Werk je voor een grote organisatie? Dit kan de nieuwe cyberwet van je vragen

Werk je als zzp’er voor een gemeente, ziekenhuis, energiebedrijf, IT-dienstverlener of andere grote organisatie? Dan kun je vanaf 15 augustus 2026 extra vragen krijgen over de beveiliging van je laptop, accounts, software en klantgegevens.

Op die datum treedt de Cyberbeveiligingswet in werking. Deze wet is de Nederlandse uitwerking van de Europese NIS2-richtlijn. Voor de meeste zzp’ers geldt de wet niet rechtstreeks. Toch kan je opdrachtgever beveiligingseisen aan je stellen als jij toegang hebt tot belangrijke systemen, software, locaties of gegevens.

In dit artikel lees je wanneer NIS2 jou als zzp’er raakt, wat een opdrachtgever van je kan vragen en hoe je je praktisch voorbereidt.

1. Wat is de Cyberbeveiligingswet of NIS2?

De Cyberbeveiligingswet, afgekort als Cbw, is de Nederlandse uitwerking van de Europese NIS2-richtlijn. NIS2 staat voor Network and Information Security 2.

De wet moet organisaties die belangrijk zijn voor de samenleving en economie beter beschermen tegen cyberaanvallen, datalekken en digitale uitval. Vanaf 15 augustus 2026 moeten duizenden Nederlandse organisaties aan strengere regels voor digitale weerbaarheid voldoen.

Organisaties die onder de Cyberbeveiligingswet vallen, krijgen onder meer te maken met:

• een zorgplicht voor hun digitale beveiliging;
• een meldplicht bij ernstige cyberincidenten;
• een registratieplicht;
• verantwoordelijkheid voor cyberrisico’s bij rechtstreekse leveranciers en dienstverleners.

Vooral dat laatste onderdeel kan gevolgen hebben voor zelfstandigen die voor deze organisaties werken.

2. Geldt NIS2 voor zzp’ers?

Voor de meeste zzp’ers geldt de Cyberbeveiligingswet niet rechtstreeks. Of een bedrijf onder de wet valt, hangt onder meer af van de sector, het soort dienstverlening en de omvang van de organisatie.

De wet richt zich vooral op essentiële en belangrijke organisaties in sectoren zoals energie, vervoer, gezondheidszorg, digitale infrastructuur, overheid, onderzoek, afvalverwerking en bepaalde vormen van productie.

Daarnaast gelden meestal omvangscriteria. Denk aan organisaties met minimaal 50 medewerkers of een jaaromzet of balanstotaal van meer dan € 10 miljoen. Voor bepaalde organisaties en digitale diensten gelden uitzonderingen op deze omvangsgrenzen.

Twijfel je of jouw eigen onderneming rechtstreeks onder de wet valt? Gebruik dan de NIS2-Zelfevaluatie van de Rijksinspectie Digitale Infrastructuur. De uitkomst geeft een eerste indicatie, maar is geen juridisch besluit.

3. Wanneer word je als zzp’er indirect geraakt?

Organisaties die onder de Cyberbeveiligingswet vallen, moeten ook risico’s in hun toeleveringsketen beheersen. Dat betekent dat zij kijken welke leveranciers en dienstverleners een risico kunnen vormen voor hun netwerk- en informatiesystemen.

Een rechtstreekse leverancier is een ondernemer of organisatie waarmee de opdrachtgever zelf een contractuele relatie heeft. Werk je via een bureau of andere tussenpartij? Dan ben je niet altijd de rechtstreekse leverancier, maar kunnen beveiligingseisen alsnog aan jou worden doorgegeven.

De kans dat je extra eisen krijgt, is groter wanneer je:

Niet iedere leverancier krijgt dus automatisch dezelfde verplichtingen. Een opdrachtgever moet op basis van de werkelijke risico’s bepalen welke maatregelen passend zijn.

4. Wat kan een opdrachtgever van je vragen?

Je opdrachtgever kan beveiligingsafspraken opnemen in een contract, inkoopvoorwaarde, verwerkersovereenkomst of aparte leveranciersvragenlijst.

Je kunt bijvoorbeeld vragen krijgen over:

• sterke, unieke wachtwoorden en een wachtwoordmanager;
• meerstapsverificatie of passkeys voor belangrijke accounts;
• updates voor je laptop, telefoon en software;
• versleuteling van apparaten en vertrouwelijke bestanden;
• back-ups en herstel na verlies, storing of cyberaanval;
• toegang tot systemen en het intrekken daarvan na je opdracht;
• het gebruik van cloudsoftware, AI-tools en onderaannemers;
• het melden van een hack, datalek of ander beveiligingsincident;
• een beveiligingsscan, audit, beleidsdocument of certificering.

De eisen kunnen per opdracht sterk verschillen. Een zzp’er die een netwerk beheert, krijgt waarschijnlijk meer verplichtingen dan iemand die een eenmalige presentatie maakt zonder toegang tot interne systemen.

5. Hoe bereid je je als zzp’er voor op NIS2?

Je hoeft als kleine leverancier niet direct een uitgebreid beveiligingssysteem op te tuigen. Begin met de risico’s die bij jouw werk, apparaten en opdrachtgevers passen.

1. Breng je klanten, accounts en toegangen in kaart
Noteer bij welke opdrachtgevers je in systemen werkt, welke accounts je gebruikt en tot welke gegevens je toegang hebt. Verwijder accounts die je niet meer nodig hebt.

2. Beveilig je accounts
Gebruik voor ieder account een uniek wachtwoord en zet meerstapsverificatie of een passkey aan. Bewaar wachtwoorden in een betrouwbare wachtwoordmanager.

3. Houd je apparaten en software actueel
Installeer beveiligingsupdates op tijd. Beveilig je laptop en telefoon met een toegangscode en versleuteling. Gebruik geen software waarvoor geen veiligheidsupdates meer verschijnen.

4. Maak en test back-ups
Bewaar belangrijke bestanden niet alleen op je laptop. Controleer regelmatig of je back-ups kunt terugzetten en of vertrouwelijke gegevens ook in de back-up goed beschermd zijn.

5. Maak een eenvoudig incidentplan
Leg vast wat je doet als je laptop wordt gestolen, een account wordt gehackt of je gegevens naar de verkeerde persoon stuurt. Noteer ook wie je bij iedere opdrachtgever direct moet waarschuwen.

6. Beschrijf je beveiligingsmaatregelen
Maak een kort document waarin staat welke apparaten en software je gebruikt, hoe je accounts beveiligt, hoe je back-ups maakt en hoe je incidenten behandelt. Daarmee kun je vragen van opdrachtgevers sneller beantwoorden.

7. Bespreek eisen vóór de start van de opdracht
Vraag welke beveiligingsregels gelden voordat je een contract tekent. Zo weet je vooraf of je bijvoorbeeld een aparte laptop, beveiligde verbinding, training of certificering nodig hebt.

Met de Basisscan Cyberweerbaarheid van het NCSC controleer je welke basismaatregelen je al hebt genomen en waar verbetering nodig is.

6. Leg beveiliging vast in je contract en tarief

Cyberbeveiliging hoort bij professioneel ondernemerschap. Toch kunnen aanvullende eisen ook extra tijd en kosten veroorzaken. Denk aan een aparte laptop, beveiligingssoftware, trainingen, een audit, juridisch advies of uitgebreidere administratie.

Leg daarom vooraf vast:

• tot welke systemen, locaties en gegevens je toegang krijgt;
• welke beveiligingsmaatregelen jij moet nemen;
• wie accounts, apparatuur en software beschikbaar stelt;
• welke incidenten je moet melden en binnen welke termijn;
• welke controles of audits de opdrachtgever mag uitvoeren;
• wie waarvoor aansprakelijk is wanneer iets misgaat;
• wat er na afloop met accounts, bestanden en apparatuur gebeurt.

Worden tijdens een lopende opdracht nieuwe eisen toegevoegd? Bespreek dan ook wat dit betekent voor je planning, verantwoordelijkheden en tarief. Extra beveiligingswerk hoeft niet automatisch binnen je bestaande opdracht te vallen.

Maak digitale veiligheid onderdeel van je dienstverlening

De Cyberbeveiligingswet maakt niet iedere zzp’er rechtstreeks verantwoordelijk voor de cyberveiligheid van een grote opdrachtgever. Wel zullen organisaties vanaf 15 augustus 2026 kritischer kijken naar leveranciers die toegang hebben tot hun systemen, gegevens en belangrijke bedrijfsprocessen.

Heb je je basisbeveiliging op orde, maak je duidelijke afspraken en kun je uitleggen welke maatregelen je neemt? Dan verklein je niet alleen de kans op incidenten. Je laat ook zien dat je een professionele en betrouwbare samenwerkingspartner bent.

Veelgestelde vragen over NIS2 voor zzp’ers

Houd extra beveiligingskosten overzichtelijk

Maak je kosten voor beveiligingssoftware, een zakelijke laptop, training of extern advies? Neem die dan mee in je begroting en tarief.

Met Knab Zakelijk houd je zakelijke uitgaven en reserveringen overzichtelijk gescheiden van privé.

Je las zojuist een artikel uit de Knab Bieb. Dé online verzamelplek met honderden praktische artikelen over hoe je je geldzaken als zzp'er slim kunt regelen.