Software voor de zorgplicht uit de Cyberbeveiligingswet laten maken
De Cyberbeveiligingswet geldt sinds 15 augustus 2026 en raakt ruim achtduizend organisaties. De meeste ervan doen aan beveiliging; wat zij niet kunnen, is laten zien dat zij het doen. De zorgplicht is namelijk geen lijst maatregelen maar een verplichting om onderbouwd te kiezen, en die onderbouwing zit bij de meeste bedrijven in hoofden, mailwisselingen en losse documenten.
Waarom de zorgplicht een dossiervraag is
De Cyberbeveiligingswet is de Nederlandse invulling van de Europese NIS2-richtlijn en trad op 15 augustus 2026 in werking. Zij geldt voor essentiële en belangrijke entiteiten in achttien sectoren, van energie en drinkwater tot zorg, vervoer, digitale infrastructuur en overheid. Wie eronder valt, moet zich registreren in het landelijke entiteitenregister dat het NCSC beheert.
De kern is de zorgplicht: passende en evenredige maatregelen nemen om de risico's voor uw netwerk- en informatiesystemen te beheersen. Passend en evenredig zijn geen technische termen maar afwegingen, en dat betekent dat een toezichthouder niet vraagt welke maatregelen u heeft, maar waarom juist deze en waarom niet meer. Daarnaast geldt een meldplicht in drie stappen en zijn bestuurders persoonlijk eindverantwoordelijk.
Dat verschuift het probleem. Techniek koopt u in of heeft u al; wat ontbreekt is het spoor van de afweging. Welke risico's heeft u onderkend, welke maatregel hoort bij welk risico, wie besloot dat en wanneer, en wat is er sindsdien veranderd. Zonder dat spoor is uw beveiliging niet zwak maar wel onaantoonbaar, en dat is onder deze wet hetzelfde probleem.
Bent u zorgaanbieder, dan loopt daarnaast een eigen verplichting richting de patiënt: elektronische inzage en het recht op inzage in de logging. Zie Wabvpz-software.
Hoe wij dit bouwen
De koppeling tussen risico en maatregel draagt het hele dossier. Ligt die vast, dan volgt verantwoording daaruit; ligt die niet vast, dan is elk overzicht een momentopname.
We beginnen bij wat u al heeft liggen, hoe onvolledig ook. Een bestaande beoordeling met gaten is een beter startpunt dan een nieuw model, omdat uw mensen hem herkennen.
Elke maatregel krijgt een reden en een eigenaar. Dat klinkt administratief en het is de enige manier om later uit te leggen waarom u iets niet deed.
Wij halen bewijs uit de systemen die u al gebruikt in plaats van mensen te vragen het te verzamelen. Bewijs dat handwerk vraagt, veroudert binnen een kwartaal.
We laten het systeem één sector- of toezichtvraag beantwoorden alsof die vandaag binnenkomt. Wat daar ontbreekt, is uw echte achterstand.
Wat de software concreet doet
Het register van risico's en maatregelen draagt alles. Welke onderdelen u nodig heeft, hangt af van uw omvang, uw sector en of u essentiële of belangrijke entiteit bent.
Risico's en maatregelen aan elkaar gekoppeld
Per risico welke maatregel het afdekt, wie eigenaar is en wanneer het opnieuw beoordeeld wordt. De koppeling is het punt: een lijst maatregelen zonder risico's verklaart niets en een lijst risico's zonder maatregelen is een probleemoverzicht.
Onderbouwing per keuze bewaard
Waarom deze maatregel wel en die andere niet, wie besloot dat en op welke datum. Bij toezicht gaat het zelden om de maatregel zelf en bijna altijd om de afweging erachter.
Bewijs uit uw eigen systemen
Patchstatus, back-upcontroles, toegangsbeoordelingen en oefeningen komen binnen via koppelingen in plaats van via een rondje mailen. Wat automatisch binnenkomt, blijft actueel.
Termijnen en herbeoordelingen bewaakt
Registratie, periodieke herbeoordeling van risico's, oefeningen en de trainingsverplichting van bestuurders lopen elk op hun eigen klok. Het systeem bewaakt ze en meldt vooraf, niet achteraf.
De ketenkant vastgelegd
De wet kijkt ook naar uw leveranciers. Een portaal waarin zij hun eigen maatregelen en verklaringen aanleveren, werkt beter dan een jaarlijkse vragenlijst waarvan niemand het antwoord terugvindt.
Afwijkingen met opvolging
Een maatregel die niet werkt, een controle die faalt, een leverancier die niet levert. Elk daarvan wordt een actie met eigenaar en termijn, want een geconstateerde tekortkoming zonder opvolging is bij toezicht bezwarend in plaats van geruststellend.
Voor wie wij bouwen
De achttien sectoren verschillen sterk in wat zij al hebben liggen. Vier situaties.
Zorginstellingen
U heeft vaak al een informatiebeveiligingsnorm en dus veel materiaal. Het knelpunt is dat het over verschillende systemen en afdelingen is verspreid, terwijl de wet één samenhangend verhaal vraagt over de organisatie als geheel.
Drinkwater, energie en netbeheer
Hier lopen kantoorautomatisering en procesautomatisering door elkaar en gelden voor beide andere gewoonten. Het lastigste is niet de techniek maar het uitleggen waarom een maatregel in de procesomgeving anders is ingevuld dan op kantoor.
Vervoer, logistiek en toelevering
Uw grootste risico ligt bij partijen buiten uw eigen muren. De ketenkant van de zorgplicht is daarmee geen bijzaak, en het opvragen van maatregelen bij leveranciers is het meeste werk.
Overheid en publieke organisaties
Voor de rijksoverheid geldt bovendien een eigen baseline, en digitale toegankelijkheid en archivering stellen hun eigen eisen. Dat vraagt een dossier dat meerdere kaders naast elkaar kan verantwoorden zonder ze te vermengen.
Test je idee eerst — werkend prototype in 1 dag
Met OneDayBuild maken we je idee in één dag tastbaar voor €950, zodat je weet of verdere ontwikkeling de investering waard is. Besluit je door te gaan met de volledige bouw? Dan verrekenen we de kosten volledig.
Bekijk OneDayBuild →Technologie en koppelingen
De uitwerking per sector staat in ministeriële regelingen die na de inwerkingtreding nog worden aangevuld. Alles wat daarmee samenhangt, hoort instelbaar te zijn en per versie bewaard.
Waarom Appfront
Aantoonbaarheid is het probleem, niet beveiliging
De meeste organisaties doen al veel. Wij bouwen het spoor dat laat zien dat u het doet en waarom juist zo, want dat is wat de toezichthouder vraagt.
Bewijs dat zichzelf verzamelt
Wat mensen handmatig moeten aanleveren, veroudert. Wij halen bewijs op via koppelingen met de systemen die u al heeft.
Uw beveiligingsdossier is zelf gevoelig
Een overzicht van uw zwakke plekken is voor een aanvaller waardevoller dan de zwakke plekken zelf. Wij zetten daarom rechten en logging strak, en dat is hier geen formaliteit.
De meldketen is een ander systeem
Melden onder tijdsdruk vraagt een eigen inrichting. Wij scheiden dat bewust; zie het incidentmeldportaal.
Security en privacy
Bij dit dossier is de inhoud zelf het risico. Een systeem dat uw risicobeoordeling, uw openstaande tekortkomingen en uw leveranciersafhankelijkheden bij elkaar zet, is voor een aanvaller een draaiboek. Wij houden de toegang daarom strak per rol, tonen bestuurders samenvattingen zonder technische details en leggen elke inzage vast. Ook uw eigen beheerders zien niet automatisch alles.
Aan de bewijskant geldt een bijzondere eis. Verantwoording is alleen iets waard als vaststaat dat zij niet achteraf is bijgewerkt. Wij leggen beoordelingen, besluiten en bewijsstukken onwijzigbaar vast met tijdstip en persoon, zodat u bij toezicht kunt laten zien wat u wist op het moment dat u besloot. Een dossier dat alleen de huidige stand kent, kan die vraag niet beantwoorden. Hoe wij zelf met beveiliging omgaan staat in ons informatiebeveiligingsbeleid; meldingen van buitenaf lopen via ons CVD-beleid.
Veelgestelde vragen over de Cyberbeveiligingswet
De wet is op 15 augustus 2026 in werking getreden, tegelijk met de Wet weerbaarheid kritieke entiteiten. Zij vervangt de oude Wet beveiliging netwerk- en informatiesystemen en zet de Europese NIS2-richtlijn om in Nederlands recht. Ruim achtduizend organisaties vallen eronder, aanzienlijk meer dan onder de oude wet.
NIS2 is de Europese richtlijn, de Cyberbeveiligingswet is de Nederlandse wet die haar omzet. Voor u telt de Nederlandse tekst, inclusief de sectorale uitwerking in ministeriële regelingen. Wilt u weten wat de richtlijn zelf betekent voor maatwerksoftware die u laat bouwen, zie NIS2-compliant software ontwikkeling.
Ja. Organisaties die onder de wet vallen, moeten zich melden in het landelijke entiteitenregister dat het NCSC beheert. U bepaalt zelf of u eronder valt; er komt geen brief die u aanwijst. Na registratie ontvangt u dreigingsinformatie en ondersteuning van het CSIRT voor uw sector, en dat is een van de weinige directe voordelen van de wet.
In drie stappen: een vroegtijdige waarschuwing binnen vierentwintig uur, een uitgebreidere incidentmelding binnen tweeënzeventig uur en een eindverslag uiterlijk een maand later. Let op waar die maand vanaf loopt: vanaf de eerste melding, niet vanaf het moment dat u het incident ontdekte. Dat wordt vaak verkeerd gelezen en scheelt in de praktijk dagen.
Bestuurders zijn eindverantwoordelijk voor de risicobeheersing, moeten de maatregelen goedkeuren en toezien op de uitvoering. Daarnaast geldt een trainingsverplichting, waarvoor na de inwerkingtreding een overgangsperiode van twee jaar loopt. Hoe de aansprakelijkheid precies uitpakt, is een juridische vraag; wat u wel kunt regelen is dat aantoonbaar is wat het bestuur wanneer heeft goedgekeurd.
Een certificering helpt aanzienlijk, want veel van het materiaal overlapt. Maar de wet vraagt om passende en evenredige maatregelen voor uw specifieke dienstverlening, en dat is niet hetzelfde als een norm halen. Bovendien reikt de zorgplicht uitdrukkelijk tot uw toeleveringsketen. Wat u heeft, hergebruiken we; wat ontbreekt is meestal de koppeling tussen uw beheersmaatregelen en de risico's die de wet bedoelt.
De Cyberbeveiligingswet gaat over digitale weerbaarheid en geldt voor ruim achtduizend organisaties die zichzelf moeten registreren. De Wet weerbaarheid kritieke entiteiten gaat over fysieke weerbaarheid, geldt voor enkele honderden organisaties en werkt met aanwijzing door een ministerie. Sommige organisaties vallen onder beide en hebben dan twee dossiers met verschillende klokken.
Dat hangt af van uw omvang, hoeveel er al vastligt en of het leveranciersportaal en de bewijskoppelingen meemoeten. Het register van risico's en maatregelen is doorgaans snel bruikbaar en levert direct overzicht op; de koppelingen en het portaal kosten meer. Wij geven een onderbouwde inschatting na de verkenning.
Zorgplicht aantoonbaar maken?
Neem één maatregel die u heeft genomen en probeer op te schrijven welk risico hij afdekt, wie dat besloot en wanneer. Lukt dat niet binnen een paar minuten, dan zit daar het werk. Wij bouwen dit als losse toepassing en als onderdeel van een breder traject maatwerk software.