Nieuwe Cyberbeveiligingswet: stappenplan voor leveranciers in de flexmarkt

Leverancier opgelet: opdrachtgevers gaan meer vragen van jouw cyberveiligheid. Vanaf deze zomer geldt er namelijk een nieuwe versie van de Cyberbeveiligingswet (NIS2). Hoewel uitzendbureaus, detacheerders en zzp-bemiddelaars niet direct onder deze wet vallen, moeten ze toch aan de eisen voldoen om te blijven werken voor NIS2-plichtige klanten.

De Tweede Kamer heeft het wetsvoorstel op 15 april 2026 aangenomen, de behandeling door de Eerste Kamer volgt nog. De overheid streeft naar inwerkingtreding per 1 juli 2026.

Wat is de Cyberbeveiligingswet?

De Cyberbeveiligingswet (Cbw) is de Nederlandse implementatie van de Europese NIS2-richtlijn, een richtlijn voor digitale veiligheid. Er gold al een NIS1, maar die is verouderd. De NIS2 is strenger en geldt voor veel meer bedrijven. Tot nu toe hoefden alleen de allergrootste ‘vitale’ bedrijven zich aan de regels te houden. Denk aan ziekenhuizen, energieleveranciers en banken. Zij werden aangewezen door de overheid.

• Lees ook: Cyberdreiging: werknemers en (kleine) bedrijven worstelen met concrete actie

Nieuw: verplichting voor veel meer organisaties

Nu vallen veel meer middelgrote bedrijven eronder. Er zijn maar liefst 11 sectoren toegevoegd, waaronder post- en koeriersdiensten, de maakindustrie en openbaar bestuur zoals gemeenten en provincies. Onder NIS2 hoeft de overheid je niet meer aan te wijzen. Je bent automatisch verplicht als je in een van de geselecteerde sectoren werkt, meer dan 50 medewerkers hebt of meer dan 10 miljoen euro omzet hebt. Bekijk hier de exacte eisen.

Wat betekent dit voor leveranciers?

Als je als bureau levert aan een bedrijf dat onder de wet valt, moet je aan de slag. De wet verplicht organisaties namelijk om hun hele toeleveringsketen te controleren. Via de zogenaamde ketenverantwoordelijkheid moeten leveranciers en onderaannemers dus ook voldoen aan strenge beveiligingseisen.

Overheidsinstanties zijn bijvoorbeeld al begonnen met het aanpassen van inkoopvoorwaarden. Als je na 1 juli 2026 niet kunt aantonen dat je voldoet aan de NIS2-eisen, loop je het risico dat je simpelweg niet meer mag meedingen naar overheidsopdrachten.

Waarom uitzendbureaus extra in beeld zijn

De ABU (Algemene Bond Uitzendondernemingen) waarschuwt leden snel aan de slag te gaan. Uitzendkrachten krijgen namelijk direct toegang tot systemen, processen en gegevens van de opdrachtgever. Soms werken ze met gevoelige informatie, zoals patiëntgegevens, financiële data of operationele systemen.

Daarnaast verwerken uitzendbureaus zelf veel persoonsgegevens, zoals looninformatie en contractdata. Systemen zoals ATS’en, salarisadministraties en klantportalen zijn ‘bedrijfskritisch’. Een lek of hack bij een uitzendbureau raakt zowel het uitzendbureau als de uitzendkrachten en opdrachtgevers.  Ze staan dus hoog op de lijst van ‘risicovolle leveranciers’.

• Lees ook: Pas op voor AI-cyberaanvallen: hoe kun je je uitzendbedrijf beschermen?

Praktisch stappenplan

De volgende praktische aanpak helpt je als leverancier te voldoen aan de nieuwe eisen:

1. Begin bij de klant

Maak een overzicht van welke opdrachtgevers waarschijnlijk onder de Cyberbeveiligingswet vallen of vergelijkbare eisen gaan stellen. Gebruik deze evaluatietool van de overheid.

Geen directe NSI2-klanten?

Ook als je geen directe NIS2-opdrachtgevers hebt, blijft het onderwerp relevant. Ten eerste kan het zijn dat klanten zelf leveren aan organisaties die onder de wet vallen, waardoor eisen indirect gelden. Ten tweede heb je concurrentievoordeel als jij je digitale zaken aantoonbaar op orde hebt. Verder overlappen de maatregelen met bestaande privacy- en informatieverplichtingen.

2. Maak een overzicht van risico’s

Breng kritieke systemen, data en leveranciers in kaart. Dit is de basis van een risicobeoordeling. Vervolgens kun je bepalen welke aanpak of standaard bij jouw organisatie past.

Certificering en andere hulpmiddelen

Zo zijn er branchegerichte initiatieven zoals het NIS2 Quality Mark, het NIS2 Supply Chain-certificaat en de ISO 27001 voor organisaties met zwaardere eisen. De ABU adviseert het traject richting NIS2‑SC10‑certificering. Dit zijn geen wettelijke verplichtingen, maar hulpmiddelen om maatregelen te structureren en aantoonbaar te maken. Verder helpen certificaten je aan te tonen dat je een betrouwbare partner bent.

3. De basis: risicobeheer, meldplicht en ketenbeveiliging

In de kern heb je in elk geval protocollen nodig voor de volgende zaken:

• Risicobeheer: een antivirusprogramma alleen is niet genoeg. Je hebt een plan nodig: wat doen we als we gehackt worden? Hoe beveiligen we onze wachtwoorden? Niet alleen beleidsuitspraken, maar concrete en aantoonbare maatregelen rondom wachtwoordbeleid, back-ups en bewustwording.
• Meldplicht: als er een digitale inbraak is, moet je dit verplicht en snel melden.
• Ketenbeveiliging: kijk ook naar de bedrijven waar jij bijvoorbeeld software van koopt. Is hun beveiliging op orde? Hoe zit het met hun certificering?
• Sterke wachtwoorden en multifactor-authentication (MFA): beveiliging op alle relevante systemen, van e-mail en HR-systemen tot klantportalen.
• Toegangsbeheer en offboarding: heldere processen voor het toekennen, wijzigen en intrekken van toegangsrechten, inclusief tijdige deactivatie van accounts.
• Incidentmelding en escalatie: duidelijke afspraken over wie wanneer geïnformeerd wordt bij incidenten. Officieel moet je binnen 24 uur een vroege waarschuwing geven en binnen 72 uur een formele melding.
• Transparantie over gebruikte IT-leveranciers, hostinglocaties en uitbestede processen.
• Bewustwording en training: aantoonbare aandacht voor cybersecurity bij medewerkers en uitzendkrachten.
• Continuïteit en herstelvermogen: plannen rondom verstoringen zoals ransomware en manieren om zo snel mogelijk kritieke processen te herstellen.

4. Betrek directie en bestuur

Volgens de nieuwe NIS2 ligt de verantwoordelijkheid voor cyberveiligheid op bestuurlijk niveau. Opdrachtgevers zullen daarom ook bij leveranciers vaker kijken naar governance en betrokkenheid vanuit de top.

Expertvisie: cyberveiligheid vraagt om regie vanuit de top

Albert Allmers van FinanceFactor is al volop bezig met de nieuwe wetgeving. Hij schrijft op LinkedIn: “Het valt me op dat veel organisaties het zien als een IT- of compliancevraagstuk. Dat is een misvatting. NIS2 is geen IT-project. Het is een bestuurszaak.”

De juiste aanpak is volgens Allmers strategisch: gebruik de cybermaatregelen om risicomanagement, interne beheersing en digitale weerbaarheid naar een hoger niveau te tillen. “De CFO speelt daarin een sleutelrol”, zegt hij. “Niet als toeschouwer, maar als regisseur van prioritering, investeringen en verantwoordelijkheid.”

Conclusie

Hoewel de Cyberbeveiligingswet voor de meeste dienstverleners geen directe wettelijke verplichting is, moeten vele leveranciers toch aan de slag. Er vallen namelijk veel meer bedrijven onder de NIS2 en zij moeten zorgen dat de cyberveiligheid in hun keten op orde is. Naar verwachting krijgen zo’n 50.000 tot 100.000 mkb-bedrijven indirect met NIS2 te maken.

Ga dus op tijd aan de slag. Tref maatregelen en maak inzichtelijk wat je doet om klaar te zijn voor hacks, lekken en andere digitale rampen. Zo sta je sterker in gesprekken met opdrachtgevers en heb je een concurrentievoordeel. Wie wacht tot de eerste vragenlijst binnenkomt, begint met een achterstand.