Cyberbeveiligingswet: waarom het MKB er toch mee te maken krijgt
De Cyberbeveiligingswet geldt formeel voor meer dan 8.000 organisaties in aangewezen sectoren. Middelgrote en grote entiteiten in energie, zorg, transport, digitale infrastructuur en overheid. Voor veel MKB-bedrijven lijkt de wet daarmee op veilige afstand.
Die indruk klopt niet.
De zorgplicht omvat expliciet de beveiliging van de toeleveringsketen. Organisaties die onder de wet vallen, zijn verplicht eisen te stellen aan hun leveranciers, contractueel en aantoonbaar. De wet bereikt het MKB dus via operationele en contractuele druk, ook als je formeel buiten de scope valt.
Wat zegt de wet over ketenbeveiliging?
De zorgplicht in de Cyberbeveiligingswet is breder dan veel organisaties verwachten. De wet vereist niet alleen dat een organisatie haar eigen systemen beveiligt, maar ook dat zij de risico’s in de toeleveringsketen beheerst. Dat is geen vrijblijvende aanbeveling. Het is een expliciete verplichting.
Organisaties die onder de wet vallen, moeten aantoonbaar maken dat zij hun leveranciers hebben beoordeeld op beveiligingsrisico’s en dat zij passende contractuele afspraken hebben gemaakt. De wet sluit daarmee aan op wat in 27001:2022 al is opgenomen in Annex A onder leveranciersbeheersing. Het verschil is dat de Cyberbeveiligingswet dit omzet van een best practice naar een wettelijke eis met toezicht en handhaving.
Hoe sijpelt dit door naar het MKB?
De doorwerking verloopt via drie kanalen.
Contractuele eisen
Organisaties die onder de wet vallen, leggen beveiligingseisen vast in leverancierscontracten. Denk aan minimumeisen voor toegangsbeveiliging, versleuteling en meldingstermijnen bij incidenten. Voor MKB-leveranciers betekent dit dat bestaande contracten worden herzien of dat nieuwe contracten aanvullende voorwaarden bevatten die voorheen niet werden gesteld.
Security assessments en vragenlijsten
Steeds meer grote opdrachtgevers sturen beveiligingsvragenlijsten naar hun leveranciers. Dat was al een trend vóór de Cyberbeveiligingswet; de wet versnelt dit nu structureel. Organisaties moeten aantoonbaar hun keten hebben beoordeeld. Een niet-ingevulde vragenlijst of een leverancier die geen antwoord geeft, is voor een opdrachtgever een risico dat hij niet kan dragen.
Audits en certificeringseisen
In sectoren als zorg en overheid eisen opdrachtgevers al certificering of aantoonbare naleving van een erkend kader als voorwaarde voor contractverlening. De Cyberbeveiligingswet versterkt die trend. MKB-bedrijven die leveren aan essentiële entiteiten, krijgen steeds vaker te horen dat een basiscertificering of een ingevuld volwassenheidsmodel een contractvereiste wordt.
Wat vragen grote opdrachtgevers straks van hun leveranciers?
De eisen vloeien voort uit de maatregelgebieden in de zorgplicht. In de praktijk vertaalt dit zich naar een aantal terugkerende vragen:
- Heb je een gedocumenteerd informatiebeveiligingsbeleid?
- Hoe beheer je toegang tot systemen en data die relevant zijn voor onze dienstverlening?
- Wat is je procedure bij een beveiligingsincident dat onze organisatie raakt, en binnen welke termijn meld je dat aan ons?
- Hoe beveilig je de verbinding tussen jouw systemen en de onze?
Voor MKB-bedrijven die deze vragen nu niet kunnen beantwoorden, is dat een commercieel risico. Opdrachtgevers die onder de wet vallen, kunnen zich geen leveranciers permitteren die aantoonbaar geen basismaatregelen hebben getroffen.
Per sector: hoe concreet wordt de druk?
Zorg
Zorginstellingen vallen onder de Cyberbeveiligingswet en werken daarnaast met 7510. Leveranciers van software, medische apparatuur of facilitaire diensten krijgen te maken met beveiligingseisen die voortvloeien uit beide kaders. De verwerkersovereenkomst op basis van 7510 is al breed ingevoerd; de Cyberbeveiligingswet voegt daar een expliciete ketenbeveiligingseis aan toe.
Overheid
Gemeenten en rijksoverheid vallen grotendeels onder de wet. Leveranciers van IT-diensten, cloud-oplossingen of consultancy aan overheden krijgen steeds vaker te maken met eisen die zijn afgeleid van de BIO en nu ook van de Cyberbeveiligingswet.
Energie en transport
Toeleveranciers van technische systemen of onderhoudsdiensten aan energie- en transportbedrijven komen in aanraking met keteneisen die direct uit de zorgplicht voortvloeien. Hier is de druk het vroegst voelbaar, omdat deze sectoren tot de eerste handhavingsprioriteiten behoren.
Wat kan het MKB nu al doen?
Wachten op formele eisen van opdrachtgevers is een reactieve strategie. Organisaties die nu al basismaatregelen aantoonbaar hebben ingericht, staan sterker in aanbestedingen en bij contractverlenging. Concrete stappen:
- Voer een basisinventarisatie uit van de belangrijkste informatiebeveiligingsrisico’s in je organisatie;
- Leg beleid vast, ook als het eenvoudig is, want aantoonbaarheid begint bij documentatie;
- Richt een basisproces in voor incidentmelding, intern én naar opdrachtgevers;
- Doe een volwassenheidsscan om te bepalen waar je staat en wat prioriteit heeft;
- Vraag bij bestaande opdrachtgevers na welke eisen zij op korte termijn verwachten te stellen.
