De tien zorgplicht-maatregelen van de Cyberbeveiligingswet

Vanaf 15 augustus 2026 geldt de Cyberbeveiligingswet — de Nederlandse implementatie van de Europese NIS2-richtlijn — voor duizenden organisaties in Nederland. Wie de wettekst leest, stuit al snel op één woord dat overal terugkomt maar zelden wordt uitgelegd: zorgplicht. Dat woord klinkt abstract, maar de wet is er juist concreet over: zorgplicht bestaat uit tien met naam genoemde maatregelen. In dit artikel loopt u ze stuk voor stuk door, gebaseerd op de officiële lijst van het Nationaal Cyber Security Centrum (NCSC), en ziet u wat elke maatregel in de praktijk van uw organisatie vraagt.

Voor de bredere achtergrond van de wet zelf — waar ze vandaan komt, voor wie ze geldt en wanneer — leest u eerst de Cyberbeveiligingswet in algemene termen. Dit artikel gaat specifiek over de tien zorgplicht-maatregelen zelf.

Wat betekent "zorgplicht" onder de Cyberbeveiligingswet?

Zorgplicht is geen vast afvinklijstje en geen eenmalige exercitie. De wet verplicht organisaties tot een doorlopende verantwoordelijkheid om passende en proportionele technische, operationele en organisatorische maatregelen te nemen tegen risico's voor hun netwerk- en informatiesystemen. Het NCSC is daar op zijn eigen zorgplicht-pagina expliciet over: organisaties zijn zelf verantwoordelijk voor het bepalen welke maatregelen passend zijn, met risicomanagement als uitgangspunt. Dat is precies waarom de wet in de praktijk verwarrend aanvoelt — ze is bewust niet voorschrijvend.

Die risicogebaseerde aanpak is in principe goed nieuws: een klein bedrijf met beperkte risico's hoeft niet hetzelfde beveiligingsniveau te bereiken als een grote, kritieke dienstverlener. Maar diezelfde vrijheid zorgt in de praktijk ook voor onzekerheid. Organisaties weten vaak niet of hun bestaande maatregelen — een firewall hier, een wachtwoordbeleid daar — al "meetellen", en missen een gestructureerd overzicht om dat te beoordelen. De tien maatregelen hieronder geven dat overzicht, letterlijk in de vorm waarin het NCSC ze zelf publiceert.

De tien maatregelen op een rij

Onderstaande tien maatregelen komen rechtstreeks van de officiële zorgplicht-pagina van het NCSC — in dezelfde volgorde en zonder toevoegingen of weglatingen. Ze vormen samen de kern van wat de Cyberbeveiligingswet van uw organisatie verwacht.

• Risicobeheer
• Incidentafhandeling
• Bedrijfscontinuïteit
• Leveranciersbeveiliging
• Cyberhygiëne en bewustwording
• Netwerk- en systeembeveiliging
• Personeels-, toegangs- en assetbeheer
• Sterke authenticatie
• Cryptografiebeleid
• Effectiviteitsmeting

Risicobeheer

De basis van de zorgplicht is een gestructureerde risicoanalyse: welke risico's lopen uw netwerk- en informatiesystemen, en waar wegen die het zwaarst? De wet vraagt een onderbouwd beleid voor risicoanalyse en de beveiliging van informatiesystemen, zodat maatregelen daar worden ingezet waar ze het meeste effect hebben — niet overal even zwaar, maar gericht op de grootste risico's. Wie al werkt met een gedocumenteerde risicobeoordeling, zoals die onder ISO 27001 verplicht is, heeft dit fundament al liggen.

Incidentafhandeling

Een incident response plan beschrijft hoe uw organisatie een cyberincident detecteert, beoordeelt en gecoördineerd afhandelt: wie doet wat, in welke volgorde, en met welk mandaat. Dit is ook de maatregel waar de wettelijke meldsnelheid om de hoek komt kijken — zodra een incident significant genoeg is, telt de klok. Voor de specifieke termijnen en meldkanalen, zie incidentafhandeling en de meldplicht.

Bedrijfscontinuïteit

Zorgplicht vraagt ook voorbereiding op uitval: goed back-upbeheer en een uitgewerkt herstelplan, zodat uw organisatie na een verstoring — door een cyberaanval, een technisch defect of iets anders — snel weer operationeel is. Het gaat niet alleen om het maken van back-ups, maar om aantoonbaar geteste hersteltijden.

Leveranciersbeveiliging

Uw eigen beveiliging is zo sterk als de zwakste schakel in uw toeleveringsketen. De wet vraagt dat u in kaart brengt welke directe leveranciers en dienstverleners een digitaal of fysiek risico voor uw systemen vormen, en dat u daar proportionele eisen aan stelt — niet elke leverancier hoeft aan dezelfde norm te voldoen, maar wel aan eisen die passen bij het risico dat die specifieke leverancier met zich meebrengt. In de praktijk wordt dit vaak vastgelegd in service level agreements. Het NCSC werkt dit verder uit op zijn pagina over de wet en toeleveranciers.

Cyberhygiëne en bewustwording

De meeste incidenten beginnen niet bij geavanceerde techniek, maar bij menselijk gedrag: een phishingmail die wordt geopend, een zwak wachtwoord, een onbeheerde laptop. Zorgplicht vraagt basale cyberhygiëne én structurele bewustwording en training van medewerkers, zodat veilig digitaal gedrag de norm wordt in plaats van een uitzondering.

Netwerk- en systeembeveiliging

Systemen moeten veilig worden aangeschaft, ontwikkeld en onderhouden, met werkende procedures voor patchmanagement en beveiligingsinstellingen. Een kwetsbaarheid die maandenlang ongepatcht blijft staan, is precies het soort gat dat deze maatregel moet dichten — niet met een eenmalige actie, maar met een doorlopend proces.

Personeels-, toegangs- en assetbeheer

Wie heeft toegang tot wat, en waarom? Deze maatregel combineert personeelsscreening, toegangsbeheer op basis van functie en een actueel overzicht van alle assets — apparatuur, systemen, accounts — binnen de organisatie. Zonder een actuele asset-inventaris weet u simpelweg niet precies wat u moet beveiligen.

Sterke authenticatie

Multifactorauthenticatie — bij voorkeur met passkeys — is met name relevant voor accounts die vanaf internet bereikbaar zijn en voor bevoorrechte (admin-)accounts. Daarnaast vraagt de wet beveiligde verbindingen, zoals een VPN, voor toegang op afstand. Eén wachtwoord, hoe sterk ook, voldoet hier niet meer aan.

Cryptografiebeleid

Versleuteling van gevoelige gegevens moet niet ad hoc worden toegepast, maar op basis van een vastgelegd beleid: welke standaarden worden gebruikt, hoe lang zijn sleutels, hoe worden ze beheerd, en hoe vaak wordt dat beleid herzien. Het NCSC noemt een periodieke — in de praktijk doorgaans jaarlijkse — toetsing als uitgangspunt.

Effectiviteitsmeting

De laatste maatregel is misschien wel de belangrijkste, en wordt het vaakst over het hoofd gezien: periodiek toetsen of de bovenstaande negen maatregelen daadwerkelijk werken. Dat vraagt een vastgelegd beleid over hoe vaak wordt getest, wie daarvoor verantwoordelijk is, en wat er met de uitkomsten gebeurt. Een maatregel die op papier bestaat maar nooit is getest, is voor een toezichthouder niet aantoonbaar effectief — en dat is precies het onderwerp van de volgende twee paragrafen.

Hoeveel dekt een bestaand ISO 27001-ISMS al?

Wie al een ISMS heeft, ligt ver voor. Organisaties die al een ISO 27001-ISMS hebben opgebouwd, herkennen het grootste deel van de tien maatregelen direct: een gedocumenteerde risicobeoordeling en -behandeling, een incidentmanagementproces, bedrijfscontinuïteitsplanning, leveranciersbeheer, bewustwordingstraining, toegangs- en assetbeheer, sterke authenticatie en een cryptografiebeleid maken al standaard onderdeel uit van een werkend ISMS. Ook de tiende maatregel — effectiviteitsmeting — heeft in ISO 27001 een directe tegenhanger: de meet-, monitoring-, interne-audit- en directiebeoordelingscyclus.

Wat een ISO 27001-certificering niet automatisch meebrengt, is een aantal wet-specifieke verplichtingen die los staan van de norm zelf: de registratieplicht bij mijn.ncsc.nl, de exacte 24-uurs meldsnelheid richting de juiste toezichthouder, en aantoonbare bestuurlijke goedkeuring van de zorgplicht-maatregelen zoals de wet die eist. Dat zijn geen inhoudelijke hiaten in de norm — ISO 27001 is niet met deze specifieke wet in gedachten ontworpen — maar ze vragen wel om gerichte, aanvullende aandacht bovenop een bestaand ISMS.

Kortom: een ISO 27001-ISMS is een uitstekend fundament, maar geen automatische garantie dat aan de volledige zorgplicht wordt voldaan. Het verschil zit niet in ontbrekende beveiliging, maar in een aantal wet-specifieke, formele verplichtingen die apart moeten worden ingevuld.

Wat betekent "aantoonbaar" hier concreet?

Toezichthouders — voor de meeste sectoren de Rijksinspectie Digitale Infrastructuur (RDI), voor een aantal specifieke sectoren het NCSC — toetsen niet op basis van een beleidsdocument alleen. Aantoonbaarheid betekent dat u kunt laten zien dat een maatregel daadwerkelijk functioneert: logbestanden, testresultaten, trainingsregistraties, notulen van directiebesluiten, overzichten van opgevolgde kwetsbaarheden. Een beleidsstuk dat nooit is bijgewerkt of een procedure die nooit is getest, staat wel op papier, maar is in de praktijk niet aantoonbaar — en dat onderscheid is precies waar veel organisaties zich verkijken op wat zorgplicht vraagt.

Twee misvattingen komen daarbij het vaakst terug. De eerste is dat zorgplicht wordt behandeld als een documentatie-exercitie: een beleidsstuk schrijven en de zorgplicht als "afgerond" beschouwen, zonder dat de praktijk ooit is getoetst. De tweede is dat effectiviteitsmeting — maatregel tien — wordt gezien als een vanzelfsprekend onderdeel van de andere negen, in plaats van als een eigen, apart te bewijzen verplichting. Beide missen hetzelfde punt: de wet vraagt bewijs van werking, niet alleen bewijs van intentie.

Van maatregel naar bewijs

De meest efficiënte route is niet om voor de Cyberbeveiligingswet vanaf nul te beginnen, maar om uw bestaande maatregelen — ISO 27001 of niet — expliciet te koppelen aan elk van de tien maatregelen hierboven. Wie dat overslaat, loopt het risico dubbel werk te doen: een nieuw zorgplicht-dossier optuigen naast een ISMS dat een groot deel van hetzelfde al dekt, zonder dat de twee ooit met elkaar zijn vergeleken.

Praktisch betekent dat: leg per maatregel vast welk bestaand proces, document of systeem al bewijs oplevert, en waar dat bewijs nog ontbreekt. Denk aan risicobeoordelingen met dagtekening, een incident response plan met een geteste doorlooptijd, hersteltests van back-ups, leveranciersoverzichten met risicoclassificatie, trainingsregistraties met deelnemerslijsten, patchlogs, een actuele asset-inventaris, MFA-configuraties, een cryptografiebeleid met revisiedatum, en een testschema voor de effectiviteitsmeting zelf.

Zodra die koppeling is gemaakt, wordt ook meteen duidelijk waar de echte hiaten zitten — vaak een kleiner aantal dan verwacht, maar wel de punten die bij een toetsing het eerst worden opgemerkt. Laat een gap-analyse tegen deze tien maatregelen uitvoeren voor een gestructureerd overzicht, inclusief een routekaart voor wat nog moet worden ingevuld.

NCSC — zorgplicht Cyberbeveiligingswet (officiële bron).