Belangrijkste verplichtingen Cyberbeveiligingswet 2026

Zorgplicht betekent dat je passende en evenredige maatregelen neemt. Passend betekent dat het aansluit op jouw risico en impact. Evenredig betekent dat je niet alles maximaal hoeft te doen, maar dat je keuzes logisch en onderbouwd zijn.

In de praktijk gaat het om een vaste set bouwstenen: governance, risicoanalyse, beleid, technische basis, detectie, incidentrespons, herstel, en leveranciersbeheer. Niet elk bedrijf hoeft dezelfde tooling te hebben, maar elk bedrijf binnen scope moet dezelfde logica kunnen uitleggen.

Handige vraag voor je management: als je belangrijkste systeem morgen uitvalt, wat kost dat per uur, en welke maatregel is goedkoper dan die schade. Als je dit kunt beantwoorden, kun je ook prioriteren.

Meldplicht werkt alleen als je vooraf je incidentproces hebt ingericht. Denk aan classificatie, beslisbevoegdheid, bewijs, communicatie, en een vaste route voor externe meldingen. Je wil geen discussie over wie iets mag melden terwijl je systemen branden.

Een goede aanpak is een drie lagen model. Laag 1 is detectie en triage. Laag 2 is besluit en escalatie. Laag 3 is melding en communicatie. Per laag benoem je rol, eigenaar en tijdslimiet. Zo kun je ook oefenen.

Vergeet keteneffect niet. Als je incident impact heeft op klanten, moeten afspraken klaar liggen over wie wat zegt en wanneer. Veel schade ontstaat door onduidelijke communicatie, niet alleen door de aanval zelf.

Registratie draait om bereikbaarheid en coordinatie. Een organisatie binnen scope moet een actueel contactpunt hebben, plus een incidentcontact dat ook buiten kantooruren werkt. Dit lijkt simpel, maar dit is een van de meest gemaakte fouten.

Maak het praktisch. Zet een telefoonboom, een groepsmailbox, en een calamiteiten kanaal klaar. Leg vast wie primaire en secundaire contact is. En test dit elk kwartaal met een korte oefening van 10 minuten.

Ketenbeveiliging betekent dat je leveranciers niet alleen selecteert op prijs of gemak, maar ook op risico en continuiteit. Je maakt een leveranciersregister, bepaalt welke leveranciers kritiek zijn, en je legt minimale eisen vast in contracten.

Een simpele aanpak werkt vaak het best. Classificeer leveranciers in drie niveaus: kritisch, belangrijk, ondersteunend. Voor kritisch wil je een exit plan, een herstelafspraak, logging en meldafspraken, en periodieke controles.

Vergeet cloud en managed services niet. Veel organisaties leunen zwaar op externe partijen, maar kunnen niet uitleggen welke afhankelijkheden er zijn. Juist dat wil je inzichtelijk maken.

Bestuur en management moeten sturen op cyberrisico. Dat betekent dat er besluiten moeten zijn over risicoacceptatie, prioriteiten en investeringen, en dat er periodieke rapportage is over de staat van beveiliging. Niet alleen een IT rapport, maar een management rapport.

Voor toezicht is het belangrijk dat je bewijs hebt. Niet perfecte papieren, maar aantoonbare processen die werken. Denk aan incidentoefeningen, controles op toegang, en verbeteracties met eigenaar en deadline.

De snelste manier om dit te regelen is een vaste ritme. Maandelijks operationeel overleg, per kwartaal bestuursoverleg, jaarlijks een grotere oefening.

Nee. Je wil dat je basis klopt en dat je een aantoonbaar verbeterplan hebt. Toezicht kijkt vaak naar risico, prioriteiten, en of je structureel aan het verbeteren bent. Een klein team kan compliant zijn als de keuzes logisch zijn en processen werken.

Kies een eigenaar, leg een ritme vast, en start met een top 10 risico lijst. Daarna maak je een 30 dagen plan met 5 acties die de meeste impact hebben. Dat is precies waarom de prioriteiten scan op deze pagina bestaat.

Nee. Je werkt met kritikaliteit. Voor de kleine set kritieke leveranciers wil je diepere afspraken en bewijs. Voor de rest volstaat een lichtere aanpak. Het belangrijkste is dat je kunt uitleggen waarom je zo prioriteert.

Je maakt vooraf een beslisboom met drempels. Denk aan impact op dienstverlening, duur van uitval, schaal, data effect, keteneffect, en risico op maatschappelijke impact. Het belangrijkste is dat je dit vooraf vastlegt en oefent, zodat je in stress niet hoeft te improviseren.