De Cyberbeveiligingswet (NIS2) voor MSP's: valt u eronder en wat moet u doen?

Waar de wet staat

De Cyberbeveiligingswet en het Cyberbeveiligingsbesluit zijn op 10 juli 2026 in het Staatsblad gepubliceerd (Stb. 2026, 187 en 189) en traden op 15 augustus 2026 in werking, samen met de Wet weerbaarheid kritieke entiteiten. Volgens de overheid vallen ongeveer 8.000 organisaties onder de Cbw.

Oudere artikelen noemen 1 juli 2026 of 'het tweede kwartaal van 2026'. Die data kloppen niet meer.

Valt uw MSP eronder?

Managed service providers en managed security service providers vallen in de sector 'beheer van ICT-diensten (business-to-business)' uit bijlage 1 van de wet. Of u eronder valt, hangt af van de omvang:

• Middelgroot (50 of meer medewerkers, of minder dan 50 met zowel een jaaromzet als een balanstotaal boven 10 miljoen euro): een belangrijke entiteit.
• Groot (250 of meer medewerkers, of een jaaromzet boven 50 miljoen euro en een balanstotaal boven 43 miljoen euro): een essentiële entiteit.
• Kleiner: op grond van omvang niet, tenzij de overheid u aanwijst, bijvoorbeeld als enige aanbieder van een dienst.

Partner- en verbonden ondernemingen tellen mee, dus een MSP die deel is van een groep kan eronder vallen, ook als de Nederlandse entiteit klein is. Een MSP valt onder de Nederlandse wet als de hoofdvestiging in de EU, de plek waar de cybersecuritybeslissingen vooral worden genomen, in Nederland ligt.

De NIS2-Zelfevaluatie van de RDI (regelhulpenvoorbedrijven.nl/NIS-2-NL) vertelt u in een paar minuten of u eronder valt, en in welke categorie.

Wat een MSP moet doen die eronder valt

• Registreren. Entiteiten die onder de wet vallen, moeten zich registreren in het nationale register via MijnNCSC, met eHerkenning (niveau EH2+). De registratie vraagt om contactgegevens, IP-reeksen, sector, de EU-lidstaten waar u diensten levert, uw KvK-nummer en uw domeinnamen. Wijzigingen meldt u binnen twee weken. MSP's en MSSP's moeten daarnaast binnen één maand na de inwerkingtreding de gegevens voor het ENISA-register aanleveren (artikel 47 Cbw).
• Maatregelen nemen (zorgplicht). De Cbw noemt de tien NIS2-maatregelen, van risicoanalyse en incidentafhandeling tot ketenbeveiliging, kwetsbaarheidsbeheer en MFA. Voor MSP's en MSSP's komen de gedetailleerde eisen rechtstreeks uit Uitvoeringsverordening (EU) 2024/2690, niet uit het Nederlandse besluit.
• Incidenten melden. Een significant incident vraagt om een vroegtijdige waarschuwing binnen 24 uur, een melding binnen 72 uur en een eindverslag binnen een maand. Meldingen gaan via het centrale meldpunt in MijnNCSC, dat zowel het NCSC als de toezichthouder bereikt.
• Het bestuur betrekken. Het bestuur moet de maatregelen goedkeuren, en elke bestuurder moet binnen twee jaar na de inwerkingtreding een certificaat van een cybersecuritytraining hebben.

De toezichthouder voor beheer van ICT-diensten is de RDI (Rijksinspectie Digitale Infrastructuur), namens de minister van Economische Zaken. Het NCSC is het CSIRT. Op essentiële entiteiten wordt proactief toezicht gehouden; op belangrijke entiteiten vooral achteraf, bijvoorbeeld na een incident of een klacht. Boetes lopen op tot 10 miljoen euro of 2% van de wereldwijde omzet voor essentiële entiteiten, en 7 miljoen euro of 1,4% voor belangrijke entiteiten, als dat percentage hoger is.

Wat Verordening 2024/2690 van een MSP vraagt

De uitvoeringsverordening is concreet. Onder de eisen:

• Patchbeheer: beveiligingspatches binnen een redelijke termijn, uit betrouwbare bronnen en getest, met vastgelegde redenen als een patch niet wordt toegepast.
• Kwetsbaarheidsbeheer: een proces om kwetsbaarheden te vinden, te beoordelen en te verhelpen, en om meldingen van buiten af te handelen.
• Een actuele inventaris van bedrijfsmiddelen.
• Monitoring en logging van systemen en netwerken.
• Beheersing van geprivilegieerde accounts, en MFA of continue authenticatie waar passend.
• Een ketenbeleid met beveiligingseisen in contracten.
• Beveiligingstesten en een onafhankelijke beoordeling van de beveiligingsaanpak.

Waar de verordening 'waar passend' zegt en u besluit dat een maatregel niet van toepassing is, legt u vast waarom. Voor een MSP gaat het meeste hiervan over de eigen omgeving: de remote-managementtools, beheeraccounts en toegangsroutes naar klantnetwerken zijn precies waar aanvallers naar zoeken.

De verordening bepaalt ook wanneer een incident bij een MSP significant is. Voorbeelden zijn een dienst die meer dan 30 minuten volledig onbeschikbaar is, en een vermoedelijk kwaadwillige actie die de integriteit of vertrouwelijkheid van gegevens aantast.

Valt u er niet onder? Uw klanten wel

Organisaties die onder de wet vallen, moeten de beveiligingsrisico's van hun directe leveranciers beheersen. Ze hebben een schriftelijk ketenbeleid nodig, moeten periodiek controleren of leveranciers aan hun eisen voldoen, en moeten volgens Verordening 2024/2690 beveiligingsafspraken in contracten opnemen: incidentmelding zonder onnodige vertraging, auditrechten, kwetsbaarheidsbeheer en regels voor onderaanneming.

Een kleine MSP zonder eigen wettelijke plichten krijgt dus toch met de Cbw te maken via klanten: in vragenlijsten, contractwijzigingen en audits. De MSP's die met bewijs kunnen antwoorden in plaats van met beloften, houden die klanten en winnen nieuwe.

Het bewijs waar klanten om gaan vragen

• Een actuele inventaris van de apparaten en software die u voor hen beheert.
• Patchstatus per apparaat, uw patchtermijnen en de uitzonderingen die u maakte.
• Hoe kwetsbaarheden worden gevonden, geprioriteerd en verholpen, met data.
• MFA en minimale rechten op elk account dat bij hun omgeving kan, ook die van uw eigen technici.
• Uw incidentproces: hoe snel u hen informeert, en wie wat doet in de eerste 24 uur.

Deze gids is een samenvatting voor MSP's, geen juridisch advies. De wetteksten, het NCSC (ncsc.nl/cyberbeveiligingswet-nis2) en de RDI zijn de bronnen om te raadplegen voordat u besluit.

Veelgestelde vragen