ICT-dienstverleners staan met naam en toenaam in de Cyberbeveiligingswet. Beheer van ICT-diensten tussen bedrijven is een eigen sector in bijlage 1, en dat betekent dat je er sneller onder valt dan je denkt.
Kort samengevat
- Beheer van ICT-diensten is een eigen sector in bijlage 1 van de wet, niet een onderdeel van digitale infrastructuur.
- De wet geldt sinds 15 augustus 2026. Ongeveer 8.000 Nederlandse organisaties vallen eronder.
- Groot betekent essentieel, middelgroot betekent belangrijk. Het verschil zit in het toezicht.
- Val je er zelf niet onder, dan doen je klanten dat wel. De eisen komen dan via het contract.
- Je zit in andermans keten. Dat maakt je een auditdoelwit, ongeacht je eigen status.
Welke ICT-dienstverleners vallen eronder?
De Cyberbeveiligingswet werkt met twee bijlagen. Bijlage 1 bevat de sectoren van hoog kritiek belang, bijlage 2 de andere kritieke sectoren. Beheer van ICT-diensten tussen bedrijven staat in bijlage 1, en die sector valt uiteen in twee delen: beheerde ICT-diensten en beheerde beveiligingsdiensten.
Dat eerste is waar de meeste managed service providers in vallen: partijen die het netwerk, de werkplekken, de servers of de cloudomgeving van een klant beheren. Het tweede is voor partijen die beveiliging als dienst leveren, zoals een security operations center of beheerd detectie- en responsewerk.
Wat er doorgaans buiten valt: het uitsluitend leveren van software zonder beheer, detachering waarbij de klant zelf de regie houdt, en losse projectmatige werkzaamheden zonder doorlopende beheerrelatie. De aard van de dienst is bepalend, niet je SBI-code en niet hoe je jezelf noemt op je website.
Twijfel je, loop dan of jouw organisatie onder NIS2 valt systematisch door in plaats van te redeneren vanuit wat je hoopt.
Essentieel of belangrijk?
Zit je in de sector, dan bepaalt je omvang in welke categorie je valt. Ben je een grote organisatie, dan ben je een essentiële entiteit. Ben je middelgroot, dan ben je een belangrijke entiteit.
Inhoudelijk gelden dezelfde zorgplicht en dezelfde meldplicht. Het verschil zit in het toezicht. Bij essentiële entiteiten is dat actief: de toezichthouder kan uit zichzelf komen kijken. Bij belangrijke entiteiten gebeurt dat achteraf, naar aanleiding van een incident of een signaal. Dat verschil voelt kleiner dan het is, want actief toezicht betekent dat je op elk moment moet kunnen laten zien dat het klopt.
Let op de groepsregel: als je onderdeel bent van een groter concern telt dat mee bij het bepalen van je omvang. Een kleine dochter van een grote moeder is niet automatisch klein.
Wat moet je regelen?
Vier dingen, en de eerste heeft een termijn.
- Registreren. Je moet je aanmelden in het entiteitenregister bij het NCSC en je gegevens actueel houden. Dit is een wettelijke handeling en geen beveiligingsmaatregel; het wordt daarom het vaakst vergeten.
- Zorgplicht invullen. Passende maatregelen nemen om risico’s voor je netwerk- en informatiesystemen te beheersen, en dat kunnen aantonen.
- Meldplicht inrichten. Significante incidenten melden bij je CSIRT en de toezichthouder, binnen wettelijke termijnen. Zie de meldtermijnen bij een incident.
- Je bestuur laten meedoen. Bestuurders moeten de risico’s kennen, de maatregelen goedkeuren en scholing volgen. Zie waar de directie op aanspreekbaar is.
Dat vierde punt is voor ICT-dienstverleners vaak het lastigst, omdat de directie ervan uitgaat dat techniek een zaak van de techneuten is. De wet ziet dat anders en legt de verantwoordelijkheid expliciet bij het bestuur. Daar is onze NIS2-directietraining voor.
En als je er niet onder valt?
Dan ben je er nog niet vanaf, en dat is voor ICT-dienstverleners de belangrijkste alinea van dit artikel.
Je klanten die wel onder de wet vallen, hebben een zorgplicht die uitdrukkelijk hun toeleveringsketen omvat. Zij moeten kunnen aantonen dat hun leveranciers geen zwakke schakel zijn. Jij bent die leverancier. In de praktijk krijg je dus te maken met vragenlijsten, beveiligingsbijlagen in contracten, auditrechten en meldafspraken met termijnen van uren in plaats van dagen.
Dat is geen theoretisch risico. Hoe zo’n ketenincident eruitziet lieten we zien in een datalek dat via een leverancier binnenkwam, en wat er inmiddels standaard in contracten wordt opgenomen staat in wat je in leverancierscontracten vastlegt.
Voor jou betekent dit één ding: of de wet nu rechtstreeks op je van toepassing is of niet, je moet hetzelfde verhaal kunnen vertellen. Het verschil is alleen aan wie je het vertelt, een toezichthouder of een klant.
Hoe maak je het efficiënt?
Als ICT-dienstverlener krijg je de vragen van meerdere kanten tegelijk. De manier om dat behapbaar te houden is één keer goed bouwen en dat overal hergebruiken.
Een ISO 27001-certificaat is daarvoor het meest praktische instrument. Het vult het grootste deel van je zorgplicht in, en het vervangt aan de klantkant tientallen losse vragenlijsten door één document. Een wettelijke vrijstelling is het niet, maar als antwoord op beide kanten tegelijk is het onverslaanbaar.
Zet daarnaast drie dingen vast die klanten steevast vragen: hoe snel je meldt bij een incident, welke onderaannemers je inzet en waar data staat, en hoe je aantoont dat je maatregelen werken. Dat laatste is waar een pentest laten uitvoeren en een security awareness-training concreet bewijs opleveren in plaats van beloftes.
Wil je weten waar je nu staat, dan is een GAP-analyse het snelste antwoord. Loop je vooral aan tegen de eisen die klanten doorleggen, kijk dan bij NIS2 Supply Chain en bij hoe je leveranciers toetst, want dan zie je precies wat er straks aan jou wordt gevraagd.
