Wat een scale-up nodig heeft voor een audit, een investeerder en NIS2

Founders zien dit vaak als drie losse problemen: een audit halen, een investeerder tevreden stellen en voldoen aan een nieuwe Nederlandse wet. Het antwoord is voor alle drie hetzelfde. De IT- en securitybasis die voor de een werkt, werkt voor alle drie, en die één keer bouwen kost veel minder dan op elk verzoek apart reageren.

Geldt de Cbw voor jullie?

De Cyberbeveiligingswet, de Nederlandse versie van NIS2, is op 7 juli 2026 door de Eerste Kamer aangenomen en geldt vanaf 15 augustus 2026. Of hij voor jullie geldt, hangt af van je sector en je omvang.

Essentiële entiteiten zijn grote bedrijven (250 of meer medewerkers, of meer dan €50 miljoen omzet en een balanstotaal boven €43 miljoen) in de sectoren met hoge kriticiteit uit bijlage I: energie, transport, bankwezen, infrastructuur voor financiële markten, gezondheid, drinkwater, digitale infrastructuur en nog een paar.

Belangrijke entiteiten zijn middelgrote bedrijven (50 of meer medewerkers, of meer dan €10 miljoen omzet en balanstotaal) in een bredere groep sectoren uit bijlage I en II. Daar vallen onder meer postdiensten, afvalbeheer, chemie, voedsel, maakindustrie, digitale aanbieders en onderzoek onder.

Sommige aanbieders van digitale infrastructuur en vertrouwensdiensten vallen er altijd onder, ongeacht hun omvang, omdat hun sector als systeemkritisch geldt. Draai je DNS-diensten, een cloudplatform of een gekwalificeerde vertrouwensdienst, dan helpt een klein team je niet.

Voor bedrijven van 30 tot 200 mensen, waar de meeste van onze klanten zitten, is de grens voor belangrijke entiteiten de grens die telt. Veel goed gefinancierde scale-ups gaan over de 50 medewerkers en €10 miljoen omzet lang voordat ze zichzelf als gereguleerd zien.

Klanten en investeerders vragen er toch naar

Grote kopers en institutionele investeerders wachten al jaren niet meer op wetgeving. Een due diligence voor een Series B verwacht al ongeveer het niveau van SOC 2 als vertrekpunt. Het inkoopteam van een groot bedrijf stuurt een securityvragenlijst voordat er getekend wordt, wat de Cbw ook zegt over jullie aantal medewerkers. Zodra een koper of investeerder goed identiteitsbeheer, devicebeheer en incidentrespons verwacht, maakt de wettelijke grens weinig uit, want de commerciële grens geldt al.

Dat zeggen we tegen founders die vinden dat ze er nog niet onder vallen. Buiten de wet vallen betekent niet dat je buiten de markt valt waar die wet op inhaakt.

Wat er moet zijn

Artikel 21(2) van NIS2 noemt de minimale beveiligingsmaatregelen. Bijna elk punt past op IT-basiszaken die een groeiend bedrijf sowieso hoort te hebben.

Identiteit. Een echte identity provider met single sign-on en phishing-bestendige MFA, geen spreadsheet met gedeelde wachtwoorden. Artikel 21(2)(j) noemt beleid voor toegangsbeheer en beheer van bedrijfsmiddelen expliciet als verplichte maatregel.

Devices. Ingeschreven, beheerd, bijgewerkt en standaard versleuteld. Een laptop die het bedrijf verlaat zonder gewist te zijn, is een incident dat alleen nog niet ontdekt is.

In- en uitdienst. Geautomatiseerd vanuit het HR-systeem, zodat toegang wordt gegeven en ingetrokken op de dag dat iemand begint of vertrekt, en niet als IT eraan toekomt.

Incidentrespons. Hier is de Cbw streng: een vroegtijdige waarschuwing aan de autoriteiten binnen 24 uur, een melding binnen 72 uur en een eindrapport binnen een maand. Dat proces bouw je niet meer op als het incident al bezig is.

Governance en bewijs. Beleid dat is opgeschreven, wordt herzien en wordt gevolgd, met een vastlegging die dat aantoont. Auditors en toezichthouders vragen hetzelfde: laat het bewijs zien.

Toeleveringsketen. Artikel 21(2)(d) vraagt om een veilige toeleveringsketen. Je moet weten waar je leveranciers en SaaS-tools bij kunnen, en wat er gebeurt als een van hen wordt gehackt.

Bouw het in de goede volgorde

Dit is geen boodschappenlijst die je één keer afvinkt. Het is een architectuur, en de volgorde doet ertoe. Identiteit komt voor devicebeheer, omdat een device maar zo betrouwbaar is als de accounts die erop inloggen. Automatische in- en uitdienst komt voor incidentrespons, omdat je slecht kunt reageren op een incident met een account dat er niet had mogen zijn. Governance en bewijs komen bovenop alles, omdat een auditor of investeerder de andere lagen pas ziet als je ze kunt aantonen.

Bouw het in die volgorde, één keer, en je geeft een auditor, een financieringsronde of een toezichthouder hetzelfde antwoord: dit hebben we, zo werkt het, hier is het bewijs. Bouw het tool voor tool, voor de deadline die dit kwartaal het hardst roept, en je betaalt meer voor een zwakkere versie van hetzelfde.