applatenmaken.com/kennisbank/cyberbeveiligingswet

De Cyberbeveiligingswet en uw softwareleverancier

Op 15 augustus 2026 is de Cyberbeveiligingswet in werking getreden, de Nederlandse uitwerking van de Europese NIS2-richtlijn. Ruim achtduizend organisaties vallen eronder, en de helft haalde de registratiedeadline niet. Deze pagina gaat over het deel dat het snelst wordt overgeslagen: de zorgplicht strekt zich uit tot uw toeleveringsketen, en uw softwareleverancier zit in die keten.

Wat er sinds 15 augustus geldt

De Cyberbeveiligingswet vervangt de oude Wet beveiliging netwerk- en informatiesystemen en breidt de kring van organisaties die eronder vallen fors uit. Waar de oude wet vooral aanbieders van vitale diensten raakte, gaat het nu om ruim achtduizend organisaties in achttien sectoren, verdeeld over essentiële en belangrijke entiteiten. Energie, drinkwater, zorg en digitale infrastructuur vallen in de eerste categorie; onder meer voedsel, post, afvalbeheer en delen van de maakindustrie in de tweede.

Voor wie eronder valt gelden drie dingen tegelijk. U moet zich registreren in het landelijke entiteitenregister via het NCSC. U heeft een zorgplicht: passende technische en organisatorische maatregelen tegen cyberrisico's. En u heeft een meldplicht bij significante incidenten, met een eerste melding binnen vierentwintig uur.

De registratie was het eerste zichtbare knelpunt. Uit berichtgeving van deze maand bleek dat ongeveer de helft van de organisaties die zich hadden moeten aanmelden dat niet op tijd had gedaan, wat in de Tweede Kamer tot vragen leidde. Dat cijfer zegt vooral iets over de bekendheid van de wet, niet over de zwaarte ervan.

In werking: 15 augustus 2026, als Nederlandse uitwerking van de Europese NIS2-richtlijn.
Voor wie: Ruim achtduizend organisaties in achttien sectoren, verdeeld in essentiële en belangrijke entiteiten.
Drie verplichtingen: Registreren bij het NCSC, een zorgplicht voor passende maatregelen, en melden van significante incidenten.
Het punt van deze pagina: De zorgplicht dekt ook de risico's in uw toeleveringsketen, en software is onderdeel van die keten.

Valt u er zelf niet onder, dan is deze pagina alsnog relevant. Uw klanten kunnen er wel onder vallen, en dan komen hun eisen bij u terecht. Dat is precies het mechanisme waarmee dit soort wetgeving zich door een keten verspreidt.

Waarom uw softwareleverancier hierin zit

De zorgplicht is geen lijst met voorgeschreven maatregelen maar een resultaatsverplichting: u moet passende maatregelen nemen, afgestemd op uw risico's. In de richtlijn wordt beveiliging van de toeleveringsketen expliciet als onderdeel daarvan genoemd. Dat betekent dat u niet alleen naar uw eigen systemen kijkt maar ook naar de partijen die daar toegang toe hebben of er onderdelen van leveren.

Een maatwerkleverancier zit vrijwel altijd in die categorie. Hij bouwt code die in uw omgeving draait, heeft vaak toegang tot uw productieomgeving voor beheer, en kiest de bibliotheken van derden die in uw applicatie terechtkomen. Elk van die drie is een route waarlangs een probleem bij hem een probleem bij u wordt.

Het praktische gevolg is dat de vraag verschuift. Tot nu toe vroeg u of een leverancier veilig werkte omdat u dat verstandig vond. Nu is het onderdeel van een wettelijke verplichting die op u rust, en moet u kunnen laten zien dat u erover heeft nagedacht. Hoe u dat als eis formuleert staat in beveiliging eisen aan uw leverancier.

Wat u concreet van uw leverancier vraagt

Er is geen voorgeschreven vragenlijst, en dat is precies waarom deze gesprekken vaak stranden. Onderstaande punten zijn de vragen die in de praktijk het meeste onderscheid maken tussen een leverancier die dit serieus neemt en een die het antwoord ter plekke bedenkt.

Valt u zelf onder de Cyberbeveiligingswet, en zo ja als essentiële of belangrijke entiteit? Wie heeft er bij u toegang tot onze productieomgeving, en hoe wordt die toegang ingetrokken bij vertrek? Houdt u bij welke componenten van derden in onze software zitten, en op welke versie? Hoe hoort u dat er een kwetsbaarheid in zo'n component zit, en binnen welke termijn handelt u? Wie belt ons als u zelf een incident heeft dat onze omgeving kan raken, en binnen hoeveel uur? Mag u onderaannemers inzetten, en gelden deze afspraken dan ook voor hen? Kunt u laten zien dat dit is vastgelegd, of is dit hoe u het bedoelt te doen?

De laatste vraag is de belangrijkste. Het verschil tussen beleid en voornemen blijkt pas als u om het document vraagt.

Let op wat u met de antwoorden doet. Een leverancier die eerlijk zegt dat hij geen overzicht van componenten bijhoudt, is bruikbaarder dan een die ja knikt zonder het te hebben. Het punt van de zorgplicht is niet dat elke schakel perfect is, maar dat u weet waar de zwakke plekken zitten en daar een keuze over maakt.

Wat u in het contract vastlegt

Afspraken die niet in het contract staan, bestaan niet op het moment dat u ze nodig heeft. Voor de ketenkant zijn dit de bepalingen die er werkelijk toe doen, en ze ontbreken in de meeste standaardovereenkomsten voor softwareontwikkeling.

Wat u vastlegt	Waarom het ertoe doet	Waar u op let
Meldtermijn richting u	✓U kunt uw eigen meldplicht van vierentwintig uur alleen halen als u het zelf op tijd hoort	!Dat de termijn korter is dan de uwe, anders bent u al te laat
Overzicht van componenten	✓U weet welke onderdelen van derden in uw software zitten en op welke versie	!Dat het actueel wordt gehouden en niet eenmalig bij oplevering
Termijn voor kwetsbaarheden	✓Er staat vast binnen hoeveel tijd een ernstig lek wordt gedicht	!Onderscheid naar ernst; één termijn voor alles werkt in de praktijk niet
Toegang tot uw omgeving	✓Vastgelegd wie erbij kan en hoe dat wordt beëindigd	!Ook bij vertrek van medewerkers en bij einde van het contract
Onderaannemers	✓De afspraken gelden door de hele keten	!Dat u toestemming geeft en niet achteraf hoort wie erbij zat
Medewerking bij onderzoek	✓Bij een incident heeft u gegevens van uw leverancier nodig	!Dat logbestanden lang genoeg worden bewaard om iets te kunnen reconstrueren

Deze bepalingen staan naast en niet in plaats van uw verwerkersovereenkomst. Die gaat over persoonsgegevens en volgt uit de privacywetgeving; wat hierboven staat gaat over continuïteit en beveiliging van uw dienstverlening. Wat in de eerste hoort staat in wat hoort in een verwerkersovereenkomst.

Wat dit niet is

Het is geen certificeringsplicht. De wet vraagt passende maatregelen, geen certificaat. Een leverancier met ISO 27001 heeft daarmee een deel van uw vragen beantwoord, maar alleen binnen de scope van dat certificaat, en die scope sluit softwareontwikkeling vaker uit dan mensen denken. Waarom dat zo is staat in ISO 27001 en uw softwareleverancier.

Het is ook geen eenmalige actie. De zorgplicht is doorlopend, wat betekent dat de vragen hierboven bij elke verlenging opnieuw gesteld worden en dat een wijziging bij uw leverancier, zoals een overname of een nieuwe onderaannemer, aanleiding is om opnieuw te kijken.

En het is geen reden om alleen nog met grote partijen te werken. Een kleine leverancier die zijn zaken op orde heeft en dat kan laten zien, voldoet net zo goed aan wat u nodig heeft. Wat u wel moet doen is het vaststellen in plaats van aannemen. Voor uw eigen situatie geldt bovendien dat de reikwijdte van de wet juridisch bepaald wordt; leg dat voor aan een jurist. Deze pagina is uitleg, geen juridisch advies.

Veelgestelde vragen

Wanneer is de Cyberbeveiligingswet in werking getreden?

Op 15 augustus 2026. De wet is de Nederlandse uitwerking van de Europese NIS2-richtlijn en vervangt de eerdere Wet beveiliging netwerk- en informatiesystemen. Vanaf die datum gelden de registratieplicht, de zorgplicht en de meldplicht voor de organisaties die eronder vallen.

Hoe weet ik of mijn organisatie eronder valt?

Dat hangt af van uw sector en uw omvang. De wet onderscheidt essentiële entiteiten in zwaardere sectoren zoals energie, drinkwater, zorg en digitale infrastructuur, en belangrijke entiteiten in onder meer voedsel, post, afvalbeheer en delen van de maakindustrie. Het NCSC biedt hulpmiddelen om dit vast te stellen. Bij twijfel is dit een vraag voor een jurist en niet voor uw leverancier.

Wat betekent de zorgplicht voor mijn toeleveringsketen?

De zorgplicht verplicht u tot passende technische en organisatorische maatregelen, en beveiliging van de toeleveringsketen wordt daarbij uitdrukkelijk genoemd. Partijen die toegang hebben tot uw systemen of er onderdelen aan leveren, vallen daaronder. Een softwareleverancier voldoet vrijwel altijd aan die omschrijving.

Moet mijn softwareleverancier zelf ook aan de wet voldoen?

Alleen als hij zelf onder de reikwijdte valt, wat afhangt van zijn sector en omvang. Voor u is dat niet de doorslaggevende vraag. Ook een leverancier die er zelf buiten valt, zit in uw keten, en uw zorgplicht gaat over de risico's die via hem bij u binnenkomen.

Is een ISO 27001-certificaat voldoende?

Het beantwoordt een deel van uw vragen, maar alleen binnen de scope van het certificaat. In de praktijk beschrijft die scope vaak het beheer van een hostingomgeving terwijl softwareontwikkeling er niet onder valt. Vraag daarom niet of een leverancier gecertificeerd is, maar of de dienst die u afneemt binnen de scope valt.

Wat is het belangrijkste dat ik in het contract zet?

Een meldtermijn richting u die korter is dan uw eigen meldplicht. Uw eerste melding moet binnen vierentwintig uur na kennisname bij de toezichthouder liggen, en u kunt die termijn alleen halen als uw leverancier u eerder informeert. Een contract dat daarover zwijgt, maakt uw eigen naleving afhankelijk van goede wil.

Wat gebeurt er als ik me niet heb geregistreerd?

De registratie is verplicht voor organisaties die onder de wet vallen, en het toezicht op naleving ligt bij de aangewezen toezichthouder per sector. Uit berichtgeving van augustus 2026 bleek dat ongeveer de helft van de betrokken organisaties de deadline niet had gehaald. Bent u te laat, dan is alsnog registreren de eerste stap; wat de gevolgen zijn hangt af van uw situatie en is een vraag voor een jurist.

Hoe vaak moet ik dit opnieuw beoordelen?

De zorgplicht is doorlopend, dus niet eenmalig bij contractsluiting. Praktisch betekent het dat u de vragen aan uw leverancier bij elke verlenging herhaalt, en dat een verandering aan zijn kant, zoals een overname of een nieuwe onderaannemer, aanleiding is om opnieuw te kijken.