Cybersecurity voor software- en ICT-dienstverleners die bewijs moeten leveren
Bouw je software of beheer je ICT-omgevingen voor anderen? Dan is de kans groot dat je per 15 augustus 2026 zelf onder de Cyberbeveiligingswet valt, en dat je klanten nu al bewijs vragen. BOEM regelt ISO 27001, NIS2 en pentests zodat je aantoonbaar veilig bent.
Waarom de lat voor software en ICT-dienstverlening hoger ligt
Cloudaanbieders, managed service providers en datacenterdiensten staan expliciet in de Cyberbeveiligingswet, en SaaS-aanbieders vallen er vaker onder dan ze denken. Tegelijk vragen klanten en tenders nu al om bewijs.
Hieronder lees je wat er precies van je gevraagd wordt en welke risico’s horen bij software bouwen of klantomgevingen beheren.
Wat de Cyberbeveiligingswet betekent voor ICT-dienstverleners en softwarebedrijven
De Cyberbeveiligingswet, de Nederlandse uitwerking van de NIS2-richtlijn, treedt in werking op 15 augustus 2026. Voor onze sector zijn twee categorieen relevant. Onder digitale infrastructuur vallen onder meer aanbieders van cloudcomputingdiensten, aanbieders van datacenterdiensten, content delivery networks, internetknooppunten, DNS-dienstverleners, registers voor topleveldomeinnamen en verleners van vertrouwensdiensten. Onder beheer van ICT-diensten vallen managed service providers en managed security service providers. Aanbieders van online marktplaatsen, online zoekmachines en sociale netwerken zitten in de categorie digitale aanbieders.
Of je essentiele of belangrijke entiteit bent, hangt af van je omvang. Ben je groot, dus vanaf 250 medewerkers of meer dan 50 miljoen euro omzet met een balanstotaal boven 43 miljoen euro, dan ben je in digitale infrastructuur en beheer van ICT-diensten een essentiele entiteit met proactief toezicht van de RDI. Ben je middelgroot, vanaf 50 medewerkers of meer dan 10 miljoen euro omzet en balanstotaal, dan ben je een belangrijke entiteit met reactief toezicht. Digitale aanbieders zijn belangrijke entiteit. DNS-dienstverleners, TLD-registers, domeinregistratiediensten, verleners van vertrouwensdiensten en aanbieders van openbare elektronische communicatienetwerken en -diensten vallen eronder ongeacht hun grootte. Bied je multi-tenant SaaS aan op schaalbare, elastische en gedeelde ICT-resources, dan kun je onder de definitie van cloudcomputingdienst vallen, ook als je jezelf niet als cloudprovider ziet. Bovenop de zorgplicht geldt voor precies deze groepen de Europese uitvoeringsverordening 2024/2690, die de technische en methodologische eisen uitwerkt in dertien concrete domeinen.
Waarom klanten en tenders steeds vaker ISO 27001 of aantoonbare beveiliging eisen
De wet verplicht organisaties om de beveiliging van hun toeleveringsketen te beheersen, inclusief de relatie met hun directe leveranciers en dienstverleners. Daardoor komt de druk bij jou terecht, ook als je zelf buiten de wet valt. Het NCSC stelt het expliciet: leveranciers die zelf niet onder de wet vallen, kunnen wel eisen verwachten van klanten die er wel onder vallen, zeker als je diensten of ICT-componenten levert voor hun netwerk- en informatiesystemen of toegang hebt tot die systemen.
In de praktijk zie je dat terug in leveranciersvragenlijsten, securityclausules, auditrechten, meldafspraken bij incidenten en de eis om ISO 27001-certificering aan te tonen. Bij tenders en grote contracten is een certificaat vaak het snelste antwoord op de vraag of je het op orde hebt. Let op de nuance: een certificaat is geen vrijbrief. Klanten kijken ook naar de scope van je certificaat, naar je actuele risico’s en naar de vraag of jouw maatregelen aansluiten op hun eigen verplichtingen.
Risico’s die specifiek zijn voor wie software bouwt of klantomgevingen beheert
Wie software bouwt, neemt drie risico’s mee: kwetsbaarheden in eigen code, kwetsbaarheden in externe libraries en dependencies, en fouten in de build- en releaseketen. De uitvoeringsverordening vraagt hier concreet om veilige ontwikkelpraktijken, configuratie- en wijzigingsbeheer, security testing, patchmanagement en een werkend proces voor het melden en oplossen van kwetsbaarheden over de hele levenscyclus van je systemen.
Wie klantomgevingen op afstand beheert, heeft een nog scherper probleem: jouw beheeraccounts zijn een sleutelbos naar tientallen of honderden andere organisaties. De aanval op de beheersoftware van Kaseya in 2021 raakte via ongeveer zestig managed service providers naar schatting rond de 1.500 organisaties. Daarom eist de uitvoeringsverordening multifactor- of continue authenticatie voor toegang tot kritieke systemen en voor externe toegang, met periodieke herziening van rechten. Gescheiden beheeraccounts per klant, just-in-time rechten, logging van beheeracties en een geharde beheeromgeving zijn geen luxe maar de kern van je dienst.
Zo maakt BOEM jouw ICT-dienstverlening aantoonbaar veilig
Eerst feiten. We bepalen op basis van je dienstenportfolio en omvang of je aanbieder van cloudcomputingdiensten, datacenterdiensten, managed service provider, managed security service provider of digitale aanbieder bent, en of je daarmee essentiele of belangrijke entiteit wordt. Daarna leggen we vast wie waarvoor verantwoordelijk is, want de wet legt goedkeuring van maatregelen en toezicht daarop bij het bestuur neer. Zie ook governance.
Een gecertificeerd managementsysteem is voor softwarebedrijven, SaaS-aanbieders en managed service providers de meest verkoopbare vorm van bewijs. We starten met een GAP-analyse, richten daarna alleen in wat je echt nodig hebt en zorgen dat de scope aansluit op de diensten waar je klanten naar vragen. Lees meer over ISO 27001-implementatie.
Voor de Cyberbeveiligingswet gebruiken we een controleraamwerk dat de zorgplicht, de meldplicht en de registratieplicht omzet in concrete maatregelen en bewijsstukken. Voor onze sector nemen we daar de dertien domeinen van uitvoeringsverordening 2024/2690 in mee, inclusief veilige ontwikkeling, kwetsbaarhedenbeheer en toegangsbeheer. Bekijk het Cbw Control Framework.
Onze ethical hackers testen wat je klanten daadwerkelijk gebruiken: je webapplicatie, je API’s, je multi-tenant scheiding, je CI/CD-keten en je beheeromgeving. Je krijgt geen scanrapport maar exploiteerbare bevindingen met prioritering en hertest, zodat je richting klanten kunt aantonen dat een onafhankelijke partij heeft getest. Meer over een pentest laten uitvoeren.
Je bent zelf leverancier en je hebt leveranciers: hosting, libraries, subprocessors, beheertooling. We richten leveranciersbeoordeling en contractuele beveiligingsafspraken in, zodat je eisen kunt doorzetten naar je onderaannemers en tegelijk kunt aantonen dat je de eisen van je klanten nakomt. Zie NIS2 Supply Chain.
Vraagt een klant om onafhankelijke bevestiging in plaats van een zelf ingevulde vragenlijst? BOEM is erkend auditpartner voor NIS2 Supply Chain niveau SC10 en SC20. De audit loopt op afstand via Teams en levert je een verklaring die je bij meerdere klanten kunt gebruiken. Bekijk de NIS2 Supply Chain audit.
Beveiliging in software en beheer is nooit klaar: elke release en elke nieuwe klantomgeving verandert je aanvalsoppervlak. Met het Security Partner abonnement krijg je elk kwartaal hardening door een ethisch hacker, en met security awareness training leer je developers, support en beheerders om phishing en social engineering op beheeraccounts te herkennen.
Waarom kiezen voor BOEM?
- Ethical hackers in huis: pentesten, dark web-onderzoek en technische hardening door mensen die zelf aanvallen, niet alleen documenten schrijven.
- Erkend auditpartner NIS2 Supply Chain: BOEM audit op niveau SC10 en SC20, zodat je klanten onafhankelijk bewijs krijgen in plaats van een eigen verklaring.
- Vaste prijzen en duidelijke bandbreedtes: je weet vooraf waar je aan toe bent, van GAP-analyse tot volledige ISO 27001-implementatie.
- Techniek en compliance in een traject: veilige ontwikkeling, kwetsbaarhedenbeheer en toegangsbeheer worden getest, niet alleen beschreven in beleid.
- Gemaakt voor jouw sector: gericht op multi-tenant omgevingen, API’s, CI/CD en beheer op afstand van klantomgevingen.
Wat kost het, en waar begin je?
Begin met de gratis nulmeting
De eerste stap kost je niets. Het gratis digitaal technisch vooronderzoek laat zien wat er van buitenaf te zien en te misbruiken valt aan jouw omgeving. Daarna weet je waar je staat en kun je kiezen.
Concrete prijzen voor software en ICT
Een GAP-analyse kost een vaste prijs van 2.500 euro. Een volledige ISO 27001-implementatie ligt gemiddeld rond 18.000 euro, met een bandbreedte van 14.000 tot 25.000 euro. NIS2-implementatie via het Cbw Control Framework kost 7.000 tot 14.500 euro.
Pentest en onafhankelijk bewijs
Een pentest loopt van 5.000 tot 50.000 euro, afhankelijk van de omvang van je applicatie en infrastructuur. Een NIS2 Supply Chain audit op niveau SC10 of SC20 kost 2.020 euro all-in en gaat op afstand via Teams.
Doorlopend geregeld
Wil je het doorlopend geregeld hebben, dan kost het Security Partner abonnement 1.500 euro per maand, inclusief elk kwartaal hardening door een ethisch hacker. Vraag je gratis vooronderzoek aan.
Dat kan, en vaker dan je denkt. Bied je multi-tenant SaaS aan op schaalbare, elastische en gedeelde ICT-resources met toegang op afstand, dan kun je kwalificeren als aanbieder van cloudcomputingdiensten. Dat is een sector uit de categorie digitale infrastructuur. Vanaf 50 medewerkers of meer dan 10 miljoen euro omzet en balanstotaal ben je dan belangrijke entiteit, vanaf 250 medewerkers of meer dan 50 miljoen euro omzet met balanstotaal boven 43 miljoen euro essentiele entiteit. Verkoop je alleen licenties voor software die de klant zelf installeert, dan is de kans groter dat je er niet direct onder valt, maar bereik je alsnog via de eisen van je klanten. Wij bepalen dit voor je in de scopebepaling.
Ja, managed service providers en managed security service providers staan expliciet genoemd in de sector beheer van ICT-diensten, een van de hoog-kritieke sectoren. Een grote provider is essentiele entiteit met proactief toezicht van de Rijksinspectie Digitale Infrastructuur, een middelgrote is belangrijke entiteit met toezicht dat vooral achteraf plaatsvindt, bijvoorbeeld na een incident. Beide categorieen hebben zorgplicht, meldplicht en registratieplicht.
Nee, de wet verplicht geen specifieke norm of certificering. In de praktijk werkt het anders: klanten, tenders en contracten vragen wel om aantoonbare beveiliging, en ISO 27001 is daarvoor de meest gangbare taal. Voor onze sector geldt daarbij dat de Europese uitvoeringsverordening 2024/2690 de eisen al heel concreet maakt in dertien domeinen, dus een certificaat helpt om die aantoonbaar af te dekken. Een certificaat is geen eindpunt: klanten kijken ook naar de scope, naar je actuele risico’s en naar de vraag of het aansluit op hun eigen verplichtingen.
Als je diensten of ICT-componenten levert voor hun netwerk- en informatiesystemen, of toegang hebt tot die systemen, dan mag een klant die onder de Cyberbeveiligingswet valt beveiligingseisen aan je stellen. Denk aan securityclausules in het contract, auditrechten, afspraken over het melden van incidenten, eisen aan toegangsbeheer en het doorzetten van eisen naar je eigen onderaannemers. De eisen moeten passend en evenredig zijn en rekening houden met jouw specifieke kwetsbaarheden en beveiligingspraktijken. Onbeperkt eisen stellen mag dus niet, maar niets regelen is geen optie meer.
Dan treedt de Cyberbeveiligingswet in werking. Vanaf die datum gelden de registratieplicht, de zorgplicht om passende technische, operationele en organisatorische maatregelen te nemen, en de meldplicht voor significante incidenten: een vroege waarschuwing binnen 24 uur en een volledige melding binnen 72 uur. Toezicht en handhaving gaan lopen vanaf dat moment, dus je hebt nu de tijd om zonder haast in te richten.
Door beveiliging in je hele levenscyclus te regelen, niet alleen bij oplevering. Concreet vraagt de uitvoeringsverordening om veilige ontwikkelpraktijken, configuratie- en wijzigingsbeheer, security testing, patchmanagement en een werkend proces voor het beoordelen en oplossen van kwetsbaarheden. Daar hoort ook zicht op je externe libraries en dependencies bij, plus een manier waarop onderzoekers of klanten kwetsbaarheden bij je kunnen melden. Wij testen dit vervolgens met een pentest, zodat het niet bij beleid blijft.
Dan speelt naast de Cyberbeveiligingswet ook de AVG, meestal in de rol van verwerker. Verwerkersovereenkomsten, subprocessors, bewaartermijnen, dataminimalisatie en de meldplicht datalekken lopen deels parallel aan je NIS2-maatregelen, maar zijn niet hetzelfde en hebben een andere toezichthouder. Het loont om beide in een traject aan te pakken, zodat je maatregelen en bewijsstukken dubbel werk voorkomen. Meer daarover op onze pagina over privacy.
Met het gratis digitale technisch vooronderzoek, want dat laat zonder verplichting zien wat er van buitenaf zichtbaar is aan jouw omgeving. Daarna volgt de scopebepaling: val je onder de wet, en als essentiele of belangrijke entiteit? Op basis daarvan kies je tussen een GAP-analyse van 2.500 euro, een NIS2-implementatie via het Cbw Control Framework of een volledig ISO 27001-traject. Vraag je gratis vooronderzoek aan en we bepalen samen de kortste route.
Plan vandaag nog een vrijblijvende telefonische intake
In een vrijblijvend kennismakingsgesprek bepalen we of je onder de Cyberbeveiligingswet valt, wat je klanten van je mogen vragen en welke route naar bewijs voor jou het snelst werkt.
Bewijs waar je klant om vraagt
BOEM Cybersecurity als partner, verhalen uit de praktijk
Wij zijn trots op onze klanten. Lees hier meer over deze klanten en hun succesverhalen.