Op 15 augustus 2026 treden de Cyberbeveiligingswet en de Wet weerbaarheid kritieke entiteiten in werking. De Eerste Kamer nam beide op 7 juli 2026 aan. Daarmee is de Nederlandse omzetting van NIS2 een feit — en verschuift het gesprek van «wanneer komt het» naar «staat het in onze contracten».
Wie het raakt, en wat het vraagt
De Cyberbeveiligingswet geldt naar schatting voor zo'n 8.000 organisaties in achttien sectoren, verdeeld over essentiële en belangrijke entiteiten. De Wet weerbaarheid kritieke entiteiten wijst daarnaast ongeveer 500 organisaties aan als kritieke entiteit. De wet legt drie plichten op: registratie in het entiteitenregister, een zorgplicht en een meldplicht. Die meldplicht kent een strak ritme: een vroegtijdige waarschuwing binnen 24 uur, een melding binnen 72 uur en een eindrapport binnen een maand. Ook bestuurders zijn aan zet: zij moeten worden opgeleid, met een overgangstermijn van maximaal twee jaar.
De zorgplicht bestaat uit tien maatregelen. Voor wie leveranciers beheert is maatregel vier de belangrijkste: beveiliging van de toeleveringsketen. De overige negen — risicoanalyse en beveiligingsbeleid, incidentbehandeling, bedrijfscontinuïteit met back-up en herstel, beveiliging bij aanschaf en onderhoud van systemen, het beoordelen van de effectiviteit van maatregelen, cyberhygiëne en opleiding, cryptografie, personeels- en toegangsbeleid, en meerfactorauthenticatie — werken bijna allemaal door naar leveranciers zodra u diensten uitbesteedt.
De wet geldt niet voor uw leveranciers — en toch krijgen ze de eisen
Dit is het punt dat het vaakst verkeerd wordt begrepen. De Cyberbeveiligingswet is niet rechtstreeks van toepassing op uw toeleveranciers. Hij verplicht organisaties die er wél onder vallen om hun ketenrisico te beheersen, en dat gebeurt via contracten. Concreet moet een plichtige organisatie beoordelen welke rechtstreekse leveranciers een digitaal of fysiek risico vormen, met die leveranciers afspraken maken over beveiligingsmaatregelen en die afspraken vastleggen — in de praktijk in een SLA of een dossier afspraken en procedures — en helder communiceren welke maatregelen gelden. De aanpak moet risicogebaseerd zijn en rekening houden met de beveiligingspraktijk en ontwikkelprocedures van de leverancier zelf.
Het bereik is beperkt tot rechtstreekse leveranciers, niet tot de hele keten daarachter. Maar het praktische gevolg is groot: leveranciers die zelf buiten de wet vallen, krijgen de komende maanden lijsten met beveiligingseisen van hun klanten. Bent u zelf leverancier, dan is de vraag niet of die lijst komt, maar of u er een antwoord op hebt.
De boetes onder NIS2 zijn stevig. De richtlijn schrijft voor essentiële entiteiten een maximum voor van ten minste tien miljoen euro of ten minste 2% van de wereldwijde jaaromzet voor, en voor belangrijke entiteiten zeven miljoen euro of 1,4% — telkens het hoogste van beide. De precieze Nederlandse boetebedragen leest u in de wettekst zelf; laat dat door uw jurist toetsen.
DORA: de meest concrete contracteisen die er zijn
Werkt u in of voor de financiële sector, dan is DORA sinds 17 januari 2025 van toepassing en is de contractinhoud daar niet vrijblijvend. Artikel 30 schrijft voor wat er in elk ICT-contract moet staan: een duidelijke en volledige beschrijving van alle functies en diensten inclusief of onderaanneming is toegestaan, de regio's en landen waar de dienst wordt uitgevoerd en de data staat plus voorafgaande kennisgeving bij wijziging, bepalingen over beschikbaarheid, authenticiteit, integriteit en vertrouwelijkheid van data, toegang tot en teruggave van data in een makkelijk toegankelijk formaat bij beëindiging of insolventie, servicelevels, hulp bij incidenten zonder meerkosten of tegen een vooraf bepaalde prijs, medewerking aan toezichthouders, opzegrechten met minimale opzegtermijnen, en deelname aan bewustwordings- en weerbaarheidstraining.
Voor kritieke of belangrijke functies komt daar meer bij: kwantitatieve en kwalitatieve prestatiedoelen, rapportageplichten bij ontwikkelingen die de dienstverlening materieel raken, continuïteitsplannen, deelname aan dreigingsgestuurde penetratietests, onbeperkte audit-, toegangs- en inspectierechten voor de instelling én de toezichthouder, en exitstrategieën met verplichte transitieperiodes. Ook praktisch: het informatieregister over 2026 moest vóór 20 maart 2026 zijn ingediend, met 31 december 2025 als referentiedatum.
Ook als u niet onder DORA valt, is artikel 30 het beste gratis beschikbare checklistje voor een ICT-contract dat er bestaat.
Cyber Resilience Act: uw leveranciers gaan al melden
De Cyber Resilience Act trad op 10 december 2024 in werking. De meldplichten gelden vanaf 11 september 2026, de hoofdverplichtingen vanaf 11 december 2027. Vanaf september moeten fabrikanten actief misbruikte kwetsbaarheden en ernstige incidenten melden volgens hetzelfde ritme dat u zelf kent: een vroege waarschuwing binnen 24 uur, een volledige melding binnen 72 uur en een eindrapport binnen veertien dagen respectievelijk een maand. Vanaf december 2027 wordt CE-markering een inkoopvoorwaarde voor producten met digitale elementen, en daarmee een contractuele garantie die u kunt uitvragen.
Het praktische effect is dat uw softwareleveranciers vanaf september onder een meldregime vallen. Zorg dat uw contract u het recht geeft om die meldingen ook te ontvangen — anders meldt uw leverancier keurig aan de toezichthouder terwijl u het uit de krant moet vernemen.
Wat dit samen betekent voor uw contractparagraaf
Drie regimes, één paragraaf. Wat er minimaal in hoort: meldtermijnen die aansluiten op uw eigen 24-uursverplichting, audit- en inspectierechten, verplichte melding van en instemming met subverwerkers, transparantie over datalocaties en wijzigingen daarin, exitafspraken met transitieperiode en teruggave van data in bruikbaar formaat, eisen aan veilige ontwikkeling en onderhoud, afspraken over kwetsbaarhedenbeheer en patchtermijnen, en meerfactorauthenticatie en encryptie als harde eis.
Dat is geen exotische wenslijst meer — het is de nieuwe standaard. De vraag is alleen of het al in uw lopende contracten staat, en die vraag beantwoordt u niet met een beleidsstuk maar met een doorloop van uw portefeuille. Onze clausulecheck is daar precies op ingericht.