De Cyberbeveiligingswet en het bijbehorende Cyberbeveiligingsbesluit gelden sinds 15 augustus 2026. Voor de meeste ondernemers begint deze wet niet met een brief van een toezichthouder, maar met een vragenlijst van een klant. Een softwarebureau van veertien man valt zelf niet onder de Cyberbeveiligingswet en krijgt toch elf pagina's aan vragen over back-ups, toegangsbeheer en onderaannemers, plus een addendum bij het bestaande onderhoudscontract. Zo bereikt deze regelgeving het mkb: via het contract van iemand anders. De ondernemer die zo'n vragenlijst krijgt, staat daarmee voor een contractenvraag in plaats van een technische.

Wat er precies is gaan gelden

Staatsblad 2026, 189 bevat geen wettekst maar een algemene maatregel van bestuur die de open normen van de wet invult. Artikel 35 laat wet en besluit samen op 15 augustus 2026 in werking treden, waarbij bewust is afgeweken van de vaste verandermomenten omdat het om implementatie van de Europese NIS2-richtlijn gaat. In de toelichting staat één zin die veel bestuurders zullen willen aanstrepen: het besluit voorziet niet in overgangsrecht. Geen wettelijke ingroeiperiode en geen apart regime voor kleinere entiteiten die net binnen de reikwijdte vallen. Het geraadpleegde mkb-panel heeft om zo'n ingroeiperiode gevraagd en die niet gekregen.

De plicht die u bereikt zonder dat u eronder valt

Artikel 10 van het besluit verplicht de entiteiten waarop het van toepassing is tot schriftelijk beleid over de beveiliging van hun toeleveringsketen, en tot periodieke toetsing van hun rechtstreekse leveranciers en dienstverleners. Artikel 4 zondert daarbij elf typen entiteiten uit, waaronder aanbieders van cloudcomputingdiensten en van beheerde diensten, omdat voor hen een Europese uitvoeringsverordening rechtstreeks geldt. Het woord "rechtstreekse" doet vervolgens het werk: de toetsplicht stopt bij de partijen waarmee de entiteit zelf een contract heeft. Verder de keten in reikt zij alleen als partijen dat contractueel doorleggen. De toelichting bakent de reikwijdte af met een voorbeeld dat blijft hangen: de leverancier van potloden valt erbuiten, de softwareleverancier valt er wel binnen.

Wat dit betekent voor uw voorwaarden

De toelichting noemt zelf de instrumenten waarmee entiteiten aan hun toetsplicht voldoen: certificering, clausules in leveringsovereenkomsten, heronderhandeling, een aanvullend contract of overstappen naar een andere partij. Dit stuk publiekrecht wordt in de praktijk dus vooral een golf van contractwijzigingen. Het artikel behandelt vier punten die u moet nakijken voordat u tekent, waaronder de garantiebepaling die u laat verklaren dat u aan een wet voldoet die aan u, als u zelf geen entiteit bent, helemaal geen eisen stelt, en sluit af met vijf stappen die een mkb-bedrijf deze week zelf kan zetten.