Voor wie geldt de wet, en wie krijgt ermee te maken

De Cyberbeveiligingswet geldt rechtstreeks voor ruim 8.000 organisaties in Nederland. Dat lijkt in eerste instantie een beperkte groep, maar de impact reikt verder. Organisaties die onder de wet vallen, moeten namelijk kunnen aantonen dat ook hun leveranciers passende beveiligingsmaatregelen hebben genomen. Werk je als leverancier voor zo’n organisatie, dan is de kans groot dat je klant binnenkort vragen stelt over jouw digitale veiligheid.

Denk daarbij aan vragen als: hoe beveilig je jouw systemen, hoe ga je om met incidenten, en welke maatregelen heb je genomen om risico’s te beperken? Ook als je zelf niet rechtstreeks onder de wet valt, kun je dus met deze vragen te maken krijgen. Voor veel mkb-bedrijven wordt cybersecurity daarmee steeds vaker een voorwaarde om zaken te kunnen blijven doen, in plaats van een keuze.

Wat de wet concreet vraagt

Organisaties die onder de Cyberbeveiligingswet vallen, krijgen te maken met een aantal verplichtingen. Ze moeten passende technische en organisatorische beveiligingsmaatregelen nemen en risico’s binnen de gehele leverancierketen beheersen. Ernstige cyberincidenten moeten binnen 24 uur worden gemeld, en de organisatie moet zich registreren bij het Nationaal Cyber Security Centrum (NCSC).

Ook de rol van bestuurders verandert. Zij krijgen een grotere verantwoordelijkheid en moeten actief toezicht houden op de genomen beveiligingsmaatregelen. Wanneer een organisatie onvoldoende aan de wet voldoet, kunnen bestuurders daar persoonlijk op worden aangesproken. Dat maakt cybersecurity niet alleen een operationeel onderwerp, maar ook een bestuurlijk aandachtspunt.

Ook zonder wettelijke verplichting is voorbereiding verstandig

Veel mkb-organisaties denken dat de Cyberbeveiligingswet hen niet raakt, omdat ze niet op de lijst van verplichte organisaties staan. In de praktijk zien wij iets anders gebeuren. Steeds meer grote opdrachtgevers vragen hun leveranciers om aantoonbaar veilig te werken, juist omdat zij zelf verantwoording moeten afleggen over hun keten.

Dat werkt twee kanten op. Bedrijven die hun beveiliging goed op orde hebben, staan sterker bij aanbestedingen, contractverlengingen en nieuwe samenwerkingen. Wie hier nu al mee bezig is, loopt straks niet achter de feiten aan wanneer een klant of opdrachtgever ernaar vraagt.

Waarom nu al beginnen zinvol is

De wet treedt pas op 15 augustus in werking, maar het verbeteren van je informatiebeveiliging kost tijd. Het is geen kwestie van één knop omzetten. Vaak is een combinatie van technische en organisatorische stappen nodig, en die stappen bouw je niet in een paar weken op.

Concreet gaat het om het krijgen van inzicht in de risico’s binnen je organisatie, het vastleggen en verbeteren van beveiligingsmaatregelen, het bewust maken van medewerkers van cyberrisico’s, het opstellen van een procedure voor het melden van incidenten, en het controleren of ook je eigen leveranciers aan de gestelde eisen voldoen. Wie hier op tijd mee start, voorkomt dat alles tegelijk moet gebeuren op het moment dat de wet al geldt.

Hoe STH helpt

Cybersecurity draait niet alleen om techniek. Het gaat vooral om het verkleinen van risico’s en om het kunnen aantonen dat je je beveiliging goed hebt geregeld. Bij STH helpen we organisaties om eerst inzicht te krijgen in hun huidige situatie. Pas daarna kijken we samen welke maatregelen daadwerkelijk passen bij jouw organisatie, zonder overbodige stappen of onnodige investeringen.

Of je nu rechtstreeks onder de Cyberbeveiligingswet valt of je wilt voorbereiden op vragen van klanten en leveranciers, wij zorgen dat je weet waar je staat en welke vervolgstappen nodig zijn. Dat doen we op de manier die je van ons gewend bent: van inventarisatie en implementatie tot structureel beheer en periodieke evaluatie.

Wil je weten wat de Cyberbeveiligingswet voor jouw organisatie betekent? Neem gerust contact met ons op. We denken graag met je mee en helpen je om op tijd voorbereid te zijn.