Op 7 april 2026 stemde de Tweede Kamer in met de Cyberbeveiligingswet — de Nederlandse uitwerking van de Europese NIS2-richtlijn. De wet treedt op 1 juli 2026 in werking en legt zorgplichten, meldplichten en bestuurdersaansprakelijkheid op aan duizenden Nederlandse bedrijven. Niet alleen grote corporates: ook middelgrote MKB-bedrijven in aangewezen sectoren vallen eronder, en via de supply chain raken ook kleinere toeleveranciers de gevolgen.
Tegelijkertijd is cyberrisico voor het Nederlandse MKB groter dan ooit. Twee op de drie cyberaanvallen richten zich op het MKB — terwijl slechts één op de acht MKB-bedrijven voldoende beveiligd is. Ransomware, datalekken en phishing zijn geen abstracte dreigingen: ze kosten MKB-bedrijven gemiddeld tienduizenden euro’s per incident. De combinatie van nieuwe wettelijke verplichtingen en escalerende dreigingen maakt 2026 het jaar waarin cyberverzekering voor MKB-bestuurders van optie naar noodzaak is geworden.
Voor wie geldt de Cyberbeveiligingswet?
De Cyberbeveiligingswet (Cbw) onderscheidt twee categorieën entiteiten: ‘essentiële’ en ‘belangrijke’ entiteiten. Essentiële entiteiten zijn de zwaarst gereguleerde groep — denk aan energiebedrijven, drinkwaterbedrijven, grote banken en kritieke digitale infrastructuur. Belangrijke entiteiten zijn iets lichter gereguleerd, maar vallen wel degelijk onder de wet.
De vuistregel voor wie eronder valt: je bedrijf opereert in een van de 18 aangewezen sectoren (energie, transport, gezondheidszorg, digitale infrastructuur, productie van medische hulpmiddelen, voedselproductie, chemie, afvalwater en meer) én heeft minimaal 50 medewerkers of een jaaromzet van minimaal €10 miljoen. Kleine ondernemingen — minder dan 50 medewerkers én minder dan €10 miljoen omzet — zijn formeel vrijgesteld, tenzij de toezichthouder besluit dat hun dienstverlening van cruciaal nationaal belang is en ze alsnog aanwijst.
Maar vrijstelling van de wet betekent niet vrijstelling van risico. Via de supply chain-verplichting worden ook vrijgestelde toeleveranciers indirect geraakt: als jij levert aan een bedrijf dat wél onder de Cbw valt, kan die klant contractueel eisen dat jij voldoet aan bepaalde beveiligingsstandaarden. Meer informatie over de exacte drempelwaarden vind je op Ondernemersplein.overheid.nl.
Wat verplicht de Cyberbeveiligingswet van MKB-bestuurders?
De Cbw legt vier concrete verplichtingen op aan MKB-bestuurders in aangewezen sectoren:
- Zorgplicht: Je moet aantoonbaar passende technische en organisatorische maatregelen treffen om cyberrisico’s te beheersen. Wat ‘passend’ is, hangt af van je sector en risicoprofiel — maar MFA (multi-factor authenticatie), getest back-upbeleid, patchmanagement en een incidentresponsplan worden door toezichthouders als minimumvereisten gezien.
- Meldplicht: Ernstige cyberincidenten moeten binnen 24 uur worden gemeld bij het NCSC of de sectorale autoriteit. Binnen 72 uur volgt een uitgebreider incidentrapport. Aarzel je te melden? Boetes voor niet-naleving lopen op tot €10 miljoen of 2% van de wereldwijde jaaromzet.
- Trainingsplicht: Het bestuur moet aantoonbaar kennis hebben van cyberrisico’s en het cyberbeveiligingsbeleid van de eigen organisatie. Bewust onwetend zijn als bestuurder is juridisch geen excuus meer.
- Persoonlijke bestuurdersaansprakelijkheid: Dit is de meest vergaande nieuwigheid. Bij grove nalatigheid kunnen bestuurders persoonlijk aansprakelijk worden gesteld — niet alleen het bedrijf, maar jij als individu. Toezichthouders krijgen de bevoegdheid om bestuurders te schorsen als de naleving aantoonbaar tekortschiet.
Het NCSC (Nationaal Cyber Security Centrum) biedt leidraden en praktische hulpmiddelen om te bepalen welke maatregelen in jouw sector ‘passend’ zijn.
Cyberverzekering en NIS2: geen verplichting, wel logisch
Een cyberverzekering is geen expliciet vereiste van de Cyberbeveiligingswet. Maar ze past om twee redenen perfect in een NIS2-compliante bedrijfsstrategie.
Ten eerste dekt een goede cyberpolis precies de schadeposten die een cyberincident veroorzaakt: herstelkosten voor IT-systemen, meldingskosten richting Autoriteit Persoonsgegevens, juridische bijstand, crisismanagement, omzetverlies door bedrijfsonderbreking en aansprakelijkheidsclaims van derden bij een datalek. Dat zijn kosten die ook een NIS2-plichtig bedrijf maakt als er iets misgaat — ongeacht hoe goed de preventie was.
Ten tweede kijken verzekeraars steeds vaker actief naar NIS2-compliance bij het accepteren van een polis. Bedrijven die kunnen aantonen dat ze NIS2-maatregelen hebben ingevoerd — MFA, getest back-upsysteem, documentatie van incidenten, aantoonbare bestuurstraining — krijgen van aanbieders als Allianz, Hiscox en Markel Cyber 360 gemiddeld 10% tot 20% premiekorting en minder uitsluitingen. NIS2-compliance betaalt zich dus letterlijk terug via de verzekeringsmarkt.
Meer over de wisselwerking tussen compliance en verzekeringen lees je in ons dossier Cyberverzekering & Dataverlies.
Wat dekt een NIS2-geschikte cyberverzekering voor MKB?
Niet elke cyberpolis is geschikt als aanvulling op een NIS2-strategie. Dit zijn de dekkingselementen die voor MKB-bedrijven die onder de Cbw vallen het meest relevant zijn:
| Dekkingselement | Waarom relevant bij NIS2 |
|---|---|
| Meldingskosten (AVG/Cbw) | Meldplicht binnen 24/72 uur brengt directe kosten mee |
| Forensisch onderzoek | Toezichthouder kan bewijs van incident eisen |
| Crisismanagement & PR | Reputatieschade na verplichte melding is reëel |
| Aansprakelijkheid derden (datalek) | Klanten of leveranciers kunnen schadeclaims indienen |
| Bedrijfsonderbreking | Omzetverlies tijdens herstelperiode |
| D&O-uitbreiding (bestuurdersaansprakelijkheid) | Persoonlijke aansprakelijkheid bestuurder bij grove nalatigheid |
| Crisishotline 24/7 | Snelle respons = minder schade en betere compliance aantoonbaarheid |
Let in het bijzonder op de D&O-uitbreiding (Directors & Officers). Standaard cyberverzekeringen dekken de bedrijfsschade, maar niet de persoonlijke aansprakelijkheid van bestuurders. Zeker nu de Cbw die persoonlijke aansprakelijkheid nadrukkelijk invoert, is het verstandig te controleren of je D&O-polis en cyberpolis op elkaar aansluiten — of een gecombineerde dekking te overwegen. Meer over zakelijke aansprakelijkheid vind je in ons Zakelijke Aansprakelijkheid-dossier.
Premies in 2026: wat betaal je als NIS2-plichtig MKB?
Cyberverzekeringspremies zijn de afgelopen twee jaar gestabiliseerd na de piekstijgingen van 2022-2023. In 2026 zijn de richtprijzen voor MKB-bedrijven die onder NIS2 vallen als volgt:
- Klein MKB (10-50 medewerkers, omzet €2-10 miljoen): €800 tot €3.500 per jaar voor een basisdekking van €250.000. Sectoren als gezondheidszorg of financiële dienstverlening betalen 20% tot 40% meer dan productie of retail.
- Middelgroot MKB (50-250 medewerkers, omzet €10-50 miljoen): €3.500 tot €12.000 per jaar voor een dekking van €500.000 tot €1 miljoen. De premie schommelt sterk afhankelijk van beveiligingsvolwassenheid.
- Premium-korting bij NIS2-compliantie: Bedrijven die een erkend beveiligingskader kunnen aantonen (ISO 27001, CyFun-certificaat of gelijkwaardig) krijgen bij diverse aanbieders 10% tot 20% premiekorting en ruimere polisvoorwaarden.
Premies beginnen al vanaf €500 per jaar voor kleine bedrijven die minder risicovol zijn, maar voor een NIS2-plichtig MKB in een hogere risicocategorie is €2.000 tot €5.000 per jaar realistischer. Vraag altijd meerdere offertes op — de spreiding tussen aanbieders kan oplopen tot 40% voor vergelijkbare dekking.
Minimale beveiligingseisen om een polis te krijgen
Verzekeraars hanteren in 2026 strengere acceptatiecriteria dan drie jaar geleden. Dit zijn de maatregelen die je verplicht op orde moet hebben voordat je überhaupt een offerte krijgt van de meeste marktpartijen:
- Multi-factor authenticatie (MFA) op alle e-mail-, cloud- en VPN-accounts — zonder uitzondering.
- Getest back-upplan: Off-site of offline back-ups die aantoonbaar werken. ‘We maken back-ups’ is niet genoeg; je moet de restore hebben getest.
- Actueel patchbeleid: Kritieke beveiligingsupdates moeten binnen 72 uur worden uitgerold op publiek bereikbare systemen.
- Endpoint Detection & Response (EDR): Steeds meer verzekeraars eisen actieve dreigingsdetectie op alle werkstations en servers.
- Documentatie van incidenten: Een logboek van beveiligingsincidenten van de afgelopen twee jaar. Wie niets logt, heeft niets te bewijzen — en dat telt zwaar mee bij claimbeoordeling.
Heb je deze basismaatregelen nog niet op orde? Dan is de eerste stap geen verzekering sluiten, maar de beveiliging versterken. Pas daarna heeft een cyberpolis maximale waarde — en krijg je een eerlijke premie aangeboden.
Stappenplan voor MKB-bestuurders in 2026
De combinatie van NIS2-verplichtingen en cyberrisico vraagt om een gestructureerde aanpak. Dit zijn de concrete stappen die je als bestuurder vóór 1 juli 2026 moet hebben gezet — of direct daarna als je al over de deadline heen bent:
- Check of je onder de Cbw valt via de Ondernemersplein-tool. Val je in een aangewezen sector met ≥50 medewerkers of ≥€10M omzet? Dan ben je ‘belangrijke entiteit’ en moet je handelen.
- Voer een risicoanalyse uit op je kritieke systemen, processen en leveranciersketen. Documenteer dit — de toezichthouder kan er om vragen.
- Implementeer de basishygiëne die zowel NIS2 als verzekeraars vereisen: MFA, back-ups, patches, EDR, incidentlogging.
- Zorg voor bestuurstraining zodat je als directeur aantoonbaar kennis hebt van cyberrisico’s en het beveiligingsbeleid van je eigen organisatie. Dat is letterlijk een wettelijke verplichting.
- Sluit een passende cyberverzekering af die dekking biedt voor meldingskosten, aansprakelijkheid derden, bedrijfsonderbreking en crisismanagement. Overweeg een D&O-module voor de persoonlijke bestuurdersaansprakelijkheid.
- Test je incidentresponsplan minstens eenmaal per jaar. Een theoretisch plan dat nooit geoefend is, heeft weinig waarde in een echte crisis.
Als bestuurder van een MKB-bedrijf in een aangewezen sector is 2026 het jaar om cyberveiligheid definitief van IT-agenda naar bestuurstafel te verplaatsen. De Cyberbeveiligingswet maakt jou persoonlijk verantwoordelijk, de markt beloont wie orde op zaken stelt met lagere premies, en de schade van een onverzekerd cyberincident kan een gezond bedrijf in ernstige problemen brengen. De investering in basisbeveiliging én een passende verzekering is geen kostenpost meer — het is een strategische noodzaak.
Veelgestelde vragen
Val ik als MKB’er met 30 medewerkers automatisch onder NIS2?
Nee, niet automatisch. De Cyberbeveiligingswet geldt in principe voor bedrijven met 50 of meer medewerkers én een jaaromzet van minimaal €10 miljoen, die actief zijn in een van de 18 aangewezen sectoren (zoals energie, transport, gezondheidszorg of digitale infrastructuur). Kleinere bedrijven zijn formeel vrijgesteld, tenzij de toezichthouder na een risicobeoordeling besluit je alsnog aan te wijzen. Via de supply chain kun je als kleine leverancier van een NIS2-plichtig bedrijf wél indirect verplichtingen krijgen opgelegd.
Wat riskeert een bestuurder persoonlijk als zijn bedrijf de Cyberbeveiligingswet niet naleeft?
Bij grove nalatigheid kan een bestuurder persoonlijk aansprakelijk worden gesteld voor de gevolgen van een cyberincident. De toezichthouder heeft bovendien de bevoegdheid om bestuurders tijdelijk te schorsen als de naleving structureel tekortschiet. Boetes voor de organisatie lopen op tot €10 miljoen of 2% van de wereldwijde jaaromzet. Een D&O-verzekering (bestuurdersaansprakelijkheid) kan de persoonlijke financiële risico’s voor bestuurders afdekken, maar dekt geen opzettelijk wangedrag.
Welke minimale beveiligingsmaatregelen eisen verzekeraars in 2026?
De meeste verzekeraars vereisen in 2026 minimaal: multi-factor authenticatie op alle accounts, aantoonbaar geteste back-ups (offline of off-site), een actueel patchbeleid voor kritieke systemen, endpoint detectie-software (EDR) op werkstations en servers, en documentatie van beveiligingsincidenten. Bedrijven die deze basismaatregelen niet hebben getroffen, worden geweigerd of betalen een sterk verhoogde premie met veel uitsluitingen.
Wat kost een cyberverzekering voor een NIS2-plichtig MKB-bedrijf?
Voor een klein MKB-bedrijf (10-50 medewerkers) begint de premie vanaf ongeveer €800 per jaar voor een basisdekking van €250.000. Middelgrote bedrijven met 50-250 medewerkers betalen doorgaans €3.500 tot €12.000 per jaar afhankelijk van sector, omzet en beveiligingsvolwassenheid. Bedrijven die een erkend beveiligingskader aantonen (zoals ISO 27001) krijgen van de meeste aanbieders 10% tot 20% premiekorting.
Is een cyberverzekering verplicht door de Cyberbeveiligingswet?
Nee, de Cyberbeveiligingswet verplicht geen cyberverzekering. De wet eist passende beveiligingsmaatregelen, een meldplicht bij incidenten en aantoonbare bestuursbetrokkenheid bij cyberveiligheid. Een cyberverzekering is geen wettelijk vereiste, maar is wel een logisch onderdeel van een NIS2-compliante risicostrategie: ze dekt de financiële gevolgen als een incident ondanks alle maatregelen toch optreedt.
Moet ik mijn cyberverzekering aanpassen nu NIS2 geldt?
Mogelijk wel. Controleer of je huidige polis de meldingskosten dekt die de Cyberbeveiligingswet met zich meebrengt (melden bij NCSC of sectorale autoriteit, melden bij Autoriteit Persoonsgegevens bij datalek met persoonsgegevens), en of de aansprakelijkheidsdekking richting derden voldoende hoog is. Vraag ook expliciet of de polis persoonlijke bestuurdersaansprakelijkheid dekt via een D&O-module, nu de Cbw bestuurders persoonlijk aansprakelijk kan stellen.
Tekst geoptimaliseerd in mei 2026.
