Cyberincident in het mkb: welke meldplichten gelden onder de Cyberbeveiligingswet en de AVG?

Gepubliceerd op 7 november 2025 · Laatst bijgewerkt op 13 oktober 2026

Valt uw mkb-bedrijf onder de Cyberbeveiligingswet, dan meldt u een significant incident binnen 24 uur met een vroegtijdige waarschuwing bij het CSIRT, binnen 72 uur met een incidentmelding en binnen een maand met een eindverslag. Los daarvan meldt elke organisatie een datalek met persoonsgegevens binnen 72 uur bij de Autoriteit Persoonsgegevens, tenzij het lek waarschijnlijk geen risico oplevert voor de betrokkenen (artikel 33 AVG).

De Cyberbeveiligingswet, de Nederlandse uitvoering van de Europese NIS2-richtlijn (Richtlijn (EU) 2022/2555), geldt sinds 15 augustus 2026. Mkb-bedrijven vallen er alleen onder als zij middelgroot zijn en in een aangewezen sector werken, of als zij een dienst leveren die ongeacht omvang onder de wet valt.

Valt uw bedrijf onder de Cyberbeveiligingswet?

Dat hangt af van sector en omvang. In de regel valt u eronder als u in een aangewezen sector werkt en ten minste 50 werknemers heeft, of een jaaromzet en balanstotaal van meer dan 10 miljoen euro.

• Sectoren met een hoge kritikaliteit, zoals energie, vervoer, bankwezen, gezondheidszorg, drinkwater, digitale infrastructuur en beheer van ICT-diensten.
• Andere kritieke sectoren, zoals post- en koeriersdiensten, afvalbeheer, chemie, levensmiddelen, de maakindustrie en digitale aanbieders als onlinemarktplaatsen en zoekmachines.
• Ongeacht omvang vallen onder meer aanbieders van DNS-diensten, registers voor topleveldomeinen, verleners van vertrouwensdiensten en aanbieders van openbare elektronische communicatie eronder.

De wet onderscheidt essentiële en belangrijke entiteiten. Beide hebben een zorgplicht en meldplicht; het verschil zit vooral in het toezicht en de hoogte van de boetes. Een onderneming die onder de wet valt, moet zich registreren. Bij welke instantie dat is en welke toezichthouder voor uw sector bevoegd is, hangt af van de sector; controleer dat bij de start van uw beoordeling.

Wat houdt de zorgplicht in?

U moet passende technische en organisatorische maatregelen nemen om de risico’s voor uw netwerk- en informatiesystemen te beheersen (artikel 21 NIS2). De bestuurders moeten die maatregelen goedkeuren, op de uitvoering toezien en een opleiding volgen (artikel 20 NIS2).

• risicoanalyse en beveiligingsbeleid;
• incidentbehandeling, back-ups en bedrijfscontinuïteit;
• beveiliging van de toeleveringsketen, ook van uw ICT-leveranciers;
• meervoudige authenticatie, versleuteling en training van personeel.

Hoe meldt u een significant incident?

Een incident is significant als het een ernstige verstoring van uw dienst of financiële verliezen veroorzaakt of kan veroorzaken, of aanzienlijke schade bij anderen. Dan geldt een melding in drie stappen (artikel 23 NIS2).

1. Vroegtijdige waarschuwing binnen 24 uur nadat u van het incident op de hoogte bent: is er een vermoeden van een kwaadwillige handeling en kan het incident grensoverschrijdende gevolgen hebben?
2. Incidentmelding binnen 72 uur: een eerste beoordeling van ernst, gevolgen en, waar beschikbaar, aanwijzingen van de aanval.
3. Eindverslag binnen een maand na de incidentmelding: een gedetailleerde beschrijving, de vermoedelijke oorzaak en de genomen maatregelen. Loopt het incident dan nog, dan volgt eerst een voortgangsverslag.

U meldt bij het CSIRT dat voor uw sector is aangewezen, zoals het Nationaal Cyber Security Centrum (NCSC). Ook moet u zo nodig de afnemers van uw diensten informeren als het incident hun dienstverlening kan raken. Bijna-incidenten mag u vrijwillig melden; dat is geen plicht.

Wanneer meldt u een datalek bij de Autoriteit Persoonsgegevens?

Bij elk beveiligingsincident waarbij persoonsgegevens zijn gelekt, vernietigd of onbevoegd ingezien, tenzij het waarschijnlijk geen risico voor de betrokkenen oplevert. De termijn is 72 uur nadat u ervan kennis heeft genomen (artikel 33 AVG).

Is het risico hoog, bijvoorbeeld bij gestolen identiteitsbewijzen, financiële of medische gegevens, dan moet u ook de betrokkenen zelf zonder onnodige vertraging informeren (artikel 34 AVG). Elk datalek, ook als u het niet hoeft te melden, legt u vast in een intern register (artikel 33 lid 5 AVG). Meer hierover leest u bij wanneer u een datalek moet melden.

Gelden beide meldplichten tegelijk?

Ja. Een ransomware-aanval waarbij klantgegevens worden buitgemaakt, kan zowel een significant incident onder de Cyberbeveiligingswet zijn als een datalek onder de AVG.

U meldt dan bij het CSIRT (24 uur) en bij de Autoriteit Persoonsgegevens (72 uur). Financiële instellingen hebben daarnaast eigen meldplichten onder de Europese DORA-verordening. Hoe u zich verweert tegen phishing en ransomware, leest u in een apart artikel.

Wat zijn de gevolgen als u niet of te laat meldt?

De toezichthouder kan een bestuurlijke boete, een last onder dwangsom of een bindende aanwijzing opleggen. De maximale boetes verschillen per wet.

• Cyberbeveiligingswet: de NIS2-richtlijn eist dat het boetemaximum voor essentiële entiteiten ten minste 10 miljoen euro of 2 procent van de wereldwijde jaaromzet bedraagt, en voor belangrijke entiteiten ten minste 7 miljoen euro of 1,4 procent, telkens het hoogste bedrag (artikel 34 NIS2).
• AVG: voor het niet melden van een datalek maximaal 10 miljoen euro of 2 procent van de wereldwijde jaaromzet (artikel 83 lid 4 AVG); voor schending van de basisbeginselen van de AVG maximaal 20 miljoen euro of 4 procent.
• Civiel: klanten, afnemers en betrokkenen kunnen schadevergoeding vorderen, op grond van het contract of artikel 82 AVG.

Bestuurders kunnen bij ernstig tekortschieten persoonlijk worden aangesproken. Lees meer over bestuurdersaansprakelijkheid bij cyberaanvallen.

Wat doet u in de eerste uren na een cyberincident?

Beperk de schade, leg alles vast en beoordeel direct of een meldplicht geldt. De klok van 24 en 72 uur loopt vanaf het moment dat u van het incident op de hoogte bent.

1. Isoleer getroffen systemen, maar wis niets: forensisch bewijs is nodig voor onderzoek, aangifte en de verzekeraar.
2. Stel vast of persoonsgegevens zijn geraakt en of uw dienstverlening ernstig is verstoord.
3. Doe de vereiste meldingen binnen de termijnen en bewaar bewijs van melding.
4. Informeer uw cyberverzekeraar volgens de polisvoorwaarden.
5. Doe bij een strafbaar feit, zoals ransomware of computervredebreuk (artikel 138ab Sr), aangifte bij de politie.
6. Controleer contractuele meldplichten tegenover klanten en verwerkers.

Waar let u op bij contracten met ICT-leveranciers?

Onder de zorgplicht moet u ook de risico’s in uw keten beheersen. Leg daarom in contracten vast wat uw leveranciers moeten doen bij een incident.

• Een meldtermijn voor de leverancier die korter is dan uw eigen wettelijke termijn.
• Minimale beveiligingseisen en het recht op audits.
• Een verwerkersovereenkomst als de leverancier persoonsgegevens verwerkt (artikel 28 AVG).
• Duidelijke afspraken over aansprakelijkheid en de beperking daarvan.

Waar let u op als bestuurder van een mkb-bedrijf?

• Stel vast of uw bedrijf onder de Cyberbeveiligingswet valt en of het is geregistreerd.
• Keur het beveiligingsbeleid formeel goed en volg de verplichte opleiding.
• Leg in een incidentresponsplan vast wie binnen 24 uur meldt en bij wie.
• Houd een register bij van alle datalekken en incidenten.
• Test back-ups en herstelplannen periodiek.

Wat kunnen wij voor u doen bij cyberincidenten?

• Beoordelen of uw onderneming onder de Cyberbeveiligingswet valt en welke meldplichten gelden.
• Bij een incident snel beoordelen of en waar u moet melden, en de termijnen bewaken.
• Contracten met ICT-leveranciers en verwerkersovereenkomsten opstellen of beoordelen.
• U bijstaan bij onderzoek of handhaving door de Autoriteit Persoonsgegevens of een sectorale toezichthouder.
• Claims van klanten of tegen leveranciers afhandelen via ons team ondernemingsrecht.

Samengevat

• De Cyberbeveiligingswet geldt sinds 15 augustus 2026, voor de meeste mkb-bedrijven alleen vanaf 50 werknemers of meer dan 10 miljoen euro omzet en balanstotaal in een aangewezen sector.
• Een significant incident meldt u in drie stappen: binnen 24 uur, binnen 72 uur en een eindverslag binnen een maand.
• Een datalek meldt u binnen 72 uur bij de Autoriteit Persoonsgegevens; bij hoog risico ook aan de betrokkenen.
• Niet of te laat melden kan leiden tot boetes van miljoenen euro’s en tot aansprakelijkheid.

Veelgestelde vragen

Mijn bedrijf heeft 20 werknemers. Geldt de Cyberbeveiligingswet voor mij?

Meestal niet, tenzij uw omzet en balanstotaal boven de 10 miljoen euro liggen of u een dienst levert die ongeacht omvang onder de wet valt, zoals DNS-diensten. De AVG-meldplicht voor datalekken geldt wel altijd.

Moet ik een datalek melden als de gegevens versleuteld waren?

Als de versleuteling sterk was en de sleutel niet is buitgemaakt, levert het lek meestal geen risico op en hoeft u niet te melden. Leg het lek en uw afweging wel vast in uw register.

Mag ik losgeld betalen bij ransomware?

Betalen is in Nederland niet als zodanig verboden, maar u moet controleren dat u niet betaalt aan een partij op een sanctielijst. Ook na betaling blijven de meldplichten gelden.

Vanaf wanneer loopt de termijn van 24 uur?

Vanaf het moment dat u kennis heeft gekregen van het significante incident. Een volledig beeld is niet nodig; de vroegtijdige waarschuwing mag beknopt zijn.