Wat er sinds 15 augustus 2026 geldt
NIS2 is de Europese richtlijn. In Nederland staat die in de Cyberbeveiligingswet, die de eerdere Wbni heeft vervangen. Organisaties die als essentiële of belangrijke entiteit onder de Cbw vallen, hebben onder meer een registratieplicht (entiteitenregister via MijnNCSC), een zorgplicht (passende maatregelen, nader uitgewerkt in het Cyberbeveiligingsbesluit) en een meldplicht voor significante incidenten.
Er is geen wettelijke ingroeiperiode: wie onder de wet valt, moet de verplichtingen vanaf die datum nakomen. Of u daaronder valt, bepaalt u aan de hand van de officiële criteria — niet aan de hand van een blog. Dit artikel is geen juridisch advies en geen scope-beoordeling van uw bedrijf.
Zelf in scope, of via de keten?
Een accountancykantoor, installatiebedrijf of adviesbureau valt vaak niet vanzelf onder de Cbw. Een grotere klant in zorg, overheid, energie of digitale infrastructuur wél — en die klant moet de beveiliging van de toeleveringsketen aantoonbaar beheersen. Dan krijgt u een vragenlijst, een bijlage bij het contract, of de vraag hoe u incidenten meldt.
Dat maakt u niet automatisch zelf tot Cbw-entiteit. Het betekent wél dat u kunt laten zien wat er al staat: wie toegang heeft, of MFA aanstaat, hoe backups en patching lopen, en waar medewerkers verdachte mail melden. Zonder die feiten wordt de vragenlijst een invuloefening; mét die feiten is het een gesprek.
Wat een MSP praktisch vastlegt
Floor ICT is geen toezichthouder en levert geen NIS2-certificaat. Wat wél in een named-user MSP past, is de operationele laag die klanten in de keten meestal vragen:
- MFA en accountbeheer in Google Workspace of Microsoft 365 (vanaf Advanced: cloudbeheer en on/offboarding);
- patching en monitoring op de werkplek, met tickets in plaats van een openbaar mailadres;
- beheerde werkplek-backup in Elite — sync in de cloud is geen backup;
- Academy security awareness ernaast, zodat phishing eerder herkend wordt;
- een kort overzicht wat wél en niet in het pakket zit, zodat u een klantvraag niet hoeft te gokken.
Meer diepte
Beheerde diensten in de richtlijn
NIS2 noemt aanbieders van beheerde diensten (en beheerde beveiligingsdiensten) als digitale dienstverleners. Of een concrete MSP onder de Cbw valt, hangt af van de wettelijke definities en omvangscriteria — niet van de marketingterm “MSP”. Floor ICT beoordeelt de eigen positie apart; dit artikel gaat over wat MKB-klanten in de keten merken.
Keurmerken en zelfscans
NCTV en NCSC wijzen erop dat marktkeurmerken geen zelfstandige juridische status hebben. De NIS2-zelfevaluatie en vergelijkbare tools helpen u een eerste beeld te vormen; de toezichthouder beoordeelt of u aan de wet voldoet. Een Academy-certificaat of een MSP-pakket is hygiëne, geen vrijbrief.
Wat u zelf houdt
U blijft verantwoordelijk voor de vraag of úw organisatie onder de Cbw valt, voor contracten met klanten, en voor wat u een auditor of inkoper antwoordt. Floor ICT beheert werkplek en cloud volgens het gekozen pakket en helpt de feiten op een rij zetten. Juridische scope, boetes of “u moet voor 1 oktober X doen” hoort u niet van ons — dat is advies van een jurist of de officiële hulpmiddelen van NCTV/NCSC.