Cyberbeveiligingswet: weet jij wat er achter je internetverbinding zit?

Op 15 augustus 2026 treedt de Cyberbeveiligingswet (Cbw) in werking. Ruim 8.000 organisaties in Nederland krijgen daarmee te maken met nieuwe verplichtingen rond cyberbeveiliging. En dat merken we ook in gesprekken met IT-managers. Een vraag die steeds vaker voorbijkomt: moeten wij iets aanpassen aan onze internetverbinding? 

Het korte antwoord is meestal: nee. De Cyberbeveiligingswet schrijft niet voor welke internetverbinding, firewall of netwerkoplossing je moet gebruiken. Maar er zit een belangrijkere vraag achter: kun je onderbouwen waarom jouw huidige inrichting past bij de risico's van je organisatie? 

Daar wordt het interessant. Want daarvoor moet je verder kijken dan je eigen netwerk. Welke leveranciers zijn betrokken? Van welke infrastructuur ben je afhankelijk? Wat gebeurt er als een onderdeel uitvalt? En als je twee verbindingen hebt: weet je dan ook hoe onafhankelijk die werkelijk van elkaar zijn? 

Dat raakt aan een belangrijk onderdeel van de Cyberbeveiligingswet: de beveiliging van je organisatie houdt niet op bij je eigen voordeur. Ook de keten waarvan je afhankelijk bent, moet je meenemen in je risicobeheersing. En juist bij connectiviteit is die keten lang niet altijd volledig zichtbaar. 

De Cyberbeveiligingswet kijkt ook naar je leveranciers 

De Cyberbeveiligingswet is de Nederlandse uitwerking van de Europese NIS2-richtlijn. Organisaties die onder de wet vallen, krijgen onder andere te maken met een zorgplicht en meldplicht. Ook bestuurders krijgen nadrukkelijk verantwoordelijkheid voor de manier waarop cyberrisico's worden beheerst. 

Voor IT-managers is vooral de zorgplicht relevant. Je brengt risico's in kaart en neemt maatregelen die passen bij die risico's. Daarbij wordt ook nadrukkelijk gekeken naar de beveiliging van de toeleveringsketen. Dat betekent dat je niet alleen naar je eigen systemen en processen kijkt. Je organisatie is waarschijnlijk afhankelijk van cloudproviders, softwareleveranciers, IT-partners én connectiviteitsleveranciers. Een incident bij een van die partijen kan direct gevolgen hebben voor jouw bedrijfsvoering. 

Daarom wil je weten waar de risico’s in je keten zitten en wat je doet om die te beheersen. En minstens zo belangrijk: je moet kunnen onderbouwen waarom je voor bepaalde maatregelen hebt gekozen.

Ook als je zelf niet onder de wet valt, kun je ermee te maken krijgen 

Dat keteneffect maakt de Cyberbeveiligingswet voor een veel grotere groep organisaties relevant dan alleen de bedrijven die rechtstreeks onder de wet vallen. Stel dat je zelf niet onder de Cyberbeveiligingswet valt, maar wel diensten levert aan een organisatie die dat wél doet. Jouw klant moet zijn risico's in de keten beoordelen.

De kans is dus groot dat er op enig moment vragen jouw kant op komen. Hoe is je beveiliging ingericht? Hoe ga je om met incidenten? Welke continuïteitsmaatregelen heb je genomen? En hoe heb je de beschikbaarheid van kritieke leveranciers geregeld? Dan helpt het niet om alleen te kunnen zeggen: dat hebben we uitbesteed. 

Uitbesteden verandert namelijk niets aan het feit dat je organisatie afhankelijk is van die dienst. Je wilt dus weten waarop je vertrouwt en waarom je vindt dat de genomen maatregelen passen bij het risico. Voor connectiviteit geldt precies hetzelfde. 

Begin niet met veranderen. Begin met inzicht. 

De Cyberbeveiligingswet betekent niet automatisch dat je internetverbinding anders moet. Misschien is je huidige netwerk precies passend bij de risico's van je organisatie. Maar dat wil je niet alleen aannemen. Je wilt weten waarom dat zo is en welke afhankelijkheden erachter zitten. Een goede voorbereiding begint daarom met inzicht. 

We helpen organisaties regelmatig om hun netwerk en de beschikbare infrastructuur onafhankelijk in kaart te brengen. Welke verbindingen zijn er? Welke mogelijkheden zijn er per locatie? Waar zitten afhankelijkheden? En past de huidige inrichting bij wat die locatie nodig heeft? Soms blijkt dat alles al goed geregeld is. Soms komen er verbeterpunten naar voren. In beide gevallen weet je waar je staat. En minstens zo belangrijk in het kader van de Cyberbeveiligingswet: je kunt onderbouwen waarom je netwerk is ingericht zoals het is.