klanten helpen en het dagelijkse werk uitvoeren. Juist daarom helpt het om prioriteiten te stellen. De RDI benadrukt dat maatregelen in verhouding moeten staan tot de risico's van de organisatie.
Tijdens ons gesprek wees Jesper op de manier waarop cybersecurityleveranciers de nieuwe wet soms gebruiken om beveiligingsproducten te verkopen. Zijn vertrekpunt is de situatie van de onderneming: eerst begrijpen welke risico's zij werkelijk loopt, vervolgens bepalen welke maatregelen daarbij passen.
Dat geeft een bruikbare volgorde aan het gesprek.
Begin bij wat de onderneming vandaag levert. Welke diensten zijn voor klanten essentieel geworden? Tot welke systemen hebben medewerkers toegang? Waarvan is de eigen dienstverlening afhankelijk? En welke verwachtingen hebben klanten inmiddels?
Bekijk daarna wat al goed geregeld is. Misschien is de technische beveiliging degelijk, maar ontbreekt een getest herstelplan. Misschien zijn verantwoordelijkheden duidelijk voor de vaste medewerkers, maar lastig over te dragen. Misschien belooft een contract een beschikbaarheid die bij een grote storing moeilijk haalbaar blijkt.
Van daaruit kunnen de volgende stappen concreet worden. Een hersteltest plannen. Verantwoordelijkheden vastleggen. Met een klant bespreken welke afspraken werkelijk nodig zijn. Of onderzoeken welke ondersteuning ontbreekt om een dienst betrouwbaar te blijven leveren.
Zo'n heroriëntatie kan ook iets opleveren. Ze maakt zichtbaar waar de onderneming sterk in is, waar zij afhankelijk is van enkele mensen en welke dienstverlening verdere ontwikkeling vraagt. Dat helpt bij keuzes over investeringen, samenwerking en de beloftes die je aan klanten doet.
Robberts beeld bleef bij mij hangen omdat het ruimte laat voor de geschiedenis van een bedrijf. Een onderneming die al jaren klanten bedient, heeft ervaring opgebouwd en zich herhaaldelijk aangepast. Die ervaring is een goed vertrekpunt om opnieuw naar de huidige situatie te kijken.
De onderneming rijdt nog. De vraag is welke aanpassingen passen bij de weg waarop zij inmiddels terechtgekomen is.
Daarbij komt al snel de omgeving in beeld. De eigen dienstverlening steunt op andere partijen, terwijl klanten weer op jou vertrouwen. In het tweede artikel kijken we naar die keten en naar de manier waarop afhankelijkheden en verantwoordelijkheden doorwerken tussen organisaties.
In het derde artikel verbreden we het perspectief verder: wat probeert de Europese Unie met deze wetgeving te bereiken, en welke gedachte over digitale weerbaarheid ligt daarachter?
Het begint bij een onderneming die zich afvraagt waar zij nu staat. Van daaruit wordt zichtbaar van welk groter geheel zij deel uitmaakt.
Blog · Geschreven door Rob Hoeijmakers
Hoe zorg je dat partners en klanten nieuwe AI-regels kunnen toepassen? In mijn gesprek met Enreach bleek hoeveel werk er achter een eenvoudige melding schuilgaat.
Opnemen, transcriberen en samenvatten lijken één handeling. Voor de gebruiker en de wet zijn het verschillende momenten die ieder om duidelijke uitleg vragen.
Dertig jaar lang splitsten we kenniswerk op in steeds meer specialismen. Nu AI het administreren van processen overneemt, verschuift de schaarste naar mensen die denken en doen verbinden.
Wij zijn de onzichtbare kracht achter jouw IT en Telefonie
Wij zijn benieuwd naar jouw behoeftes
Laten we samen ontdekken hoe we jouw IT en Telefonie kunnen optimaliseren. Kom in contact, dan helpt een van onze specialisten of een van onze partners met jouw vraagstuk.