MKB-bedrijven in aangewezen sectoren vallen sinds 15 augustus 2026 onder de Cyberbeveiligingswet (NIS2) en moeten risicomaatregelen nemen en incidenten melden; vrijwel elk bedrijf dat persoonsgegevens verwerkt blijft daarnaast gebonden aan de AVG, inclusief de meldplicht datalekken binnen 72 uur.
Voor Nederlandse MKB-bedrijven is 2026 het jaar waarin vrijblijvendheid rond cybersecurity grotendeels verdwijnt. Op 15 augustus 2026 is de Cyberbeveiligingswet in werking getreden, de Nederlandse omzetting van de Europese NIS2-richtlijn, en die verplicht duizenden organisaties in kritieke sectoren tot concrete beveiligingsmaatregelen en incidentmeldingen. Daarnaast blijft de AVG onverkort gelden voor elk bedrijf dat persoonsgegevens verwerkt, ongeacht sector of omvang.
Acht acties vormen daarbij het fundament — ongeacht of uw bedrijf wettelijk onder de Cyberbeveiligingswet valt:
- Vaststellen of uw bedrijf onder de Cyberbeveiligingswet valt
- Multi-factor authenticatie (MFA) invoeren
- Software- en patchbeleid vastleggen
- Een incident response plan opstellen
- Een back-up- en herstelbeleid implementeren volgens de 3-2-1-regel
- Leveranciers en de toeleveringsketen beoordelen
- Personeel trainen op cyberbewustzijn
- Het datalekkenregister en de bewerkersovereenkomsten op orde brengen
Cyberbeveiligingswet (NIS2): geldt die voor uw bedrijf?
De Europese NIS2-richtlijn (Richtlijn (EU) 2022/2555) is in Nederland omgezet in de Cyberbeveiligingswet (Cbw). Die wet is op 15 augustus 2026 in werking getreden en vervangt de oudere Wet beveiliging netwerk- en informatiesystemen (Wbni). Nederland haalde de Europese transponeringsdeadline van 17 oktober 2024 niet: het wetsvoorstel doorliep pas in april 2026 de Tweede Kamer en begin juli 2026 de Eerste Kamer, voordat de wet die zomer van kracht werd.
De wet maakt onderscheid tussen twee categorieën organisaties, verspreid over 18 aangewezen sectoren:
- Essentiële entiteiten: grote organisaties (250 of meer medewerkers, of een jaaromzet boven €50 miljoen én een balanstotaal boven €43 miljoen) in de meest kritieke sectoren.
- Belangrijke entiteiten: middelgrote organisaties (50 tot 249 medewerkers, of een omzet en balanstotaal tussen €10 en €50 miljoen) in dezelfde of aanvullende sectoren.
Kleine en micro-ondernemingen vallen in de meeste gevallen buiten de scope: bedrijven met minder dan 50 medewerkers én een omzet en balanstotaal tot €10 miljoen zijn doorgaans uitgezonderd, ook binnen een aangewezen sector. Een beperkt aantal typen aanbieders valt echter altijd onder de wet, ongeacht omvang:
- Aanbieders van vertrouwensdiensten
- DNS-dienstverleners en registers van topleveldomeinnamen
- Aanbieders van openbare elektronische communicatienetwerken of -diensten
- Aanbieders van domeinnaamregistratiediensten
- Overheidsorganisaties
Wie persoonsgegevens verwerkt, blijft ongeacht deze uitzondering gewoon AVG-plichtig. Meer over die algemene privacyverplichtingen leest u in ons AVG-dossier.
Twijfelt u of uw organisatie onder de wet valt en in welke categorie? De NIS2-zelfevaluatietool van de Rijksinspectie Digitale Infrastructuur (RDI), ook te raadplegen via Ondernemersplein, geeft binnen enkele minuten een eerste indicatie.
Welke sectoren vallen onder de Cyberbeveiligingswet?
| Sector | Voorbeelden Nederlandse organisaties | Categorie |
|---|---|---|
| Energie | Elektriciteitsproducenten, gasleveranciers, laadpuntexploitanten | Essentieel |
| Vervoer | Luchtvaart, spoor, havens, grootschalig wegvervoer | Essentieel |
| Bankwezen | Kredietinstellingen, betaalinstellingen | Essentieel |
| Financiële marktinfrastructuur | Beurzen, centrale tegenpartijen | Essentieel |
| Gezondheidszorg | Ziekenhuizen, laboratoria, fabrikanten medische hulpmiddelen | Essentieel |
| Drinkwater | Drinkwaterbedrijven | Essentieel |
| Afvalwater | Grote afvalwaterzuiveraars | Essentieel |
| Digitale infrastructuur | DNS-dienstverleners, cloudproviders, datacenters, CDN's | Essentieel |
| ICT-dienstverlening (B2B) | Managed service providers, IT-leveranciers | Essentieel of belangrijk, afhankelijk van omvang |
| Overheid | Rijksoverheid en aangewezen overheidsorganisaties | Essentieel |
| Ruimtevaart | Grondstation- en satellietexploitanten | Essentieel |
| Post en koeriers | Grote postbedrijven en pakketbezorgers | Belangrijk |
| Afvalstoffenbeheer | Grote afvalverwerkers | Belangrijk |
| Chemie | Productie en distributie van chemische stoffen | Belangrijk |
| Voedingsmiddelen | Grote producenten en distributeurs | Belangrijk |
| Maakindustrie | Medische hulpmiddelen, elektronica, machines, auto-industrie | Belangrijk |
| Digitale aanbieders | Zoekmachines, onlinemarktplaatsen, sociale netwerken | Belangrijk |
| Onderzoek | Onderzoeksorganisaties in aangewezen domeinen | Belangrijk |
De definitieve indeling van uw organisatie volgt pas uit de registratie bij het NCSC; de sectortabel en de zelfevaluatietool geven daarvoor een betrouwbaar eerste beeld.
De cybersecurity-basischecklist voor het MKB: 8 acties
De volgende acht maatregelen zijn niet één-op-één de wettekst van de Cyberbeveiligingswet, maar de praktische basis die elk bedrijf met digitale bedrijfsprocessen zou moeten treffen. Voor essentiële en belangrijke entiteiten zijn de eerste zes bovendien een wettelijke verplichting; de laatste twee vloeien specifiek voort uit de AVG.
1. Multi-factor authenticatie (MFA)
Voer MFA in voor alle zakelijke accounts: e-mail, VPN, clouddiensten en beheerpanelen. MFA is naar schatting de maatregel met de hoogste impact tegen phishing en accountovername — gebruik waar mogelijk een authenticator-app (TOTP) boven sms-verificatie.
2. Software-updates en patchbeleid
Stel een patchbeleid vast: kritieke patches toepassen binnen 24 tot 72 uur, overige updates binnen 30 dagen. Houd een inventaris bij van alle software en systemen. Vergeten apparatuur — printers, NAS-systemen, IP-camera's — is in de praktijk vaak het zwakste punt.
3. Incident response plan
Documenteer wie wat doet bij een cyberincident: wie beoordeelt de ernst, wie meldt bij de toezichthouder, wie schakelt systemen af, wie communiceert met klanten. Test het plan jaarlijks via een tabletopoefening.
Voor essentiële en belangrijke entiteiten geldt onder de Cyberbeveiligingswet een gefaseerde meldplicht bij een significant incident: een vroegtijdige waarschuwing binnen 24 uur, een vervolgmelding met een eerste inschatting binnen 72 uur, en een eindrapportage binnen 1 maand. Eén melding via het centrale meldportaal bereikt automatisch zowel het NCSC als de bevoegde toezichthouder.
4. Back-up- en herstelbeleid (3-2-1-regel)
Drie kopieën, op twee verschillende dragers, waarvan minstens één offsite of in de cloud. Test het herstel minstens ieder kwartaal: een back-up waarvan u het herstel niet hebt getest, is geen betrouwbare back-up.
5. Leveranciersbeoordelingen (supply chain)
Beoordeel de cybersecurity van uw kritieke leveranciers. Vraag naar ISO 27001-certificering of een SOC 2-rapport en leg minimumeisen vast in contracten en bewerkersovereenkomsten.
6. Medewerkerstraining
Organiseer minstens jaarlijks een phishingsimulatie en bewustzijnstraining. Richt extra training in voor medewerkers met verhoogde rechten, zoals IT-beheerders, directie en finance.
7. Datalekkenregister
Onder de AVG bent u verplicht een intern register bij te houden van alle datalekken, ook de datalekken die u niet aan de Autoriteit Persoonsgegevens hoeft te melden. Documenteer datum, aard van het lek, betrokkenen, risico-inschatting en genomen maatregelen. Het volledige stappenplan bij een datalek vindt u in datalek melden onder de AVG.
8. Bewerkersovereenkomsten
Sluit met elke verwerker — cloudprovider, boekhoudsoftware, CRM-leverancier — een schriftelijke bewerkersovereenkomst conform artikel 28 AVG. Controleer bestaande overeenkomsten op volledigheid: beveiligingseisen, sub-verwerkers en doorgifte buiten de EU.
AVG-verplichtingen naast de Cyberbeveiligingswet
De AVG geldt voor elk bedrijf dat persoonsgegevens verwerkt, ongeacht omvang of sector. De kernverplichtingen op een rij:
- Verwerkingsregister — in beginsel verplicht voor elke organisatie die persoonsgegevens verwerkt; bedrijven met minder dan 250 medewerkers zijn alleen vrijgesteld als de verwerking incidenteel is, geen hoog risico vormt en geen bijzondere persoonsgegevens betreft. In de praktijk moeten de meeste MKB-bedrijven dus gewoon een register bijhouden.
- Datalekmelding bij de AP — verplicht binnen 72 uur na ontdekking als er risico is voor betrokkenen.
- Privacyverklaring — actueel en transparant over wat u verwerkt, hoe lang, en op welke grondslag.
- Rechten van betrokkenen — inzage, correctie, verwijdering en bezwaar: richt hiervoor processen in en bewaak de termijnen.
- DPIA — verplicht bij verwerkingen met een hoog risico, zoals grootschalige verwerking van biometrische gegevens, profiling of gezondheidsdata.
Bekijk voor de actuele boetehistorie ons overzicht van AVG-boetes in Nederland.
Sancties bij niet-naleving: Cyberbeveiligingswet en AVG
| Wetgeving | Categorie | Maximale boete | Toezichthouder |
|---|---|---|---|
| Cyberbeveiligingswet (NIS2) | Essentiële entiteiten | €10 miljoen of 2% van de wereldwijde jaaromzet, het hoogste bedrag geldt | RDI en sectorale toezichthouders |
| Cyberbeveiligingswet (NIS2) | Belangrijke entiteiten | €7 miljoen of 1,4% van de wereldwijde jaaromzet, het hoogste bedrag geldt | RDI en sectorale toezichthouders |
| AVG | Ernstige overtredingen | €20 miljoen of 4% van de wereldwijde jaaromzet, het hoogste bedrag geldt | Autoriteit Persoonsgegevens (AP) |
| AVG | Overige overtredingen | €10 miljoen of 2% van de wereldwijde jaaromzet, het hoogste bedrag geldt | Autoriteit Persoonsgegevens (AP) |
Het NCSC is bij de Cyberbeveiligingswet overigens geen toezichthouder, maar het centrale meldpunt (CSIRT): een melding komt daar binnen en wordt automatisch doorgezet naar de bevoegde toezichthouder. Tien toezichthouders — waaronder de RDI, DNB, IGJ en ILT — coördineren hun toezicht via het Samenwerkingsplatform Digitale Weerbaarheid.
Aan de slag: waar begint u mee?
Actief in een aangewezen sector met 50 of meer medewerkers? Begin met de zelfevaluatietool van de RDI om uw categorie vast te stellen — dat bepaalt welke van de acht basismaatregelen voor u een wettelijke verplichting zijn in plaats van goede praktijk.
Verwerkt uw bedrijf persoonsgegevens, ongeacht omvang? Dan blijft de AVG sowieso van toepassing. MFA, een getest back-upbeleid en een op orde gebracht datalekkenregister zijn voor vrijwel elk MKB-bedrijf de drie maatregelen die het meeste risico wegnemen tegen de minste inspanning.