NIS2 en de Cyberbeveiligingswet: wat betekent het voor webbureaus?

Sinds 15 augustus 2026 is de Cyberbeveiligingswet van kracht, de Nederlandse uitwerking van de Europese NIS2-richtlijn. Volgens schattingen vallen zo'n 8.000 tot 10.000 Nederlandse organisaties direct onder de wet. De meeste webbureaus horen daar niet bij. Toch krijgen ook zij ermee te maken, via hun klanten. In dit artikel lees je wat de wet inhoudt, of je bureau eronder valt en wat je klanten van je gaan vragen.

Dit artikel is geen juridisch advies. Gebruik de NIS2-zelfevaluatietool van de overheid of vraag een specialist om te bepalen wat voor jouw organisatie geldt.

Wat is de Cyberbeveiligingswet?

De Cyberbeveiligingswet (Cbw) vervangt de Wet beveiliging netwerk- en informatiesystemen (Wbni). Waar die oude wet vooral voor vitale aanbieders gold, valt onder de nieuwe wet een veel grotere groep organisaties in sectoren als energie, transport, zorg, digitale infrastructuur, ICT-dienstbeheer, afvalwater, voedsel en een deel van de maakindustrie.

Organisaties die eronder vallen, zijn essentiële of belangrijke entiteiten. Voor beide geldt:

• een zorgplicht: passende technische, operationele en organisatorische maatregelen om risico's te beheersen;
• een meldplicht voor significante incidenten;
• een registratieplicht bij het NCSC;
• verantwoordelijkheid van het bestuur, dat de maatregelen moet goedkeuren en er toezicht op moet houden.

Essentiële entiteiten krijgen proactief toezicht, ook zonder aanleiding. Belangrijke entiteiten krijgen reactief toezicht, bijvoorbeeld na een incident of een signaal.

De meldplicht in het kort

Bij een significant incident gelden strakke termijnen:

Een melding via het portaal van het NCSC kan zowel voor het CSIRT als voor de toezichthouder gelden.

Valt mijn webbureau onder de wet?

Voor de meeste bureaus is het antwoord nee, maar niet voor allemaal. De wet geldt in principe voor middelgrote en grote organisaties: vanaf 50 medewerkers, of meer dan 10 miljoen euro jaaromzet of balanstotaal, in een van de genoemde sectoren.

Let op de sector ICT-dienstbeheer. Daaronder vallen managed service providers: organisaties die voor andere bedrijven ICT-producten, netwerken, infrastructuur of applicaties installeren, beheren of onderhouden. Een bureau dat applicaties en hosting voor klanten beheert, kan daar onder vallen. Is zo'n bureau middelgroot, dan geldt het als belangrijke entiteit. Is het groot, dan als essentiële entiteit.

Twijfel je, doe dan de zelfevaluatie. Organisaties die onder de wet vallen, moeten zich zelf registreren via MijnNCSC.

Ook als je er niet onder valt: de keten

Hier wordt het voor vrijwel elk bureau relevant. De zorgplicht omvat ook de beveiliging van de toeleveringsketen. Een klant die onder de Cyberbeveiligingswet valt, moet laten zien dat ook zijn leveranciers de risico's beheersen. Bouw of beheer jij de webapplicatie van zo'n klant, dan ben jij die leverancier.

In de praktijk betekent dat vragen als:

• Hoe snel meld je een incident? Je klant moet zelf binnen 24 uur een waarschuwing doen. Hoor je pas na twee dagen van een incident, dan is die termijn al voorbij.
• Hoe houd je software up-to-date? Klanten willen een beleid voor updates en kwetsbaarheden zien, niet alleen de belofte dat je het bijhoudt.
• Wie heeft toegang? Toegangsbeheer, tweestapsverificatie en het intrekken van toegang als iemand vertrekt.
• Kun je het aantonen? Logs, monitoring en een vastgelegde aanpak bij incidenten.
• Waar staat de data? Hosting en verwerking in de EU en een duidelijke verwerkersovereenkomst.

Verwacht deze vragen in aanbestedingen, in vragenlijsten van bestaande klanten en in nieuwe contracten.

Wat kun je nu al doen?

1. Breng in kaart welke klanten onder de wet vallen. Begin bij klanten in de genoemde sectoren en bij grotere organisaties.
2. Leg je incidentproces vast. Wie ontdekt een incident, wie beoordeelt het, wie informeert de klant en binnen hoeveel uur? Spreek die termijnen af in je contracten en SLA's.
3. Zorg dat je incidenten zelf op tijd ziet. Je kunt alleen snel melden wat je snel ziet. Monitor uptime, fouten, certificaten en kwetsbaarheden van elke klantapp, met meldingen naar de juiste mensen.
4. Maak updates en kwetsbaarheidsbeheer een vaste routine. Bijvoorbeeld maandelijks updaten en composer audit in elke pipeline.
5. Bewaar bewijs. Een historie van uptime, opgeloste fouten en securitychecks maakt het eenvoudig om aan te tonen wat je doet.
6. Regel toegang en back-ups. Tweestapsverificatie overal, toegang per persoon en geteste back-ups buiten de server.
7. Werk je verwerkersovereenkomsten bij. Neem er meldtermijnen en beveiligingsmaatregelen in op.

Waar nopanic helpt

nopanic is gemaakt voor bureaus die veel Laravel-sites voor klanten beheren. Uptime, errors, scheduled tasks, certificaten en kwetsbare code staan per klant in één tijdlijn, zodat je een incident ziet voordat je klant het merkt. De historie laat zien wat je doet, en statuspagina's en deelbare incidentlinks maken het makkelijk om je klant op tijd te informeren.

nopanic is een product van Pixels Nederland B.V. en draait volledig in de EU, onder ISO 27001. Lees meer op onze trustpagina.

Bronnen: NCTV (vragen en antwoorden over de Cyberbeveiligingswet) en NCSC. Gecontroleerd in november 2026.