Wetgeving · Cyberbeveiligingswet
Sinds 15 augustus is je bestuur verantwoordelijk voor je leveranciers
Op 15 augustus 2026 trad de Cyberbeveiligingswet in werking, de Nederlandse uitwerking van de Europese NIS2-richtlijn. Voor de meeste publieke organisaties is dat geen nieuws meer. Wat wel nieuw is: wat de wet precies van je vraagt over je leveranciers, en dat je bestuur daar persoonlijk verantwoordelijk voor is.
Voor wie het geldt
Het Rijk, zelfstandige bestuursorganen, gemeenten, provincies en waterschappen vallen eronder. De Rijksinspectie Digitale Infrastructuur is de toezichthouder voor de overheid. Dat is dezelfde inspectie die de afgelopen maanden bij organisaties langsging om te vragen hoe ver ze zijn.
Wat de wet vraagt, in gewone taal
De kern is een zorgplicht met tien maatregelen. Negen daarvan gaan over je eigen huis: risicobeheer, incidentafhandeling, back-ups, toegangsbeheer. De tiende gaat over je toeleveringsketen, en die is voor de meeste organisaties de lastigste.
De toezichthouder verwacht twee dingen. Voor bestaande leveranciers een risicoanalyse per leverancier: wat gebeurt er met je dienstverlening als hij wegvalt of gehackt wordt. Voor nieuwe leveranciers een inkoopproces waarin dat risico standaard wordt meegewogen.
"Wat gebeurt er met je data en middelen bij contracteinde, faillissement of overname van de leverancier?"
Die vraag noemt de RDI letterlijk als onderdeel van de ketenzorgplicht. Het is niet: is mijn leverancier veilig. Het is: kan ik verder als mijn leverancier er morgen niet meer is. Dat is een andere vraag, en bij de meeste organisaties heeft niemand hem ooit gesteld.
Wat er verandert
Onder de oude wet lag informatiebeveiliging bij IT. Onder de Cbw is het bestuur eindverantwoordelijk. Bestuurders moeten de aanpak van ketenrisico's formeel vaststellen, en moeten binnen twee jaar een training hebben gevolgd. Een beleid dat alleen bij de CISO ligt, telt niet als vastgesteld.
Dat is geen formaliteit. De RDI kan aanwijzingen geven en een last onder dwangsom opleggen. Maar belangrijker dan de sanctie is het gesprek dat eraan voorafgaat: kun je laten zien dat je het weet.
Waar de overheid zelf zegt achter te lopen
De RDI publiceerde een zelfbeoordeling van de overheidssector. Op drie punten scoort de sector zichzelf het laagst: de verplichte bestuurstraining, het beoordelen van ketenrisico's, en het toetsen of de eigen maatregelen werken. Precies de drie dingen die de wet nieuw maakt.
Dat is geen verwijt. Het is een startpunt. En het sluit aan op wat dit onderzoek steeds terugziet: het ligt zelden aan de techniek. Het ligt aan de vraag wie zich eigenaar voelt.
Drie vragen die je vandaag zou moeten kunnen beantwoorden
Eén: van welke leveranciers hangt je dienstverlening af, en wanneer lopen die contracten af. Twee: wat gebeurt er met je data als zo'n leverancier stopt. Drie: wie in je bestuur is daarvoor verantwoordelijk, en heeft die persoon dat formeel vastgesteld.
Kun je die drie beantwoorden, dan sta je verder dan de meeste organisaties. Kun je het niet, dan is dat je eerste bevinding, en de plek om te beginnen.
Bronnen: Rijksinspectie Digitale Infrastructuur, toelichting zorgplicht toeleveringsketen en zelfbeoordeling overheidssector (2026); Cyberbeveiligingswet, Stb. 2026.