De Cyberbeveiligingswet (Cbw) is de Nederlandse uitvoering van de Europese NIS2-richtlijn en geldt sinds 15 augustus 2026. De meeste softwarebureaus vallen er zelf niet onder. De uitzondering is een bureau dat als aanbieder van beheerde diensten de ICT van klanten beheert, met 50 fte of meer, of een jaaromzet én een balanstotaal van elk meer dan 10 miljoen euro.
Toch krijgt bijna elk bureau ermee te maken. Klanten die wel onder de wet vallen, moeten volgens artikel 21 Cbw hun toeleveringsketen beveiligen, en dat landt als eisen in jouw contract. Bouw je een eigen product, dan komt de Cyber Resilience Act erbij.
Valt mijn bureau zelf onder de Cyberbeveiligingswet?
Twee vragen bepalen het: in welke sector werk je, en hoe groot is je bureau. Volgens het NCSC valt een organisatie onder de wet bij 50 fte of meer, of een jaaromzet én een balanstotaal van elk meer dan 10 miljoen euro, waarbij ondernemingen uit dezelfde groep meetellen. Kleinere organisaties vallen er in de regel buiten.
Voor IT noemt de wet onder meer deze soorten diensten:
| Dienst | Valt eronder bij voldoende omvang |
|---|---|
| Aanbieder van beheerde diensten: installatie, beheer, exploitatie of onderhoud van ICT bij de klant, ter plaatse of op afstand | Ja |
| Aanbieder van beheerde beveiligingsdiensten | Ja |
| Cloudcomputingdiensten, zoals een SaaS-platform | Ja |
| Datacentrumdiensten | Ja |
| Maatwerk bouwen en opleveren, de klant beheert zelf | Nee, geen aparte categorie |
De definitie van beheerde diensten staat in artikel 1 Cbw. Doet je bureau naast ontwikkeling ook applicatiebeheer met toegang tot de systemen van klanten, dan kan dat al genoeg zijn.
Wat moet een bureau dat eronder valt regelen?
De wet kent drie hoofdplichten:
- Zorgplicht (artikel 21 Cbw). Passende maatregelen tegen cyberrisico’s, met minimaal: risicoanalyse, incidentbehandeling, back-ups en herstel, beveiliging van de toeleveringsketen, veilige ontwikkeling en kwetsbaarhedenbeheer, cyberhygiëne en training, cryptografie, toegangsbeheer en waar gepast multifactorauthenticatie.
- Meldplicht (artikelen 25 tot en met 29 Cbw). Een significant incident meld je bij het CSIRT en de toezichthouder.
- Registratieplicht (artikel 44 Cbw).
De meldtermijnen lopen vanaf het moment dat je van het incident weet:
| Stap | Termijn |
|---|---|
| Vroegtijdige waarschuwing (artikel 26) | uiterlijk 24 uur |
| Melding met eerste beoordeling (artikel 27) | uiterlijk 72 uur |
| Eindverslag (artikel 29) | uiterlijk één maand na de melding |
Het bestuur moet de maatregelen goedkeuren. Elk bestuurslid moet binnen twee jaar na de inwerkingtreding kennis van cyberrisico’s hebben en een trainingscertificaat bezitten (artikel 24 Cbw).
Welke eisen stellen klanten via de toeleveringsketen?
Dit is waar de meeste bureaus de wet tegenkomen. Een klant die onder de Cbw valt, moet de beveiliging regelen van de relaties met zijn rechtstreekse leveranciers (artikel 21 lid 3 onder d Cbw). Daarbij houdt hij rekening met (artikel 21 lid 4 Cbw):
- de specifieke kwetsbaarheden van elke rechtstreekse leverancier;
- de kwaliteit van de producten en de cyberbeveiligingspraktijken van leveranciers, inclusief hun veilige ontwikkelprocedures;
- Europese risicobeoordelingen van kritieke ketens.
In je contract zie je dat terug als:
- een beveiligingsbijlage met maatregelen die je moet aantonen;
- een meldplicht voor incidenten, vaak met een kortere termijn dan die van de klant zelf;
- auditrechten en vragenlijsten;
- eisen aan veilige ontwikkeling: code review, afhankelijkhedenbeheer, patchtermijnen;
- een lijst van jouw eigen onderaannemers en nearshore-teams.
Hoe hoog zijn de boetes?
Voor organisaties die zelf onder de wet vallen, kan de toezichthouder bij overtreding van de zorgplicht of meldplicht een boete opleggen:
| Soort entiteit | Maximale boete |
|---|---|
| Essentiële entiteit (artikel 80 Cbw) | 10 miljoen euro of 2% van de wereldwijde jaaromzet, als dat hoger is |
| Belangrijke entiteit (artikel 87 Cbw) | 7 miljoen euro of 1,4% van de wereldwijde jaaromzet, als dat hoger is |
Valt je bureau er zelf niet onder, dan loop je die boete niet. Je risico zit dan in het contract: aansprakelijkheid tegenover de klant en het verlies van de opdracht.
Wanneer geldt de Cyber Resilience Act voor je bureau?
De Cyber Resilience Act (Verordening (EU) 2024/2847) gaat over producten met digitale elementen: software en hardware die op de EU-markt komen. Fabrikant is wie zo’n product ontwikkelt en onder eigen naam op de markt brengt, betaald of gratis. Dat raakt je bureau als je een eigen product verkoopt, zoals een plug-in, een library of een on-premise applicatie.
- Meldplicht voor actief misbruikte kwetsbaarheden vanaf 11 september 2026: een eerste waarschuwing binnen 24 uur.
- De volledige eisen gelden vanaf 11 december 2027.
- Een ondersteuningsperiode met beveiligingsupdates van minimaal 5 jaar, tenzij het product korter in gebruik zal zijn.
Volgens overweging 12 van de CRA vallen SaaS, PaaS en IaaS onder NIS2. Maatwerk dat je voor één klant bouwt en dat de klant zelf in gebruik neemt, is een andere situatie; laat dat per product beoordelen.
Wat betekent dit voor de code van je bureau?
Code die je bureau bezit en aan meerdere klanten levert, krijgt met NIS2 en de CRA een extra eis: je moet kunnen laten zien hoe hij is gebouwd en onderhouden. Dat is werk, en het maakt de code ook meer waard.
- Documenteer het bouwproces. Code review, afhankelijkheden met licenties, patchbeleid. Klanten vragen het via de toeleveringsketen, kopers en licentienemers ook.
- Ken je afhankelijkheden. Een overzicht van open source pakketten met versies en licenties helpt bij kwetsbaarheden en bij een MIT- of GPL-check.
- Regel de rollen in je licentie. Wie levert updates, wie meldt kwetsbaarheden? Leg het vast in de licentieovereenkomst. Bij kritieke software vraagt een klant soms om broncode-escrow.
Wil je eigen componenten in licentie geven, kijk dan eerst wat die code waard is.