Wordt u aangevallen?
De Cyberbeveiligingswet in de praktijk: de eerste stappen voor een productiebedrijf
Door Richard Zwiers, CEO en oprichter
Dit artikel is van 20 mei 2026, van voor de inwerkingtreding van de Cyberbeveiligingswet op 15 augustus 2026.
De Cyberbeveiligingswet komt eraan. Wat de wet vraagt en wie eronder valt, staat in ons overzicht van de Cyberbeveiligingswet. Daarna komt de praktische vraag: u valt er straks onder, waar begint u?
Voor een productiebedrijf zit het werk op vier plekken. De registratie, de vertaling van de zorgplicht naar de productievloer, de vragen van uw afnemers en de training van uw bestuur.
Stap 1: stel vast of en hoe u eronder valt
U bepaalt zelf of uw organisatie onder de wet valt. Er komt geen brief. Uw sector en uw omvang bepalen het. Productie, verwerking en distributie van levensmiddelen en grote delen van manufacturing staan in bijlage 2 van de wet. De ondergrens ligt bij 50 of meer medewerkers, of een jaaromzet én balanstotaal boven 10 miljoen euro.
Beoordeel dit per entiteit. Bij een holdingstructuur kan de ene werkmaatschappij eronder vallen en de andere niet. Met de zelfevaluatie loopt u de stappen door.
Stap 2: registreer u via MijnNCSC
Organisaties die onder de wet vallen, registreren zich straks in het entiteitenregister. Dat gaat via MijnNCSC, met eHerkenning of SSOnRijk. Spreek af wie de registratie doet en wie over het juiste eHerkenningsmiddel beschikt.
Registreren is een wettelijke verplichting en het eenvoudigste deel van het werk. Registreren zonder te weten waar u staat, levert een registratie op en verder niets.
Stap 3: vertaal de zorgplicht naar de productievloer
De zorgplicht vraagt passende maatregelen voor uw netwerk- en informatiesystemen. In een fabriek horen daar ook uw besturingssystemen, uw productiebesturing, uw klimaat- en gebouwbeheer en de externe verbindingen van machineleveranciers bij. Die omgeving is zelden ontworpen met beveiliging als uitgangspunt.
Een paar vragen maken de zorgplicht op de vloer concreet.
Continuïteit. Welke systemen leggen uw lijn stil als ze uitvallen, en hoe snel bent u weer operationeel? Wanneer heeft u dat voor het laatst getest?
Scheiding van IT en OT. Kan een probleem op kantoor doorlopen naar uw productieomgeving? Segmentatie bepaalt hoe ver het komt.
Toegang. Wie kan er van buitenaf bij uw machines, en hoe wordt die toegang ingetrokken als het werk klaar is?
Melden. Wie geeft bij een significant incident binnen 24 uur een vroegtijdige waarschuwing aan uw CSIRT en uw toezichthouder, en weet die persoon dat?
Updates en wijzigingen in de productieomgeving plant u in uw change windows, samen met de plant manager. Dat geldt ook voor de maatregelen die uit de zorgplicht volgen.
Leg wat u al heeft naast de tien onderwerpen uit de zorgplicht. De verschillen worden een roadmap met prioriteiten, die uw bestuur goedkeurt.
Stap 4: bereid u voor op de vragen van uw afnemers
De wet vraagt organisaties te kijken naar de beveiliging van hun directe leveranciers. Levert u aan een bedrijf dat onder de wet valt, dan komen die vragen bij u terecht, ook als u zelf buiten de wet valt.
Reken op vragen over uw beveiligingsmaatregelen, over hoe snel u een afnemer informeert bij een incident en over continuïteit. Vaak volgen er contractuele afspraken. Wie de antwoorden klaar heeft, voert dat gesprek makkelijker.
Het werkt ook andersom. U kijkt zelf naar uw leveranciers, zoals de partij die op afstand uw machines onderhoudt. Meer daarover leest u in ons artikel over ketenrisico.
Stap 5: plan de bestuurderstraining
Het bestuur keurt de maatregelen goed en ziet toe op de uitvoering. Daarnaast moet elk bestuurslid risico's kunnen herkennen en maatregelen kunnen beoordelen, en een training volgen. Voor die training geldt een termijn van twee jaar na de inwerkingtreding van de wet.
De uitvoering kunt u uitbesteden. De verantwoordelijkheid blijft bij het bestuur. Bestuurders kunnen persoonlijk worden aangesproken als zij hun taken aantoonbaar laten liggen. Wat dat betekent, leest u in ons artikel over bestuursaansprakelijkheid.
Hoe CyberPeak helpt
Wij werken voor productiebedrijven in food, agri, manufacturing en life sciences. Wij stellen eerst vast waar u staat ten opzichte van de zorgplicht en vertalen dat naar een roadmap die uw bestuur kan goedkeuren. Daarna voeren onze engineers de maatregelen uit, van segmentatie tussen IT en OT tot toegangsbeheer en monitoring. Wilt u het beheer uitbesteden, dan kiest u voor PeakProtection, waarbij wij het beheer dragen, of PeakCollaboration, waarbij uw team de regie houdt.
Wij helpen u in kaart te brengen wat de Cyberbeveiligingswet voor uw organisatie betekent. Plan een kennismaking van een half uur.
Veelgestelde vragen
Waar registreer ik mij voor de Cyberbeveiligingswet?
In het entiteitenregister, via MijnNCSC. U logt in met eHerkenning of SSOnRijk. Registreren wordt verplicht voor organisaties die onder de wet vallen.
Geldt de zorgplicht ook voor mijn productieomgeving?
Ja. De wet spreekt over netwerk- en informatiesystemen. In een fabriek horen daar ook uw besturingssystemen, uw productiebesturing en de externe verbindingen van machineleveranciers bij.
Wat gaan mijn afnemers vragen?
Afnemers die onder de wet vallen, moeten kijken naar de beveiliging van hun directe leveranciers. Reken op vragen over uw beveiligingsmaatregelen, het melden van incidenten en continuïteit, en vaak op contractuele afspraken daarover.
Wanneer moet mijn bestuur de training hebben gevolgd?
Binnen twee jaar na de inwerkingtreding van de Cyberbeveiligingswet. Het goedkeuren van en toezien op de maatregelen geldt vanaf de inwerkingtreding.
Is NIS2 hetzelfde als de Cyberbeveiligingswet?
NIS2 is de Europese richtlijn. De Cyberbeveiligingswet is de Nederlandse wet die NIS2 uitwerkt. Voor Nederlandse organisaties is de Cyberbeveiligingswet de tekst die telt.
Wat is het verschil tussen de Cyberbeveiligingswet en ISO 27001?
ISO 27001 is een vrijwillige norm voor informatiebeveiliging. De Cyberbeveiligingswet is een wettelijke verplichting. Een goede ISO 27001-inrichting helpt bij de zorgplicht, maar dekt niet automatisch alle verplichtingen uit de wet.
