Cyberbeveiligingswet geldt vanaf 15 augustus voor ruim 8.000 Nederlandse organisaties

De Cyberbeveiligingswet implementeert de Europese NIS2-richtlijn in Nederland en vervangt de Wet beveiliging netwerk- en informatiesystemen. Organisaties die binnen het toepassingsbereik vallen, moeten zich vanaf 15 augustus registreren in het nationale entiteitenregister bij het Nationaal Cyber Security Centrum.

Daarnaast geldt een zorgplicht. Organisaties moeten risico’s voor hun netwerk- en informatiesystemen analyseren en passende en evenredige beveiligingsmaatregelen treffen. Bij ernstige incidenten geldt een meldplicht. Een eerste melding moet volgens het NCSC zo snel mogelijk en in ieder geval binnen 24 uur worden gedaan bij het relevante CSIRT en de toezichthouder.

De wet maakt cybersecurity bovendien expliciet een bestuursonderwerp. Het bestuur moet beveiligingsmaatregelen goedkeuren en toezicht houden op de uitvoering. Rijksoverheid noemt achttien betrokken sectoren, waaronder digitale infrastructuur, gezondheidszorg, energie, drinkwater, vervoer en overheid.

Ruim 8.000 organisaties krijgen registratieplicht en zorgplicht

De schaalvergroting ten opzichte van de oude regelgeving is aanzienlijk. Rijksoverheid spreekt over ruim 8.000 organisaties die door de nieuwe cyberwetgeving worden geraakt. Organisaties moeten zelf vaststellen of zij onder het toepassingsbereik vallen.

Dat maakt de wet ook relevant voor Nederlandse SaaS-bedrijven die niet rechtstreeks als essentiële of belangrijke entiteit worden aangemerkt. Hun software kan onderdeel zijn van de toeleveringsketen van klanten die wel aan de wet moeten voldoen.

Leveranciers kunnen daardoor vragen krijgen over toegangsbeheer, kwetsbaarheden, logging, continuïteit, incidentprocedures en beveiliging bij onderaannemers. Dat volgt uit de bredere verplichting van onder de wet vallende organisaties om risico’s rond netwerk- en informatiesystemen te beheersen. De precieze contractuele eisen verschillen per klant en toepassing.

Cybersecurity verschuift verder naar leveranciersketen

De invoering creëert een grotere zakelijke markt rond cyberbeveiliging, compliance en aantoonbaarheid. Voor SaaS-leveranciers betekent dit dat technische beveiliging steeds vaker onderdeel wordt van procurement en contractmanagement, ook wanneer de leverancier zelf niet rechtstreeks door NIS2 wordt gereguleerd.

De markt kan daardoor groeien voor software rond risicomanagement, incidentregistratie, leveranciersbeheer, monitoring en beveiligingsrapportages. Ook managed serviceproviders en gespecialiseerde adviesbedrijven krijgen een bredere potentiële klantenbasis.

Duiding: compliance kan verkoopargument worden voor Nederlandse SaaS

Een concrete kans ligt bij Nederlandse SaaS-bedrijven die hun beveiligingsmaatregelen aantoonbaar op orde hebben. Zij kunnen documentatie over toegangsbeheer, incidentrespons, continuïteit en leveranciersrisico onderdeel maken van hun verkoopproces. Dat kan vooral voordeel opleveren bij klanten in gereguleerde sectoren die hun eigen wettelijke verplichtingen moeten onderbouwen.

Het risico is dat kleinere softwarebedrijven worden geconfronteerd met steeds meer afzonderlijke beveiligingsvragen van klanten. Wanneer iedere onderneming een andere vragenlijst, audit of contractclausule gebruikt, kunnen compliancekosten snel oplopen. Standaardisering en herbruikbaar bewijs worden daarom belangrijk voor SaaS-leveranciers die meerdere gereguleerde klanten bedienen. Dit is redactionele duiding.

Meer informatie

Primaire bron: NCSC over de Cyberbeveiligingswet

Aanvullende primaire bron: Rijksoverheid over inwerkingtreding en toepassingsgebied