Sinds 15 augustus 2026 is de Cyberbeveiligingswet in Nederland van kracht. Daarmee is de Europese NIS2-richtlijn definitief omgezet in Nederlandse wetgeving en krijgen duizenden organisaties te maken met nieuwe verplichtingen rondom digitale weerbaarheid. Denk aan een registratieplicht, zorgplicht en meldplicht bij significante incidenten. Toch zit één van de belangrijkste veranderingen wat ons betreft ergens anders: cybersecurity is nadrukkelijk een verantwoordelijkheid van het bestuur geworden.
Dat klinkt misschien als een juridische wijziging, maar in de praktijk raakt het direct aan de manier waarop organisaties hun ICT hebben ingericht.

Veel organisaties hebben grote delen van hun ICT uitbesteed. Werkplekken, infrastructuur, security, applicaties en beheer liggen regelmatig bij verschillende externe leveranciers. Dat kan uitstekend werken, zolang de organisatie zelf voldoende overzicht houdt en weet welke risico’s, afhankelijkheden en verantwoordelijkheden daarbij horen.

Daar legt de Cyberbeveiligingswet meer nadruk op. Een bestuurder hoeft geen cybersecurityspecialist te worden. Van bestuurders wordt wel verwacht dat zij voldoende kennis hebben om cyberrisico’s en beveiligingsmaatregelen te kunnen beoordelen. Het bestuur moet maatregelen vanuit de zorgplicht goedkeuren en toezicht houden op de uitvoering daarvan.
En daarmee wordt een vraag die wij bij MMA al langer stellen ineens nog relevanter: weet u eigenlijk hoe goed uw organisatie digitaal in control is?

De Cyberbeveiligingswet vervangt de Wet beveiliging netwerk- en informatiesystemen (Wbni) en geldt voor organisaties die essentiële of belangrijke diensten leveren binnen 18 sectoren. Daaronder vallen onder andere organisaties binnen energie, gezondheidszorg, overheid, vervoer, drinkwater en digitale infrastructuur. Organisaties zijn zelf verantwoordelijk om vast te stellen of zij onder de wet vallen.
Voor organisaties waarop de wet van toepassing is, ontstaan verschillende verplichtingen.

Zij moeten zich registreren, passende en evenredige maatregelen treffen om cyberrisico’s te beheersen en significante incidenten binnen de daarvoor geldende termijnen melden. Risicomanagement vormt daarbij een belangrijk uitgangspunt: organisaties moeten weten welke risico’s zij lopen en op basis daarvan bepalen welke maatregelen passend zijn.

Daarmee verschuift cybersecurity verder van een technisch onderwerp naar een organisatorisch vraagstuk. Het gaat uiteindelijk om de continuïteit van de organisatie. Welke processen moeten blijven functioneren? Welke systemen zijn daarvoor noodzakelijk? Welke partijen hebben toegang tot die systemen? Wat gebeurt er wanneer een leverancier uitvalt of wordt getroffen door een cyberincident? En wie neemt binnen de organisatie de leiding wanneer zo’n situatie zich daadwerkelijk voordoet?

Dat zijn vragen waarop een technisch beveiligingsrapport alleen geen volledig antwoord geeft.

Een belangrijk onderdeel van de Cyberbeveiligingswet is de bestuurlijke verantwoordelijkheid. Het bestuur moet de maatregelen rondom de zorgplicht goedkeuren en toezicht houden op de uitvoering. Bestuurders moeten daarnaast voldoende kennis hebben om risico’s en beveiligingsmaatregelen te kunnen beoordelen en daarvoor een passende training volgen.
Dat betekent vooral dat bestuurders in staat moeten zijn de juiste vragen te stellen.

Dat klinkt vanzelfsprekend. In de praktijk is dat overzicht lang niet altijd op één plek aanwezig.

De informatie zit bijvoorbeeld verspreid over de interne ICT-afdeling, de managed service provider, securityleverancier, softwareleveranciers en verschillende contracten. Iedere partij kent zijn eigen onderdeel uitstekend, terwijl het voor het bestuur lastig kan zijn om het totale landschap te overzien.

Juist daarom is bestuurlijke verantwoordelijkheid ook een vraagstuk van ICT-regie.

Het is een zin die in veel gevallen waarschijnlijk met de beste bedoelingen wordt uitgesproken. Een gespecialiseerde ICT-leverancier kan immers veel meer technische kennis in huis hebben dan de organisatie zelf. Het is dan ook logisch om onderdelen van cybersecurity uit te besteden.

De verantwoordelijkheid van de organisatie verdwijnt daarmee alleen niet.

Dat onderscheid wordt door de Cyberbeveiligingswet belangrijker. Een leverancier kan beveiligingsmaatregelen implementeren, systemen monitoren, incidenten oplossen en adviseren over risico’s. Het bestuur blijft verantwoordelijk voor het goedkeuren van maatregelen en het toezicht daarop. De wet vraagt bovendien expliciet aandacht voor de veiligheid van de toeleveringsketen. Het NCSC noemt het beveiligen van die keten als één van de tien onderdelen van de zorgplicht.
Daar zit een belangrijk aandachtspunt voor organisaties die veel ICT hebben uitbesteed. Hoe meer partijen betrokken zijn bij uw ICT-landschap, hoe belangrijker het wordt om te weten wie waarvoor verantwoordelijk is en hoe die verantwoordelijkheden op elkaar aansluiten.

Want bij een incident is de vraag uiteindelijk niet alleen of leverancier A of B zijn contractuele verplichtingen is nagekomen. De organisatie moet als geheel weerbaar zijn.

Wie de Cyberbeveiligingswet uitsluitend benadert als een nieuwe compliance verplichting, loopt het risico vooral documenten, beleid en controles toe te voegen. Terwijl de basisvraag veel eenvoudiger is: weten we eigenlijk waar we verantwoordelijk voor zijn?

Daarvoor moet eerst duidelijk zijn welke systemen en processen essentieel zijn voor de bedrijfsvoering. Vervolgens moet inzichtelijk worden welke leveranciers daarbij betrokken zijn, welke gegevens worden verwerkt, welke afhankelijkheden zijn ontstaan en welke risico’s de continuïteit van de organisatie kunnen raken.

Pas vanuit dat overzicht wordt het mogelijk om goede keuzes te maken over maatregelen.

Het NCSC legt dezelfde relatie met risicomanagement. Bedrijven moeten een risicoanalyse uitvoeren en op basis daarvan passende en evenredige maatregelen nemen. De omvang van de organisatie, blootstelling aan risico’s, kans op incidenten en mogelijke impact spelen daarbij een rol.
Dat maakt de Cyberbeveiligingswet uiteindelijk ook een goed moment om breder naar de inrichting van ICT te kijken. Want tijdens zo’n inventarisatie komen vaak onderwerpen naar boven die verder gaan dan cybersecurity: verouderde contracten, onduidelijk eigenaarschap, afhankelijkheid van specifieke leveranciers, systemen waarvan niemand precies weet wie ze beheert of processen die bij een incident nauwelijks kunnen terugvallen op een alternatief.

Dat zijn ook zonder wettelijke verplichting risico’s die een bestuur zou willen kennen.

Veel organisaties hebben hun leveranciersmanagement op papier prima ingericht. Contracten hebben een eigenaar, periodiek worden SLA’s besproken en tijdens evaluaties worden prestaties beoordeeld. Toch betekent dat nog niet automatisch dat iemand het totale ICT-landschap bewaakt.

ICT-regie kijkt over afzonderlijke leveranciers en contracten heen. Daarbij staat het belang van de organisatie centraal. Past de dienstverlening nog bij wat de organisatie nodig heeft? Sluiten verantwoordelijkheden van verschillende leveranciers daadwerkelijk op elkaar aan? Zijn afhankelijkheden acceptabel? Welke risico’s ontstaan wanneer een systeem of leverancier uitvalt? En zijn de gemaakte keuzes nog logisch gezien de ontwikkeling van de organisatie?

De Cyberbeveiligingswet maakt dat perspectief extra relevant. Zeker wanneer meerdere leveranciers betrokken zijn bij netwerk- en informatiesystemen kan het bestuur onmogelijk uitsluitend varen op de beoordeling van iedere leverancier afzonderlijk.

Iemand moet het geheel blijven zien.

Kunt u uitleggen welke systemen cruciaal zijn voor uw bedrijfsvoering en wat er gebeurt wanneer één daarvan uitvalt? Weet u waar de grootste cyberrisico’s liggen en op basis waarvan die beoordeling is gemaakt? Is duidelijk welke leveranciers toegang hebben tot kritieke systemen en gegevens? Weet u welke afspraken gelden wanneer een incident meerdere leveranciers raakt? En is binnen de organisatie iemand verantwoordelijk voor het bewaken van dat totale plaatje?

Wanneer zulke vragen moeilijk te beantwoorden zijn, ligt daar een logischer startpunt dan direct nieuwe beveiligingsproducten inkopen.

De Cyberbeveiligingswet vraagt immers om passende maatregelen op basis van risico’s. Om risico’s goed te kunnen beoordelen, moet eerst duidelijk zijn hoe de organisatie digitaal in elkaar zit.

Nieuwe wetgeving zorgt begrijpelijkerwijs voor aandacht voor compliance. Organisaties willen weten wat verplicht is, wanneer iets geregeld moet zijn en hoe zij kunnen aantonen dat zij aan de eisen voldoen.

Het zou zonde zijn als de Cyberbeveiligingswet uiteindelijk alleen een nieuw dossier in SharePoint oplevert.
De achterliggende vraag is veel fundamenteler: hoe weerbaar is onze organisatie wanneer er digitaal iets misgaat?

Dat raakt cybersecurity, leveranciersmanagement, continuïteit, verantwoordelijkheden en uiteindelijk de kwaliteit van de ICT-regie. Organisaties die daar al goed zicht op hebben, zullen veel verplichtingen vanuit de Cyberbeveiligingswet waarschijnlijk makkelijker kunnen plaatsen binnen hun bestaande risicomanagement. Organisaties waar het overzicht ontbreekt, krijgen door de wet een goede aanleiding om dat alsnog op orde te brengen.

Bij MMA kijken we vanuit die gedachte naar ICT-management. Voordat u nieuwe maatregelen, leveranciers of oplossingen toevoegt, is het verstandig om te weten hoe het huidige landschap ervoor staat.

Met onze IT Management Scan kijken we onafhankelijk naar de inrichting van ICT, leveranciers, verantwoordelijkheden, afhankelijkheden en risico’s binnen de organisatie. Daarmee ontstaat een overzicht van waar de organisatie goed in control is en waar aandachtspunten liggen.

Dat kan helpen in de voorbereiding op de Cyberbeveiligingswet, maar levert vooral iets op wat breder waardevol is: weten waar u als organisatie staat en waar u daadwerkelijk op moet sturen.

Want ICT kunt u uitbesteden. De verantwoordelijkheid voor het geheel blijft bij uw organisatie