Cyberbeveiligingswet (NIS2): wat verandert voor software

De Cyberbeveiligingswet (Cbw), de Nederlandse uitvoering van de Europese NIS2-richtlijn, geldt sinds 15 augustus 2026. Volgens de Rijksoverheid vallen ruim 8.000 organisaties direct onder de wet. Zij moeten passende beveiligingsmaatregelen nemen, ernstige incidenten melden en zich registreren bij het NCSC. Omdat die zorgplicht ook de toeleveringsketen omvat, krijgen softwareleveranciers van die organisaties er indirect mee te maken.

Er geldt sinds 15 augustus 2026 een wet die veel softwarebedrijven onderschatten omdat ze denken dat hij niet voor hen geldt. De Eerste Kamer stemde er op 7 juli 2026 mee in. De denkfout zit in het woord essentieel. Veel mkb-ondernemers lezen dat de wet geldt voor essentiële en belangrijke entiteiten zoals energie, water, zorg en banken, en concluderen dat zij buiten schot blijven. Maar NIS2 werkt door de keten heen. Levert u software aan zo'n organisatie, dan moet die organisatie kunnen aantonen dat u haar beveiliging niet verzwakt. Hoeveel toeleveranciers indirect geraakt worden, is niet officieel geteld; reken erop dat elke opdrachtgever in scope eisen in contracten en inkoopvragenlijsten opneemt. Dit artikel legt uit wat dat concreet voor software betekent en hoe u nu al bouwt zodat u aantoonbaar voldoet.

Laatst bijgewerkt: 14 oktober 2026. Wat is er veranderd: de Cyberbeveiligingswet is sinds 15 augustus 2026 in werking, dus alle verwachtingen zijn in de tegenwoordige tijd gezet. De claim over het aantal indirect geraakte bedrijven is verwijderd omdat daarvoor geen neutrale bron bestaat. Registratie bij het NCSC, de tijdlijn en de checklist voor softwareleveranciers zijn toegevoegd; de eerste versie verscheen op 22 mei 2026.

Bron: Staatsblad 2026, 189 (artikel 35), Rijksoverheid, 7 juli 2026 en Rijksoverheid, 15 augustus 2026. Wwke is de Wet weerbaarheid kritieke entiteiten. Er volgt geen automatische aanwijzing: organisaties toetsen zelf of zij onder de Cbw vallen.

NIS2 staat voor de tweede Network and Information Security Directive, een Europese richtlijn die sinds 16 januari 2023 van kracht is. Een richtlijn werkt niet rechtstreeks: elke lidstaat moet hem omzetten naar nationale wetgeving. In Nederland gebeurt dat via de Cyberbeveiligingswet, die de Wet beveiliging netwerk- en informatiesystemen (Wbni) vervangt. Het doel is de digitale weerbaarheid van essentiële diensten te verhogen, omdat de afhankelijkheid van digitale systemen en de dreiging tegelijk toenemen.

De wet kent twee categorieën entiteiten: essentiële en belangrijke. Welke het wordt, hangt af van sector en omvang. Grote organisaties in sectoren zoals energie, vervoer, bankwezen, drinkwater en gezondheidszorg zijn essentiële entiteiten, middelgrote organisaties in die sectoren zijn belangrijke entiteiten. Middelgrote en grote organisaties in sectoren zoals digitale aanbieders, levensmiddelen, chemische stoffen, onderzoek en vervaardiging (waaronder de maakindustrie) zijn eveneens belangrijke entiteiten. Samen gaat het om achttien sectoren. Of uw klanten eronder vallen, kunnen zij toetsen via de pagina Valt mijn organisatie onder de Cyberbeveiligingswet? van het NCSC.

Het belangrijkste mechanisme voor softwarebedrijven is de ketenverantwoordelijkheid. NIS2 verplicht entiteiten om de beveiligingsrisico's in hun toeleveringsketen te beheersen. In de praktijk betekent dat: als u software, hosting, koppelingen of beheer levert aan een essentiële of belangrijke entiteit, dan moet die klant kunnen aantonen dat u zijn beveiliging niet ondermijnt. U wordt daarmee onderdeel van zijn compliance.

Dat heeft een concreet gevolg: opdrachtgevers in scope nemen beveiligingseisen op in contracten en inkoopvragenlijsten. Wie daar geen geloofwaardig antwoord op heeft, verliest opdrachten lang voordat er een toezichthouder in beeld komt. Voor een softwarebureau of SaaS-leverancier is NIS2 daarom niet primair een juridisch risico maar een commercieel risico: u wint of verliest tenders op aantoonbare beveiliging. Welke vragen dat zijn, leest u in eisen die uw opdrachtgever stelt.

Ontwikkelt u bijvoorbeeld een planningssysteem voor een ziekenhuis, een koppeling voor een netbeheerder of een portaal voor een financiële instelling, dan bent u in de praktijk al onderdeel van een NIS2-keten. De vraag is niet of u het netjes hebt geregeld, maar of u het kunt bewijzen.

De wet legt drie hoofdverplichtingen op aan organisaties die er direct onder vallen. Eén: de zorgplicht. U moet uw beveiligings- en continuïteitsrisico's systematisch analyseren, van cyberaanvallen tot datadiefstal en risico's in de leveringsketen, en op basis daarvan passende technische en organisatorische maatregelen nemen. Twee: de meldplicht. Significante incidenten meldt u binnen 24 uur als vroegtijdige waarschuwing en binnen 72 uur als melding aan uw CSIRT en de bevoegde autoriteit, via het meldportaal van het NCSC (artikel 26 en 27 van de Cyberbeveiligingswet; zie ook artikel 23 lid 4 van de NIS2-richtlijn). Drie: de registratieplicht. Entiteiten die onder de wet vallen moeten zich sinds 15 augustus 2026 registreren in het nationaal entiteitenregister van het NCSC, via mijn.ncsc.nl.

Daarbovenop staat een element dat directies vaak onderschatten: de rol van het bestuur. Het bestuur keurt de maatregelen goed, houdt toezicht op de uitvoering en moet een passende training volgen. Cybersecurity is daarmee formeel een directieonderwerp geworden, geen taak die u volledig naar uw IT-leverancier kunt delegeren.

Voor indirecte leveranciers vertaalt dit zich naar contractuele en aantoonbaarheidseisen. U hoeft u vaak niet zelf te registreren, maar u moet wel kunnen laten zien dat uw software en processen de zorgplicht van uw klant ondersteunen in plaats van ondergraven.

De zorgplicht klinkt abstract, maar vertaalt zich naar concrete technische maatregelen die u in software inbouwt. Multifactorauthenticatie op alle accounts (zie twee-factor-authenticatie), want dat is een maatregel met hoge impact en relatief lage kosten. Toegangsbeheer op rolniveau, zodat gebruikers alleen bij wat ze nodig hebben. Encryptie van data in rust en onderweg. Gestructureerde logging en monitoring, zodat u incidenten kunt detecteren en binnen de meldtermijnen kunt reconstrueren. Patchmanagement, zodat bekende kwetsbaarheden snel gedicht worden. En voor koppelingen: API-beveiliging. Een breder overzicht van de basis staat in beveiliging van bedrijfssoftware.

Het tweede deel is aantoonbaarheid. NIS2 vraagt niet alleen dat u veilig bent, maar dat u het kunt bewijzen. Dat betekent dat beveiliging niet iets is wat u achteraf toevoegt, maar iets wat in de architectuur en in de documentatie zit. Een auditlog die laat zien wie wat wanneer deed. Een overzicht van datastromen en koppelingen. Een beschreven incidentprocedure. Een verwerkersregister. Veel mkb-bedrijven gebruiken ISO 27001 als kapstok voor hun informatiebeveiliging.

Bij MG Software bouwen we deze maatregelen standaard in wanneer een project een NIS2-context heeft. Geen blackbox-componenten zonder logging, geen gedeelde accounts, geen hardcoded secrets. We leveren niet alleen werkende software, maar ook de bewijsstukken die uw klant nodig heeft voor zijn eigen zorgplicht.

Dit is wat opdrachtgevers in scope volgens onze projectervaring van u als softwareleverancier mogen verwachten. Het is een indicatie uit eigen projecten, geen wettelijke lijst.

1. Vraag na of uw klanten essentiële of belangrijke entiteiten zijn.
2. Leg een incidentproces vast dat hun 24-uurs vroegtijdige waarschuwing ondersteunt.
3. Documenteer toegangsbeheer, logging en back-ups.
4. Houd een actueel overzicht van gebruikte open-source afhankelijkheden.
5. Neem beveiligingsafspraken op in de verwerkersovereenkomst of SLA.

Vergeet uw eigen leveranciers niet. NIS2 loopt door de hele keten, dus de hostingpartij, de externe API's en de open source componenten die u gebruikt vallen ook onder uw verantwoordelijkheid. Een softwareleverancier die zijn eigen toeleveringsketen niet op orde heeft, kan zijn klanten ook niet geruststellen.

NIS2 staat niet op zichzelf. Voor veel softwarebedrijven loopt de Cyberbeveiligingswet parallel aan de AI Act voor mkb: de transparantieplicht van de AI Act geldt sinds 2 augustus 2026, de high-risk regels volgen vanaf 2 december 2027. Bouwt u AI-functies in software die ook aan een essentiële keten levert, dan stapelen de eisen: NIS2 vraagt om logging, toegangsbeheer en incidentrespons, de AI Act vraagt om risicobeheer, transparantie en menselijk toezicht. Veel van die eisen overlappen.

Dat is precies waarom wij compliance-by-design hanteren in plaats van compliance achteraf. Een goede auditlog dient zowel NIS2 als de AI Act. Goed toegangsbeheer dient beveiliging én governance. Wie deze raamwerken los van elkaar achteraf probeert te bolten, doet het werk dubbel en levert vaak een minder samenhangend systeem. Wie het vanaf de architectuur meeneemt, krijgt er betrouwbaardere software voor terug.

Wilt u weten of uw software klaar is voor de eisen van uw opdrachtgevers? Wij doen een korte beveiligingscheck.

De Cyberbeveiligingswet maakt van beveiliging een contractueel en commercieel onderwerp, niet alleen een technisch. Voor softwarebedrijven die aan essentiële en belangrijke entiteiten leveren is de belangrijkste verschuiving dat u uw beveiliging niet alleen op orde moet hebben, maar ook moet kunnen bewijzen tegenover uw klanten. Wat opdrachtgevers van u vragen, zetten we op een rij in eisen die uw opdrachtgever doorschuift.

Wie MFA, logging en een incidentproces kan aantonen, zit aan de goede kant van de tender en van de wet. Wie wacht tot de vragenlijst binnenkomt, loopt achter de feiten aan. Beveiliging die vanaf de architectuur is meegenomen, is geen kostenpost. Het is een verkoopargument.

Bronnen (geraadpleegd 13 oktober 2026)

• Staatsblad 2026, 189 (Cyberbeveiligingsbesluit), artikel 35: inwerkingtreding 15 augustus 2026.
• Rijksoverheid, nieuwsbericht 7 juli 2026: instemming Eerste Kamer, ruim 8.000 organisaties, registratie via mijn.ncsc.nl.
• Rijksoverheid, nieuwsbericht 15 augustus 2026: bevestiging inwerkingtreding, zorgplicht, meldplicht en rol van het bestuur.
• Cyberbeveiligingswet (wetten.overheid.nl), artikel 26 en 27: meldtermijnen.
• NCSC: Valt mijn organisatie onder de Cyberbeveiligingswet?: sectoren, omvang, essentiële en belangrijke entiteiten.
• Richtlijn (EU) 2022/2555 (NIS2), EUR-Lex, artikel 23 lid 4.