De Cyberbeveiligingswet raakt je ook als je er niet onder valt

Er komt een mail binnen van je grootste klant. Een ziekenhuis, een netbeheerder, een vervoerder of een grote gemeente. In de bijlage zit een vragenlijst over digitale veiligheid.

Wie heeft toegang tot welke systemen. Hoe worden accounts beveiligd. Wat gebeurt er bij een storing. Bij wie kunnen we terecht als er iets aan de hand is.

Dat is overigens geen wantrouwen maar wetgeving. Die klant moet dit namelijk zelf kunnen aantonen en jij bent onderdeel van zijn keten.

Waar die vragenlijst vandaan komt

Sinds 15 augustus 2026 geldt in Nederland de Cyberbeveiligingswet, de Nederlandse uitwerking van de Europese NIS2-regels. De wet geldt voor organisaties in sectoren die als kritiek worden gezien, zoals energie, drinkwater, zorg, vervoer en digitale infrastructuur.

Wat de wet van die organisaties vraagt, komt neer op drie dingen. Ze moeten hun digitale risico's in kaart brengen en daar passende maatregelen op nemen. Ze moeten ernstige incidenten melden bij de toezichthouder. En ze moeten zich registreren, zodat bekend is welke organisaties onder de wet vallen.

Belangrijk detail: het bestuur is daar zelf verantwoordelijk voor. Dit is dus niet iets dat bij de IT-afdeling wordt neergelegd en waar verder niemand naar omkijkt.

Bij het in kaart brengen van die risico's hoort nadrukkelijk ook de keten. Een organisatie is immers net zo afhankelijk van de partijen die aan haar leveren. Daar komt die vragenlijst vandaan.

Val ik hier zelf onder?

Waarschijnlijk niet. De wet richt zich op middelgrote en grote organisaties in aangewezen sectoren. Een installatiebedrijf, een groothandel of een accountantskantoor valt daar in de regel niet onder.

De overheid heeft een online regelhulp waarmee je in een paar minuten kunt nagaan of jouw organisatie eronder valt. Dat is de eerste stap: eerst weten waar je staat, dan pas iets regelen.

Val je er niet onder, dan is er geen verplichting. Wel de praktische werkelijkheid dat je klanten er vragen over gaan stellen.

Wat wordt er gevraagd over telefonie?

Telefonie lijkt op het eerste gezicht geen onderwerp voor zo'n vragenlijst. Toch komt het er bijna altijd in terug, omdat je telefoniesysteem tegenwoordig gewoon software is die verbonden is met je andere systemen.

De vragen die je kunt verwachten:

• Wie heeft toegang tot de beheeromgeving van je telefonie, en hoe is die toegang beveiligd?

• Wat gebeurt er met accounts van medewerkers die uit dienst gaan?

• Worden gesprekken opgenomen of samengevat, en waar wordt dat opgeslagen?

• Wie kan bij die gegevens en hoe lang worden ze bewaard?

• Wat is de afspraak als er een storing is en wie neemt dan contact op?

• Loopt je telefonie via een partij die zelf onder de wet valt?

Een technisch installatiebedrijf uit Oss werkt veel voor zorginstellingen. Toen daar de eerste vragenlijst binnenkwam, kostte het invullen bijna een week, vooral omdat niemand precies wist wie er allemaal toegang had tot welk systeem. Bij de tweede vragenlijst, twee maanden later, was het een halfuur werk. Er was weinig veranderd, behalve dat het uitzoekwerk al gedaan was.

Wat kun je nu al regelen?

Het meeste valt onder administratie. Zorg dat je weet welke systemen je gebruikt en wie er toegang toe heeft. Ruim accounts op van mensen die weg zijn. Zet aan dat inloggen op je belangrijkste systemen een tweede stap vereist, bijvoorbeeld een code op je telefoon. Leg vast bij wie je moet zijn als er iets uitvalt.

Dat zijn geen grote investeringen. Het is vooral een keer opschrijven wat er is.

En als je het antwoord niet weet?

Dan is dat een vraag voor je leverancier. Een partij die je telefonie beheert hoort te kunnen vertellen wie er toegang heeft, hoe het beheer is ingericht en wat de afspraak is bij een storing.

Kan of wil iemand dat niet vertellen, dan weet je meteen iets.

Wat is NIS2 precies?

NIS2 is de Europese richtlijn over digitale weerbaarheid. Elke lidstaat zet die om in eigen wetgeving. In Nederland heet die wet de Cyberbeveiligingswet.

Wat heeft telefonie te maken met digitale veiligheid?

Je telefonie draait tegenwoordig als software en is gekoppeld aan je andere systemen. Wie toegang heeft tot die omgeving, kan bij gespreksgegevens en instellingen. Daarom staat het in vrijwel elke vragenlijst.

Moet ik nu meteen iets doen?

Er is voor de meeste bedrijven geen verplichting en geen deadline. Wel is het handig om het uitzoekwerk gedaan te hebben voordat de eerste vragenlijst binnenkomt. Dat scheelt je een week improviseren.

Hoe Belise erin staat

Wij lopen dit soort vragenlijsten met klanten door voor het deel dat over communicatie gaat. Wij gaan over het telefoniedeel en kunnen precies laten zien hoe het bij jou is ingericht.

Wie toegang heeft tot de beheeromgeving, wat er gebeurt als iemand uit dienst gaat, en bij wie je terechtkomt als er iets uitvalt. Dat zijn vragen waar je gewoon antwoord op hoort te krijgen.

Vragenlijst binnengekregen?

Loop de vragen over communicatie een keer met ons door. Dan weet je wat je invult en waarom, in plaats van dat je iets aanvinkt waarvan je hoopt dat het klopt.