Cyberbeveiligingswet raakt kleine bedrijven via hun klanten

De wet kwam 667 dagen te laat, de vragenlijst van je klant niet.

De Cyberbeveiligingswet (Cbw) geldt sinds 15 augustus 2026 voor naar schatting ruim 8.000 organisaties. Val je er zelf buiten, dan krijg je de eisen alsnog via je grootste klant.

Wat de wet eist

De Cbw geldt in achttien kritieke sectoren, zoals zorg en energie. Je valt eronder vanaf 50 fte. Onder de 50 tellen omzet én balanstotaal mee, boven 10 miljoen euro. Telecom en de overheid vallen er ook zonder 50 fte onder.

Via je grootste klant

Toch merk je de wet, want je levert aan zo'n klant. Die klant moet zijn beleid over de keten op papier zetten. Artikel 10 van het Cyberbeveiligingsbesluit eist dat hij dat beleid aantoonbaar toepast. Aantonen kan hij maar op één manier: door het aan jou te vragen.

In de praktijk

Reken op een lange vragenlijst en een bijlage bij je contract. Je klant wil afspraken over veilig werken, meldingen en data. Hij stuurt zelf binnen 24 uur een vroegtijdige waarschuwing. De melding zelf volgt binnen 72 uur, dus van jou wil hij het eerder.

Wie het geregeld heeft

Bij wie het op papier staat, verloopt dat anders. De vragenlijst is dan doorsturen in plaats van uitzoeken. Je klant krijgt zijn bewijs en jij houdt je contract. Bij de volgende klant stuur je hetzelfde document door.

Schrijf die twee pagina's voordat je grootste klant erom vraagt.