NIS2 en de Cyberbeveiligingswet: wat verandert er voor jouw contracten?

🇳🇱 Dit artikel is geschreven op Nederlands recht. De genoemde wetsartikelen en termijnen gelden zo niet in jouw land; de contractmodellen maken we voor jou wél naar het recht dat bovenaan staat ingesteld.

Stel: je runt een middelgroot bedrijf dat software levert aan een energiemaatschappij. Op een ochtend krijg je een nieuw contract voorgelegd met een stevige bijlage vol beveiligingseisen. Je klant eist dat je binnen enkele uren meldt bij een incident, dat je back-ups op orde hebt en dat je aantoonbaar aan bepaalde standaarden voldoet. Waar komt dat opeens vandaan? Grote kans dat je klant onder de nieuwe cyberregels valt en die verplichtingen aan jou doorgeeft.

Wat regelt NIS2 en de Cyberbeveiligingswet?

NIS2 is een Europese richtlijn die de digitale weerbaarheid van organisaties in kritieke sectoren moet verhogen. Denk aan energie, transport, gezondheidszorg, digitale infrastructuur, levensmiddelen en afvalbeheer. Nederland zet deze richtlijn om in de Cyberbeveiligingswet, die op 15 augustus 2026 in werking treedt. In België loopt een vergelijkbaar omzettingstraject.

De wet richt zich op twee dingen. Ten eerste moeten aangewezen organisaties passende maatregelen nemen om cyberrisico's te beheersen. Ten tweede geldt er een strikte meldplicht bij ernstige incidenten. Val je onder de wet, dan moet je bestuur zich hier ook actief mee bezighouden en zijn de eisen geen vrijblijvende aanbeveling.

Risicobeheersing: wat wordt er verwacht?

De richtlijn beschrijft in artikel 21 welke maatregelen je moet treffen. Het gaat om een breed pakket: risicoanalyses en beleid voor informatiebeveiliging, het afhandelen van incidenten, maatregelen voor bedrijfscontinuïteit en back-ups, en beveiliging bij het aanschaffen en onderhouden van systemen. Ook opleiding van personeel, toegangsbeleid en het gebruik van versleuteling horen erbij.

Belangrijk voor jou als ondernemer is de ketenverplichting. Wie onder de wet valt, moet ook de beveiliging van zijn leveranciers en dienstverleners op orde hebben. Dat betekent in de praktijk dat grote opdrachtgevers hun eisen contractueel gaan doorleggen. Ook als je zelf niet direct onder de wet valt, kun je er dus via je klanten mee te maken krijgen.

Melden: 24 uur en 72 uur

Bij een significant incident geldt een gefaseerde meldplicht, uitgewerkt in artikel 23. Binnen 24 uur geef je een vroegtijdige waarschuwing af aan de bevoegde autoriteit. Binnen 72 uur volgt een volledigere melding met een eerste beoordeling van het incident, de ernst en de gevolgen. Later moet je nog een eindrapport aanleveren. Deze termijnen zijn kort, dus je moet vooraf weten wie wat doet als het misgaat.

Wat betekent dit voor je contracten?

De kern zit hem in de doorwerking naar je zakelijke relaties. Als jij onder de wet valt, moet je de beveiligingseisen contractueel vastleggen bij je leveranciers. Andersom kunnen je klanten dat bij jou doen. Contracten worden daarmee een belangrijk instrument om aan de wet te voldoen. Denk aan afspraken over beveiligingsniveaus, meldtermijnen bij incidenten, auditrechten en aansprakelijkheid.

Concrete aandachtspunten

• Bepaal je positie in de keten. Val je zelf onder de wet, of krijg je de eisen via een grote klant doorgelegd? Dat bepaalt welke verplichtingen op jou rusten. Sectoren als energie, zorg, transport en digitale infrastructuur vallen er direct onder.
• Leg meldafspraken vast in je contracten. Zorg dat je leveranciers je snel informeren bij een incident, zodat jij de termijnen van 24 en 72 uur kunt halen. Spreek ook af wie welke informatie aanlevert.
• Begin op tijd met je maatregelen. De wet treedt in werking op 15 augustus 2026, maar risicobeleid, back-ups en leveranciersafspraken regel je niet in een week. Breng nu in kaart waar je staat en welke afspraken je moet aanpassen.

Dit artikel is algemene informatie, geen juridisch advies. Twijfel je over jouw situatie? Scan je contract gratis — en als het advies moet worden, tekent er een jurist.