Door: Patrick Jordens
Stel je voor: je hebt de cybersecurity best aardig op orde. Er draait een firewall, de back-ups worden dagelijks gecontroleerd en iemand in de organisatie heeft ooit iets gedaan met ISO 27001. Maar vanaf 2026 komt er iemand langs die je niet vraagt of je alle vinkjes hebt gezet, maar of je begrijpt waarom je die vinkjes überhaupt hebt. Of je weet wat je risico’s zijn. Wat je hebt gedaan om ze te beperken. En of je als bestuurder daar actief op hebt gestuurd.
Dat scenario is niet hypothetisch. Het toezicht op de Cyberbeveiligingswet, de Nederlandse implementatie van de NIS2-richtlijn, wordt scherp, professioneel en vooral diepgaand. In dit artikel lees je wat dat betekent, waarom het er echt van komt en waarom vrijblijvendheid geen optie meer is.
Waar deze informatie vandaan komt
Alle inzichten in dit artikel zijn gebaseerd op officiële bronnen. Onder andere een presentatie van toezichthouders RDI en ILT over hoe zij toezicht gaan uitvoeren. De notulen van het publiek-private NIS2-overleg van 19 juni 2025. En de conceptversies van het Cyberbeveiligingsbesluit en de bijbehorende toelichting. Geen toekomstmuziek dus, maar concrete voorbereidingen van toezichthouders zelf.
Geen blauwdruk, maar een maatpak
Wat dit toezicht bijzonder maakt, is dat het geen lijstje is dat je kunt afvinken. De wet werkt met open normen. Dat betekent dat de verplichting luidt dat je passende en evenredige maatregelen moet nemen. Niet welke maatregelen dat precies zijn.
Wat passend is, bepaalt de toezichthouder op basis van meerdere bronnen. De wet en het besluit zelf. Internationale standaarden zoals ISO 27001 en NIS2. Maar ook sectorrichtlijnen, je eigen risicoanalyse en de manier waarop je als organisatie keuzes maakt en onderbouwt. Je krijgt dus te maken met een toezichthouder die wil weten waarom je iets doet, hoe je het monitort en wat je doet als het misgaat. Niet of je een tool hebt gekocht.
Wat de inspecteur écht komt doen
De toezichthouder komt kijken naar je systeem. Niet alleen naar je IT, maar naar je hele beveiligingsaanpak. Heb je een risicoanalyse uitgevoerd? Is die actueel? Is er beleid voor bedrijfscontinuïteit? Hoe heb je je ketenpartners in beeld? Wat doe je als er een incident is?
Het gaat om beleid, betrokkenheid van het bestuur, procedures, trainingen, logboeken, incidentenregistratie en evaluatiecycli. Alles moet aantoonbaar zijn. Dat betekent dat je keuzes moet vastleggen. Niet alleen dat je iets doet, maar ook dat je hebt nagedacht over waarom je het doet.
Het tempo ligt niet meer bij jou
Toezicht zal in meerdere vormen plaatsvinden. Er komen reguliere inspecties bij individuele organisaties. Reactieve inspecties op basis van incidenten of signalen. Thema-inspecties waarbij toezichthouders meerdere organisaties op hetzelfde onderwerp beoordelen. En er komt samenwerking tussen toezichthouders, zodat je als organisatie niet te maken krijgt met versnipperde controles.
Een deel van het toezicht vindt plaats zonder dat je iets merkt. Via monitoring van openbare bronnen, meldstatistieken, sectoranalyses en signalen van ketenpartners. Toezicht begint dus niet bij een brief, maar veel eerder.
Zelfevaluatie is je radarreflectie
De overheid heeft tools ontwikkeld waarmee je jezelf kunt toetsen. Zoals de NIS2 Zelfevaluatie op de site van het Digital Trust Center. Gebruikmaken van deze tools is niet verplicht. Maar ze worden wel gebruikt als referentie door toezichthouders.
Als je niets van je laat horen, ben je minder goed in beeld. En dat is niet in je voordeel. Wie nu zichtbaar is, laat zien dat hij bezig is. Dat kan helpen als het toezicht straks echt begint. Zie het als een kans om je voorbereiding te laten zien.
Zonder bewijs geen vertrouwen
Toezicht draait niet op aannames. De bewijslast ligt bij de organisatie zelf. Je moet dus laten zien dat je voldoet aan de zorgplicht. En dat je maatregelen hebt genomen die passen bij je risico’s. Dat doe je met beleidsstukken, logboeken, verslagen van directievergaderingen, contracten met leveranciers en incidentrapportages.
De tijd van ‘we doen echt wel iets hoor’ is voorbij. Als je het niet kunt onderbouwen, telt het niet. Zo simpel is het.
Bestuurders kunnen zich niet langer verschuilen
Een van de grootste verschuivingen in de wet is dat het bestuur verantwoordelijk is voor de cybersecurityaanpak. Bestuurders moeten beveiligingsmaatregelen goedkeuren. Ze moeten toezicht houden op de uitvoering. En ze moeten aantoonbaar beschikken over voldoende kennis. Daarom komt er een verplichte training met certificaat.
Wie de verantwoordelijkheid niet serieus neemt, kan daar persoonlijk op worden aangesproken. In het uiterste geval kunnen toezichthouders een bestuurder tijdelijk schorsen. Cybersecurity is dus geen ICT-onderwerp meer. Het is governance.
Sancties zijn meer dan boetes
Toezichthouders krijgen een heel palet aan maatregelen tot hun beschikking. Ze kunnen een audit eisen. Een beveiligingsscan laten uitvoeren. Je verplichten een controlefunctionaris aan te stellen. Je dwingen een overtreding openbaar te maken. En ja, ook bestuurlijke boetes opleggen.
Dat is niet bedoeld om te straffen, maar om risico’s te verkleinen. Maar wie zich onwillig opstelt, zal het merken. Niet alleen juridisch, maar ook reputatief.
Ook zonder registratie kun je in beeld zijn
Een veelgehoorde misvatting is dat je pas onder de wet valt als je bent geregistreerd. Maar registratie volgt uit je plicht, niet andersom. Je kunt onterecht buiten beeld blijven, maar dat ontslaat je niet van je verplichtingen. En je kunt ook onterecht al geregistreerd zijn, zonder dat daar toezicht op volgt. In beide gevallen ligt de verantwoordelijkheid bij jou.
Toezichthouders geven aan dat ze straks actiever gaan screenen. Wie zicht stilhoudt, kan alsnog bezoek verwachten.
Goede bedoelingen zijn niet genoeg meer
Veel organisaties denken nog in termen van: we hebben wel iets geregeld. Maar de lat ligt hoger. De wet vraagt om volwassenheid. Om structureel beleid. Om continu verbeteren. En vooral om aantoonbaarheid. Wie denkt dat het met wat basismaatregelen afgedaan is, onderschat de aard van het toezicht.
De toezichthouder kijkt naar het systeem. Naar de samenhang tussen beleid, uitvoering, evaluatie en verantwoording. En hij verwacht dat het bestuur die samenhang begrijpt.
2026 is geen deadline. Het is de start van een andere werkelijkheid
De wet is al in werking. Vanaf 2026 start het formele toezicht. Dat betekent dat je nu nog de tijd hebt om alles op orde te brengen. Inventariseer je systemen en processen. Werk je risicoanalyse uit. Leg besluiten vast. Maak duidelijke afspraken met leveranciers. Zorg voor training en bewustwording in je organisatie. En organiseer je governance.
Wie pas in actie komt als de toezichthouder aanbelt, is te laat.
Over TT3P
The Trusted Third Party biedt praktisch advies voor cybersecurity en flexibele inzet van cybersecurityspecialisten. We helpen organisaties van elk type om het risico op gijzeling van bedrijfssystemen, datadiefstal en onbevoegde toegang te verkleinen en hun digitale weerbaarheid te vergroten. Neem contact op via info@tt3p.nl of 088 38 38 38 3.
Op de hoogte blijven van alle updates rondom cybersecurity? Volg dan onze LinkedIn-pagina
