Op een regenachtige dinsdagochtend opent de oprichter van een installatiebedrijf met twaalf mensen tegelijk drie berichten: een e-mail van een leverancier met nieuwe bankgegevens , een AI-concept voor een aanbesteding en een bericht van de IT-dienstverlener over een urgente softwarepatch.
Daar speelt het ondernemersverhaal zich af. Cybersecurity is allang geen onderwerp meer voor de serverruimte. Het is een kwestie voor bestuur en eigenaar.
Wie is verantwoordelijk?
Rijksoverheid confirmed that the Tweede Kamer adopted the Cyberbeveiligingswet and the Wet weerbaarheid kritieke entiteiten on 15 April 2026. The Cyberbeveiligingswet implements the European NIS2 directive in Dutch law.
Government guidance already names the sectors likely to carry the load: energy, transport, banking, healthcare, drinking water, digital infrastructure, ICT service management, digital providers, postal and courier services, waste management, food, chemicals, research, and manufacturing. Certain micro and small digital service providers can also fall within the NIS2 frame.
Voor de meeste micro- en kleine ondernemingen is de praktische kwestie eenvoudiger dan de titel doet vermoeden. Zij nemen geen fulltime chief information security officer aan. De lastigere vraag is wie onder druk beslissingen kan nemen over toegangsrechten, leveranciers, betaalcontroles, AI-gebruik, logs, herstel en het informeren van klanten.
Die druk houdt niet op bij de juridische grens. Hij loopt via klantcontracten, aanbestedingen, verzekeraars, banken, ketenpartners en grotere opdrachtgevers die van kleinere leveranciers bewijs verlangen.
De kloof bij kleine bedrijven
CBS schetst een nuchter beeld. In 2024 meldde 1% van alle bedrijven een cyberincident met kosten als gevolg van een externe aanval. Nog eens 3% meldde zo’n incident zonder kosten.
In 2025 had 86% van de bedrijven met 250 of meer werknemers tien of meer van de twaalf onderzochte cybersecuritymaatregelen genomen. Bij bedrijven met 2 tot 10 werknemers was dat 13%.
In die kloof zitten veel kleinere leveranciers. Een ontwerpbureau, salarisadministratiekantoor, logistiek partner, installateur, adviseur of softwarebedrijf kan onderdeel zijn van de werkende keten van een grotere organisatie. Die grotere klant kan vragen om cyberregels, controles van leveranciers, antwoorden voor audits, incidentclausules en verzekeringsbewijs.
CBS meldde ook dat 19% van alle bedrijven tegen cyberincidenten was verzekerd. Verzekering helpt, maar vervangt geen beheersing. Na een incident moet een onderneming nog steeds kunnen aantonen dat zij tijdig handelde, het probleem goed afwikkelde en de administratie op orde hield.
Geld, contracten en bewijs
Ik lees cybergovernance allereerst via de geldstroom. DNB onderscheidt niet-bancaire fraude, waarbij het slachtoffer onder valse voorwendselen een betaling doet of goedkeurt, van bancaire fraude, waarbij een betaling plaatsvindt zonder toestemming van de rekeninghouder. CEO-fraude en factuurfraude vallen in de eerste groep.
Voor een klein bedrijf kan dat gaan om een per e-mail gewijzigd rekeningnummer van een leverancier, een gehaaste betaling in de vakantieperiode of een mailbox die er normaal uitziet totdat het geld verdwenen is.
Voor de oprichter van het installatiebedrijf zit de waarde in eenvoudige beheersing. Een regel voor gewijzigde betaalgegevens mag niet alleen op e-mail steunen. Iemand moet weten wie bankgegevens mag goedkeuren, wie in de boekhouding mag werken, wie na vertrek nog toegang heeft en welke leverancier klant- of personeelsgegevens bewaart.
Dezelfde vraag geldt na een incident. DNB stelt dat de tijd tussen het ontdekken en het misbruiken van softwarekwetsbaarheden is teruggelopen tot uren, en soms minuten. Rollen, contactlijsten, logs en beslisnotities krijgen daardoor directe ondernemingswaarde.
DNB licht toe dat DORA sinds 17 januari 2025 geldt voor de financiële sector. De verordening richt zich op ICT-risico, incidenten, testen, uitbestedingsrisico en het delen van cyberinformatie. Financiële instellingen moeten ook een informatieregister bijhouden voor contracten met ICT-dienstverleners.
De AFM zei op 11 juni 2026 dat DORA-gap-analyses van handelsplatforms vaak te algemeen waren. De toezichthouder wees op monitoring, toegangsbeheer, logging, noodwijzigingen en continuïteitsbeheer. Voor kleinere bedrijven buiten die sector is DORA vooral een patroon voor beheersing: beleid stelt weinig voor als niemand kan laten zien wat er is gebeurd.
AI hoort in hetzelfde gesprek
AI trekt dit onderwerp verder de directiekamer in. CBS meldde dat in 2025 33% van de bedrijven met 10 of meer werknemers een of meer gespecificeerde AI-technologieën gebruikte. Dat was 23% in 2024 en 14% in 2023. Het cijfer over 2025 is voorlopig.
De Rijksoverheid stelt dat de EU AI-verordening op 1 augustus 2024 in werking is getreden en stapsgewijs wordt ingevoerd. Bepaalde ongewenste AI-toepassingen zijn sinds februari 2025 verboden. De eisen voor hoogrisico-AI en de transparantieverplichtingen volgen vanaf 2 augustus 2026.
Voor een klein bedrijf is de eerste beheersvraag bescheiden. Welke AI-tools gebruiken medewerkers, welke gegevens voeren zij daarin in en wie controleert de uitkomst voordat die gevolgen heeft voor een klant, werknemer, contract, aanbesteding of betaling?
Een rustiger ritme aan de bestuurstafel
UWV verwacht dat het aantal ICT-banen tot en met 2028 met ongeveer 20.000 groeit, gedreven door digitalisering, cybersecurity en AI. Die arbeidsmarktprognose houdt het gesprek eerlijk. Veel kleine bedrijven lossen dit niet op door een senior specialist aan te nemen.
Een werkbaar ritme kan desondanks bescheiden zijn. Wijs één verantwoordelijke aan die rechtstreeks toegang heeft tot de oprichter of het bestuur. Geef die persoon voldoende mandaat om onveilige shortcuts te stoppen. Zet iedere maand dezelfde onderwerpen op de agenda: kritieke systemen, toegang van leveranciers, accounts van vertrokken medewerkers, controles op gewijzigde betaalgegevens, back-ups, AI-tools, incidentcontacten, het informeren van klanten en contractuele verplichtingen.
De CISO die opschuift naar de bestuurstafel is een bruikbaar symbool, maar voor de meeste Nederlandse mkb-bedrijven is dat niet het verhaal. Het verhaal is dat de bestuurstafel zelf digitaal is geworden. Geld, vertrouwen, personeelsgegevens, klantdossiers, leveranciersportalen, AI-tools en fiscale administratie bevinden zich nu in dezelfde bedrijfsruimte. Iemand moet daarvoor verantwoordelijk zijn voordat de verkeerde e-mail, inlog of storing morgenochtend de zakelijke beslissing dicteert.
Zoek je een praktische eigenaar, checklist en maandritme dat bij jouw bedrijf past? Wij helpen je op weg
De data, bronnen en analyse achter dit artikel zijn uitgevoerd door Paolo Maria Pavan. AI is niet gebruikt om bronnen te identificeren, de feitelijke basis op te bouwen of het analytische oordeel in dit artikel te vormen. AI is alleen gebruikt als hulpmiddel bij het opstellen. De definitieve Nederlandse tekst is persoonlijk nagekeken, geredigeerd en goedgekeurd door Paolo Maria Pavan voor publicatie.
Bronnen
- Chief Information Security Officer wordt steeds belangrijker binnen bestuur
- Overheid.nl Wetgevingskalender - Cyberbeveiligingswet and NIS2 legislative status
- Rijksoverheid - Rijksoverheid warning not to wait for Cyberbeveiligingswet
- Ondernemersplein, Overheid.nl - NIS2 reach into sectors, suppliers, and smaller firms
- CBS - Company cybersecurity incidents and control maturity
- CBS - AI and digital work are now normal business infrastructure
- DNB - Cyber and AI as financial-stability and third-party risk
- DNB - DORA as a practical model for ICT risk governance
