Na jaren uitstel is de Cyberbeveiligingswet, de Nederlandse invulling van de Europese NIS2-richtlijn, rond. De Eerste Kamer stemde op 7 juli over het wetsvoorstel en de inwerkingtreding is 15 augustus 2026. Een overgangstermijn komt er niet: op dag één gelden alle verplichtingen. Voor MSP’s telt de wet dubbel. Ze vallen er als beheerders van ICT-diensten zelf onder én hun klanten verwachten dat hun IT-partner de vertaling naar de praktijk maakt.
De aanloop was lang. De NIS2-richtlijn stamt uit eind 2022 en had uiterlijk op 17 oktober 2024 in nationale wetgeving moeten zijn omgezet. Nederland haalde die deadline ruimschoots niet: van alle 27 lidstaten had destijds alleen België de richtlijn op tijd volledig geïmplementeerd. Daarna volgde een reeks streefdata, van het derde kwartaal van 2025 via 1 januari en 1 juli 2026 tot de datum die nu op tafel ligt. Wie bij klanten de afgelopen jaren het gevoel bespeurde dat het allemaal wel losloopt, kan dat gevoel definitief bijstellen.
Waar staat de wetgeving nu?
Op 15 april 2026 nam de Tweede Kamer de Cyberbeveiligingswet (Cbw) aan, samen met de Wet weerbaarheid kritieke entiteiten. De Eerste Kamer nam de wetsvoorstellen aan op 7 juli. In principe is de wet per 15 augustus 2026 van kracht, maar de definitieve datum wordt vastgelegd bij koninklijk besluit. De onderliggende regelgeving, het Cyberbeveiligingsbesluit en de ministeriële regelingen per sector, treedt tegelijk met de wet in werking.
De impact is fors. De wet raakt naar schatting 8.000 tot 10.000 Nederlandse organisaties in achttien sectoren, van zorg en energie tot maakindustrie en digitale dienstverlening. De drempel ligt in de regel bij 50 medewerkers of een jaaromzet en balanstotaal boven 10 miljoen euro. Bestuurders worden persoonlijk verantwoordelijk voor het cybersecuritybeleid en de boetes liegen er evenmin om: tot 10 miljoen euro of 2 procent van de wereldwijde jaaromzet voor essentiële entiteiten en tot 7 miljoen euro of 1,4 procent voor belangrijke entiteiten.
Figuur 1. Het wetgevingstraject van EU-richtlijn naar Nederlandse wet.
De MSP valt er zelf onder
Voor de lezers van MSP Business is één passage in de wet extra relevant. Het beheer van ICT-diensten (business-to-business) vormt een eigen sector binnen de Cbw, opgesplitst in beheerde ICT-diensten en beheerde beveiligingsdiensten. Grotere IT-dienstverleners die zich profileren als managed service provider vallen daar rechtstreeks onder, met de Rijksinspectie Digitale Infrastructuur (RDI) als toezichthouder. Wie twijfelt of de eigen organisatie in scope is, kan dat toetsen met de NIS2-Zelfevaluatie van de RDI. Let daarbij op: bij het bepalen van de bedrijfsgrootte tellen gelieerde ondernemingen en partnerbedrijven mee, dus ook een formeel kleine MSP binnen een grotere groep kan onder de wet vallen.
De MSP draagt daarmee twee petten. Als entiteit moet hij zelf voldoen aan de zorgplicht, meldplicht en registratieplicht. Als leverancier van NIS2-plichtige klanten wordt hij bovendien onderdeel van hun leveranciersbeoordeling en krijgt hij contractuele beveiligingseisen op zijn bord. Beide rollen vragen om dezelfde huiswerklijst, en dat maakt de voorbereiding overzichtelijker dan ze op het eerste gezicht lijkt.
Drie plichten vormen de kern
De Cbw kent drie hoofdverplichtingen. De registratieplicht verplicht organisaties zich in te schrijven in het entiteitenregister via mijn.ncsc.nl, met onder meer contactgegevens, KvK-nummer, sectorinformatie en een beschrijving van de dienstverlening. Wijzigingen moeten binnen korte termijn worden doorgegeven.
De zorgplicht is de meest omvangrijke. Artikel 21 van de NIS2-richtlijn somt tien maatregelen op die elke entiteit aantoonbaar moet regelen: risicoanalyse en beveiligingsbeleid, incidentbehandeling, bedrijfscontinuïteit met back-upbeheer en crisisbeheer, beveiliging van de toeleveringsketen, beveiliging bij ontwikkeling en onderhoud van systemen, procedures om de effectiviteit van maatregelen te toetsen, cyberhygiëne en training, cryptografiebeleid, personeelsbeveiliging met toegangsbeleid, en multifactorauthenticatie met beveiligde communicatie. Een vaste checklist bestaat er niet: de maatregelen moeten passen bij het risicoprofiel van de organisatie. Bestaande normen zoals ISO 27001 sluiten er in de praktijk nauw op aan, net als de NEN 7510 in de zorg en de BIO2 bij de overheid.
De meldplicht is getrapt. Een significant incident moet binnen 24 uur na ontdekking als vroegtijdige waarschuwing worden gemeld bij het sectorale CSIRT en de toezichthouder. Binnen 72 uur volgt de formele melding met ernst en gevolgen, en binnen een maand het eindrapport met de volledige analyse.
Figuur 2. De getrapte meldplicht: 24 uur, 72 uur en één maand.
Ketenverantwoordelijkheid raakt ook kleinere klanten
Voor de dagelijkse MSP-praktijk zit de grootste verandering in de keten. Klanten die zelf onder de Cbw vallen, moeten de risico’s van hun toeleveringsketen aantoonbaar beheersen en daarover afspraken maken met leveranciers. De RDI vatte het in april kernachtig samen: “Breng uw leveranciers in kaart, maak afspraken en zie toe op de naleving.” In de praktijk komt die opdracht grotendeels bij de MSP terecht, want die beheert de systemen waar het om draait.
Ook klanten die zelf buiten de wet vallen, krijgen er via deze route mee te maken. Een NIS2-plichtige afnemer kan contractueel eisen dat ook zijn kleinere toeleveranciers passende maatregelen nemen. De werking van de wet reikt daarmee veel verder dan de 8.000 tot 10.000 organisaties die er formeel onder vallen, en dat verklaart waarom vrijwel elke MSP-klant er de komende maanden vragen over gaat stellen.
Wat vertaal je concreet naar je klanten?
De vraag die elke MSP zich nu moet stellen: welke afspraken leg ik de komende weken vast? Vijf onderwerpen horen in elk geval op tafel. Het begint met een scopebepaling per klant. Doorloop samen de NIS2-Zelfevaluatie, stel vast of de klant essentieel of belangrijk is en bereid de registratiegegevens alvast voor in een centraal document, zodat de inschrijving na inwerkingtreding een kwestie van uren is in plaats van weken.
Daarna volgen de contracten en SLA’s. De meldtermijnen van de klant werken één op één door in de dienstverlening: wie binnen 24 uur bij het CSIRT moet melden, heeft een MSP nodig die incidenten vrijwel direct signaleert, kwalificeert en doorgeeft. Leg vast wie meldt, binnen welke termijn de MSP de klant informeert en hoe de escalatie verloopt buiten kantoortijden. Derde punt is de technische basis aantoonbaar maken. MFA, logging en detectie, een getest back-up- en herstelproces en een strak patchbeleid draaien bij veel MSP’s al, alleen ontbreekt vaak de documentatie waarmee de klant dit richting toezichthouder kan onderbouwen. Rapportages en periodieke evaluaties horen daarom standaard in het dienstenpakket.
Het vierde onderwerp speelt op bestuursniveau. De wet legt de verantwoordelijkheid expliciet bij bestuur en directie: zij moeten maatregelen goedkeuren, toezicht houden op de uitvoering en aantoonbaar getraind zijn. Een MSP die bestuurstrainingen en kwartaalrapportages voor de directietafel aanbiedt, vult een gat dat de klant zelden zelf kan dichten. Tot slot verdient het incidentproces een gezamenlijke oefening. Een meldingsprocedure op papier is pas iets waard als beide partijen weten wie belt, wie analyseert en wie de melding indient wanneer het misgaat.
De cijfers laten zien hoeveel werk er ligt
Uit onderzoek van Grant Thornton bleek in het derde kwartaal van 2025 dat 35 procent van de MKB-respondenten bekend was met NIS2 en aan compliance werkte, een stijging ten opzichte van 24 procent een kwartaal eerder. De Barometer Digital Decade 2026 van ICTRecht, gebaseerd op onderzoek onder 516 organisaties in acht sectoren, laat zien dat bijna de helft van de Nederlandse organisaties onvoldoende is voorbereid op de bredere Europese digitale wetgeving waar NIS2 deel van uitmaakt. En uit onderzoek van Veeam onder 300 Nederlandse beslissers blijkt dat één op de vijf organisaties wacht met compliance tot wetgeving het afdwingt.
Ook de eigen sector heeft huiswerk. De RDI publiceerde in juni de resultaten van de NIS2-Quickscan voor de sector beheer van ICT-diensten. Respondenten geven zichzelf de laagste score op drie punten: het opstellen van een meldingsprocedure voor significante incidenten, het trainen van alle bestuursleden en het verminderen van de risico’s in de toeleveringsketen, uitgerekend de onderwerpen waarop klanten straks naar hun MSP kijken.
Figuur 3. De voorbereiding groeit, al blijft bijna de helft van de organisaties achter.
Van verplichting naar propositie
Voor MSP’s die hun zaken op orde hebben, is de Cbw meer dan een compliance-dossier. Wie nu een helder NIS2-aanbod formuleert, met een gap-analyse, een passend maatregelenpakket en periodieke rapportage richting het bestuur van de klant, positioneert zich als de partij die het verschil kent tussen een audit overleven en aantoonbaar in control zijn. De wet die jarenlang op zich liet wachten, wordt daarmee alsnog een commerciële kans. Vanaf de dag van inwerkingtreding telt alleen nog wat er is vastgelegd, ingericht en geoefend.
Bronnen
NCTV, Wetgevingsproces en planning Cyberbeveiligingswet (nctv.nl, juli 2026) • Eerste Kamer, dossier 36.764 Cyberbeveiligingswet • Rijksoverheid, nieuwsbericht 15 april 2026 • NCSC, Over de Cbw (ncsc.nl) • RDI, Cyberbeveiligingswet en resultaten NIS2-Quickscan sector beheer van ICT-diensten (juni 2026) • NLdigital, De NIS2 komt eraan • Securitymanagement.nl, artikelen over de invoering van de Cbw (juni/juli 2026) • AG Connect / Grant Thornton, NIS2 in 2026 (december 2025) • ICTRecht, Barometer Digital Decade 2026 • Veeam / ICT Magazine (juli 2026) • TÜV Nord, NIS2-richtlijn.
