De eerste ondernemers die iets van de Cyberbeveiligingswet gaan merken, zijn niet de bedrijven die eronder vallen. Het zijn hun leveranciers. Een softwarebureau van veertien man krijgt in september een mail van zijn grootste klant, een regionale netbeheerder, met een vragenlijst van elf pagina's over back-ups, toegangsbeheer, onderaannemers en incidentmelding, plus het verzoek een addendum bij het bestaande onderhoudscontract te tekenen. Het bureau valt zelf niet onder de Cyberbeveiligingswet. Toch ligt de vraag op tafel, met een uiterste datum erbij.
Zo bereikt deze wet het midden- en kleinbedrijf: via het contract van iemand anders. De ondernemer die de vragenlijst krijgt, staat daarmee voor een contractenvraag in plaats van een technische. Wie belooft wat, aan wie, onder welke voorwaarden, en wat gebeurt er als het niet lukt.
Wat er op 15 augustus is gaan gelden
De basis staat in Staatsblad 2026, 189, gepubliceerd op 10 juli 2026 en ondertekend op 8 juli. Die publicatie bevat geen wettekst maar een algemene maatregel van bestuur: het Cyberbeveiligingsbesluit, dat de open normen van de Cyberbeveiligingswet invult. Artikel 35 van dat besluit regelt de inwerkingtreding van allebei tegelijk, met ingang van 15 augustus 2026. Artikel 36 geeft de citeertitel.
Twee dingen aan die datum zijn voor de praktijk van belang. Ten eerste is bewust afgeweken van de vaste verandermomenten en van de gebruikelijke minimuminvoeringstermijn, omdat wet en besluit de Europese NIS2-richtlijn implementeren. Ten tweede staat er in de toelichting één zin die veel bestuurders zullen willen aanstrepen: het besluit voorziet niet in overgangsrecht. Er is geen wettelijke ingroeiperiode en geen apart regime voor kleinere entiteiten die net binnen de reikwijdte vallen. Het mkb-panel dat bij de voorbereiding is geraadpleegd heeft er expliciet om gevraagd; het antwoord was dat over de inwerkingtreding tijdig zou worden gecommuniceerd en dat organisaties niet hadden moeten wachten.
Valt u er zelf onder?
De reikwijdte hangt volgens de toelichting van het NCSC van twee dingen af: uw sector en de omvang van uw organisatie. De wet richt zich op ongeveer achtduizend organisaties in achttien (zeer) kritieke sectoren, waaronder energie, digitale infrastructuur, onderzoek en overheid. Daarnaast kunnen grotere bedrijven in andere sectoren en sommige toeleveranciers eronder vallen, en wie al is aangewezen onder de Wet weerbaarheid kritieke entiteiten valt er automatisch ook onder. Binnen die reikwijdte onderscheidt de wet essentiële en belangrijke entiteiten, aangewezen per sector en soort entiteit in de bijlagen.
Er is dus geen enkele drempel waarmee u het in één keer weet, en geen lijst waarin u uw KvK-nummer kunt opzoeken. De NIS2-zelfevaluatie van de RDI loopt sector en omvang stap voor stap met u door en geeft ook aan of u als essentieel of als belangrijk zou gelden. In de toelichting bij het besluit staat er nadrukkelijk bij dat iedere organisatie hier zelf verantwoordelijk voor is. Die zin heeft praktische gevolgen: een verkeerde inschatting blijft uw probleem, ook als uw brancheorganisatie of uw IT-leverancier iets anders heeft geroepen.
Valt u er wel onder, dan begint het bij registratie. Artikel 27 van het besluit schrijft voor welke gegevens u naast de wettelijke basisgegevens moet aanleveren voor het nationale register: of u zich meldt als essentiële entiteit, als belangrijke entiteit of als aanbieder van domeinnaamregistratiediensten, uw nummer uit het handelsregister, het soort entiteit uit de bijlagen, en uw domeinnamen. Het register wordt namens de minister beheerd door het NCSC. In hetzelfde mkb-panel bleek dat lang niet alle deelnemers wisten dat die registratieplicht bestond, en één zorg kwam daar heel scherp naar voren: een ondernemer die in meer lidstaten actief is, wil zich niet zevenentwintig keer hoeven registreren.
De plicht die u bereikt zonder dat u eronder valt
Voor de meeste lezers van deze site is dit het onderdeel dat er echt toe doet. Artikel 10 van het Cyberbeveiligingsbesluit verplicht entiteiten die wél onder de wet vallen om vastgesteld, schriftelijk beleid te hebben over de beveiliging van hun toeleveringsketen, en dat beleid aantoonbaar toe te passen. Het tweede lid gaat verder: zij moeten toetsen of hun rechtstreekse leveranciers en dienstverleners voldoen aan de beveiligingseisen die zij op grond van hun eigen risicoanalyse hebben gesteld, en dat periodiek controleren.
Eén afbakening hoort er meteen bij. Artikel 4 van het besluit verklaart de artikelen 6 tot en met 18, en dus ook artikel 10, niet van toepassing op elf soorten entiteiten waarvoor de Europese Uitvoeringsverordening 2024/2690 al rechtstreeks geldt: onder meer aanbieders van cloudcomputingdiensten, datacentrumdiensten, beheerde diensten, beheerde beveiligingsdiensten, onlinemarktplaatsen, zoekmachines en vertrouwensdiensten. Die partijen zitten niet zonder ketenverplichting, maar hun eisen komen uit de verordening. Als uw afnemer in een van die categorieën valt, verwijst zijn vragenlijst dus naar een ander normenkader dan hieronder beschreven.
Twee woorden dragen die bepaling. Het eerste is "rechtstreekse". De toetsplicht loopt niet de hele keten door tot aan de laatste onderaannemer; hij stopt bij de partijen waarmee de entiteit zelf een contract heeft. Uw klant kan u dus toetsen, maar niemand toetst de hele keten in één keer. Let op wat daaruit wél en niet volgt: de wettelijke plicht rust op uw klant, niet op u. Dat u dezelfde eisen aan uw eigen onderaannemers stelt, volgt niet uit de wet maar alleen uit een beding in uw contract met die klant, of uit een eigen wettelijke positie als u zelf entiteit blijkt te zijn. De keten wordt dus niet door de wet doorgelust; hij wordt per contract doorgelegd, en dat gebeurt alleen als iemand het opschrijft. Het tweede woord is "periodiek". Een eenmalige verklaring bij het sluiten van het contract is niet genoeg; de toetsing moet blijven meelopen met de looptijd.
De toelichting bakent de reikwijdte af met een voorbeeld dat u kunt onthouden. De relatie met een leverancier van potloden valt erbuiten, omdat potloden niets te maken hebben met de beveiliging van de netwerk- en informatiesystemen. De relatie met een softwareleverancier of met een leverancier van hardwareonderdelen die van belang zijn voor het goed functioneren van die systemen, valt er wel binnen. De grens ligt dus niet bij de omvang van de opdracht of bij het factuurbedrag, maar bij de vraag of uw product of dienst raakt aan de systemen van uw klant.
Wat dit doet met uw voorwaarden en uw contracten
De toelichting bij artikel 10 noemt zelf de instrumenten waarmee entiteiten aan hun toetsplicht kunnen voldoen: certificering van toeleveranciers, clausules in leveringsovereenkomsten, en, als een leverancier niet meer voldoet, het heronderhandelen van contracten, het sluiten van een aanvullend contract of het overstappen naar een andere partij. Daarmee is dit stuk publiekrecht in de praktijk vooral een golf van contractwijzigingen. Vier punten verdienen aandacht voordat u tekent.
Beloof niet meer dan uw eigen inrichting waarmaakt. De ruimste variant die u kunt tegenkomen is een garantie dat u "voldoet aan de Cyberbeveiligingswet en het Cyberbeveiligingsbesluit". Als u zelf geen entiteit bent, stelt de wet aan u geen eisen, en dan is onduidelijk waaraan uw prestatie wordt gemeten. Zo'n bepaling kan twee kanten op vallen: bij uitleg kan zij inhoudsloos blijken, maar zij kan ook worden gelezen als het incorporeren van een heel normenkader in uw verbintenis. Dat verschil bepaalt of er straks een tekortkoming is, en pas daarna komen causaliteit, schade en een eventueel boete- of vrijwaringsbeding in beeld. Vraag daarom om een omschrijving van de concrete maatregelen die uw klant uit zijn eigen risicoanalyse heeft afgeleid, en spreek af welke beoordelingsmaatstaf en welke remedie erbij horen. Dat is precies wat artikel 7, vijfde lid, van hem verlangt, en het is een redelijk verzoek.
Let op de meldketen. Uw klant moet significante incidenten melden bij een daarvoor ingericht meldpunt, met een vroegtijdige waarschuwing die onder meer het vermoedelijke aanvangstijdstip, de aard en merkbare gevolgen, een prognose van de hersteltijd en de genomen of voorgenomen maatregelen bevat, voor zover mogelijk. Om dat te kunnen doen heeft hij informatie van u nodig, snel en in bruikbare vorm. Een meldbepaling die alleen zegt dat u "onverwijld" moet informeren, helpt geen van beide partijen. Leg vast wie u belt, wat u in eerste instantie doorgeeft en wat later volgt.
Kijk kritisch naar audit- en toegangsrechten. Periodieke toetsing hoeft geen jaarlijkse audit ter plaatse te betekenen; een certificaat, een gestandaardiseerde vragenlijst of een rapportage kan volstaan. De vraag is welke last proportioneel is voor de aard van uw dienst. Datzelfde geldt voor doorlegging aan uw eigen onderaannemers: u kunt niet meer doorgeven dan u zelf bedongen krijgt, en dat is een reëel bezwaar dat het mkb-panel ook heeft opgeworpen. Kleine toeleveranciers hebben weinig slagkracht tegenover grote afnemers, en die scheefheid verdwijnt niet doordat er nu een wet is.
Regel tot slot wat er gebeurt als de toetsing tot een negatief oordeel leidt. De toelichting noemt heronderhandeling, een aanvullend contract of overstappen. Zonder afspraak vooraf betekent dat laatste in de praktijk een opzegging waarover u het niet eens wordt. Een herstelperiode met een concrete termijn, gevolgd door een beëindigingsrecht, is voor beide partijen beter dan een open beëindigingsclausule die de sterkste partij zonder motivering kan gebruiken. Wie dit soort bepalingen eerder heeft zien misgaan, herkent het patroon uit de bespreking van verouderde beveiligingsafspraken in lopende leverancierscontracten: het onderhoudscontract blijft doorlopen terwijl de technische werkelijkheid eronder verschuift.
Waar AI hierin thuishoort
AI hoort in dit verhaal thuis op één plek: als een concreet leveranciersrisico. Twee vragen staan daarbij los van elkaar. De eerste is of de aanbieder een rechtstreekse dienstverlener is, en dat gaat over de contractuele relatie: heeft uw klant zelf met die partij gecontracteerd, of loopt de dienst via u of via een andere leverancier. Een AI-toepassing die diep in de productieomgeving hangt maar door u is ingekocht, is voor uw klant geen rechtstreekse dienstverlener; hij bereikt haar via u. De tweede vraag is of het product of de dienst de beveiliging van de netwerk- en informatiesystemen kan beïnvloeden. Dat is de maatstaf van artikel 10, en de technische koppeling is daarvoor niet doorslaggevend.
Juist die tweede vraag wordt bij AI vaak te snel met nee beantwoord. Een clouddienst die een medewerker vanaf zijn laptop gebruikt, krijgt in de praktijk bedrijfsgegevens te zien, soms inloggegevens, soms toegang tot de browser of de mailbox, en zijn uitvoer landt in processen waarop mensen beslissingen nemen. Dat is iets anders dan een leverancier van potloden. Dan gelden dezelfde vragen als bij elke andere IT-leverancier: welke onderaannemers zitten erachter, waar staan de gegevens, hoe wordt toegang ingetrokken, en wat gebeurt er bij een incident.
Het praktische punt zit in de bewijsvoering. Bij AI-diensten wisselen onderliggende modellen en subverwerkers sneller dan de contractcyclus. Een clausule die uw klant het recht geeft om bij wijziging van die keten opnieuw te toetsen, is nuttiger dan een momentopname die twee jaar geldig blijft. Bij de vraag welke afspraken uit een dienstverleningscontract ná afloop blijven doorwerken, speelt hetzelfde mechanisme als bij de kennisclausule in algemene voorwaarden.
Vijf stappen voor deze week
Een korte volgorde die u zonder externe hulp kunt zetten, en die de rest goedkoper maakt.
- Bepaal uw eigen positie met de zelfevaluatie en leg de uitkomst met datum vast, ook als die "valt er niet onder" luidt. Dat document legt uw eigen beoordeling en de gebruikte uitgangspunten vast, meer niet: een afnemer mag ook van een leverancier buiten de reikwijdte beveiligingsbewijs verlangen. Leg er daarom meteen naast wat u feitelijk aan maatregelen kunt aantonen.
- Maak een lijst van uw tien grootste afnemers en zet erbij welke waarschijnlijk wél een entiteit zijn. Daar komt het contractverkeer vandaan.
- Maak dezelfde lijst voor uw eigen leveranciers, maar dan gefilterd op de vraag uit de toelichting: raakt deze partij mijn systemen, of levert zij potloden.
- Leg naast elkaar wat u vandaag al kunt aantonen: back-upregeling, toegangsbeheer, incidentafspraken, onderaannemers. Bijna elk mkb-bedrijf heeft meer dan het denkt, alleen niet op één plek.
- Bekijk uw eigen algemene voorwaarden op de vier punten hierboven, vóórdat de eerste klant zijn addendum stuurt. Wie als eerste een redelijke tekst op tafel legt, onderhandelt vanuit een betere positie.
Voor stap vijf is onze contractscanner gebouwd: u plakt een aangeboden beveiligingsaddendum of een set inkoopvoorwaarden erin en de scanner is ingericht om per artikel een concreet tegenvoorstel te geven, met de belangrijkste onderhandelpunten op een rij. De betaalde analyse staat op die pagina op dit moment nog niet open; de tarieven per omvang staan er wel bij vermeld. Voor de inhoudelijke kant biedt het NCSC gratis handreikingen en zelfscans. De taak richting het mkb die eerder bij het Digital Trust Center lag, is per 1 januari 2026 in het versterkte NCSC opgegaan, zodat er voor ondernemers nog één loket is.
De kettingpont in de foto hierboven is een aardig beeld voor hoe dit werkt. De ponthouder kan alleen de schakels beoordelen die op zijn tandwiel liggen. De rest van de ketting bestaat, en draagt mee, maar ligt buiten zijn bereik op de bodem. Zo is de wettelijke plicht ook afgebakend: zij houdt op bij het eigen contactvlak. Wat daarachter ligt, bereikt u alleen als u het met de partij vóór u afspreekt.
Publieke bronnen geraadpleegd op 20 augustus 2026: Staatsblad 2026, 189 (Cyberbeveiligingsbesluit, gepubliceerd 10 juli 2026), inclusief de nota van toelichting; de NIS2-zelfevaluatie van de RDI op regelhulpenvoorbedrijven.nl; de reikwijdte- en registratiepagina's van het NCSC. Dit artikel is algemene informatie en geen juridisch advies over een concreet dossier.
