Vandaag is het 1 augustus 2026. Over precies twee weken — op 15 augustus — treedt de Cyberbeveiligingswet (de Nederlandse uitwerking van de Europese NIS2-richtlijn) definitief in werking. Dit is geen toekomstmuziek meer: de Eerste Kamer heeft de wet op 7 juli 2026 aangenomen, en de ingangsdatum staat vast.
Voor naar schatting 8.000 Nederlandse organisaties in 18 sectoren betekent dit dat er vanaf 15 augustus wettelijke verplichtingen gelden waar voorheen geen sanctie op stond. De Rijksinspectie Digitale Infrastructuur (RDI) gaat actief toezicht houden. En de meeste bedrijven die onder de wet vallen, hebben hun zaken nog lang niet op orde.
Dit artikel is jouw laatste-twee-weken-checklist: concreet, geen juridisch jargon, en gericht op wat je nú moet doen. Wij zijn geen jurist — voor de fijnmazige details verwijzen we naar de officiële NCSC-handleiding — maar dit is wat wij in de praktijk bij MKB-klanten zien en wat je vóór 15 augustus echt geregeld wilt hebben.
Waarom dit ook voor jouw bedrijf geldt
Veel ondernemers denken: "NIS2 is iets voor banken, energiebedrijven en ziekenhuizen." Dat klopt niet. De wet geldt voor essentiële én belangrijke entiteiten in 18 sectoren, waaronder:
- digitale infrastructuur en hosting
- ict-dienstverlening (denk aan managed service providers)
- productie en industrie
- transport en logistiek
- levensmiddelen
- afvalbeheer
- en meer
Zit je niet in zo'n sector? Dan ben je niet verplicht om je te registreren. Maar de kans is groot dat je als toeleverancier of klant wél met de gevolgen te maken krijgt: grote klanten vragen inmiddels expliciet naar de cyberbeveiliging van hun leveranciers. Wie niet kan aantonen dat hij veilig werkt, mist straks opdrachten.
De drie hoofdverplichtingen in het kort
De wet kent drie kernverplichtingen:
- Registratieplicht — je moet je organisatie vóór 15 augustus registreren bij het Nationaal Cyber Security Centrum (NCSC), via MijnNCSC met eHerkenning of SSOnRijk. Dit kan nú al.
- Zorgplicht — je moet "passende, evenredige en doeltreffende technische en organisatorische maatregelen" nemen om je diensten te beveiligen. DDoS-bescherming valt hier letterlijk onder.
- Meldplicht — een significant incident (bijvoorbeeld een geslaagde DDoS-aanval die je dienstverlening platlegt) moet je binnen 24 uur melden, met een uitgebreid eindverslag binnen 72 uur.
De sancties zijn niet mals: boetes kunnen oplopen tot miljoenen euro's, en bestuurders kunnen persoonlijk aansprakelijk worden gesteld. Sinds augustus 2026 is dit dus geen vrijblijvende "goede gewoonte" meer, maar wetgeving met tanden.
Waarom DDoS-bescherming expliciet onder de zorgplicht valt
Beschikbaarheid is een van de drie pijlers van informatiebeveiliging (naast vertrouwelijkheid en integriteit). En beschikbaarheid is precies waar DDoS-aanvallen op mikken: een aanvaller overstelpt je website, API of server met zoveel verkeer dat jouw klanten er niet meer bij kunnen.
De cijfers uit het meest recente NBIP/NaWas-trendrapport (Q1 2026) maken duidelijk dat dit geen theoretisch risico is:
- 2.728 DDoS-aanvallen werden in één kwartaal gemitigeerd, een stijging van 42% ten opzichte van Q4 2025.
- 53% van alle aanvallen was een L7 HTTP-request flood: aanvalsverkeer dat zich voordoet als normaal bezoekersverkeer en daardoor lastig te blokkeren is zonder de juiste filtering.
- De grootste gemitigeerde aanval bereikte 144,29 Gbps.
- Er is een sterke toename van aanvallen via QUIC/HTTP3 en GRE 'carpet bomb'-technieken.
Met andere woorden: het is geen kwestie van óf je aangevallen wordt, maar wanneer. En als jouw bedrijf onder de Cyberbeveiligingswet valt, is een geslaagde aanval met uitval van je dienstverlening niet alleen een operationeel probleem, maar ook een meldplicht-incident met mogelijke boete.
De 7-stappen-checklist voor de laatste twee weken
Werk deze stappen af in de komende veertien dagen en je staat er op 15 augustus een stuk beter voor:
Stap 1 — Bepaal of je onder de wet valt
Doorloop de sectorenlijst en de groottecriteria (in de regel 50+ medewerkers of een jaaromzet van meer dan €10 miljoen, maar er zijn uitzonderingen). Gebruik de officiële zelftest van het NCSC. Staat er een vraagteken? Schrijf dan kort op waarom je denkt wel of niet te vallen — dat document is al bewijs van zorgvuldigheid.
Stap 2 — Registreer je bij het NCSC
Ga naar MijnNCSC, log in met eHerkenning (niveau 3) of SSOnRijk en vul je gegevens in. Doe dit deze week. De registratie is gratis, kost een kwartier, en een late registratie is precies het soort administratieve overtreding dat je wilt vermijden.
Stap 3 — Maak een beknopte risico-inventarisatie
Je hoeft geen 200 pagina's te schrijven. Een overzicht van je belangrijkste systemen (websites, webshop, server(s), netwerk, clouddiensten), welke data er staat, en wat de impact is als iets uitvalt — dat is al 80% van de basis. Vanuit die inventaris bepaal je welke maatregelen prioriteit hebben.
Stap 4 — Trek de technische basis op orde
De "passende maatregelen" uit de wet klinken abstract, maar in de praktijk komt het neer op een handvol basisprincipes:
- DDoS-bescherming op je website, webshop en/of game- en applicatieservers (altijd-aan filtering op zowel netwerklaag L4 als applicatielaag L7).
- Back-ups die regelmatig draaien, getest worden, en offline of elders staan (losgekoppeld van je productiesysteem).
- Multi-factor-authenticatie (MFA) op alle administratieve en externe toegangen.
- Patchmanagement: zorg dat servers en software actueel zijn en blijf dat bijhouden.
- Logging en monitoring: je moet kunnen zien wat er gebeurt voordat je een incident kunt melden. Een statuspagina en realtime waarschuwingen horen hierbij.
Stap 5 — Regel je incidentprocedure en meldplicht
Wie is het eerste aanspreekpunt bij een incident? Wie neemt beslissingen? Waar meld je bij het NCSC en binnen welke termijn (24 uur eerste melding, 72 uur eindverslag)? Zet dit op één A4'tje en leg het naast de telefoon. In een crisis wil je niet hoeven nadenken over de procedure.
Stap 6 — Maak het bewijsbaar
De RDI controleert niet alleen óf je maatregelen hebt, maar ook of je ze kunt aantonen. Bewaar je risico-inventarisatie, je logboeken, je incidentmeldingen en je leverancierscontracten (inclusief de SLA's van je hostingpartij). "We hebben het wel ergens" is geen compliance.
Stap 7 — Test één ding écht
Plan deze week een realistische test: een simulatie van een uitval of een echte scan van je website op kwetsbaarheden. Liever ontdek je nu een gat dan dat de RDI of een aanvaller het ontdekt. Een gratis security-scan van je website geeft je binnen enkele minuten een beeld van je kwetsbaarheden.
Hoe Retslav jou hierbij helpt
Wij zien dagelijks wat MKB-bedrijven nodig hebben om deze wet praktisch en betaalbaar na te leven. Ons uitgangspunt: geen eindeloze offertetrajecten, geen 'praat met een engineer'-prijzen — maar vaste, transparante prijzen die je direct kunt bestellen.
- Gratis security-scan van je website op retslav.net/scan — ontdek je kwetsbaarheden vóór 15 augustus, zonder kosten en binnen enkele minuten.
- DDoS-bescherming vanaf €49 per maand (Basic), met altijd-aan L7/L4-filtering, 99,99% SLA en Nederlands datacenter in Amsterdam én Brussel. Ook beschikbaar als Business (2 Tbps) en Enterprise (10 Tbps+).
- Webhosting vanaf €5 per maand en game servers vanaf €3 per maand — beide standaard met ingebouwde DDoS-bescherming, zodat je niet apart hoeft te shoppen.
Onze mitigatie is bewezen in de praktijk: we hebben piekaanvallen van 9 Tbps afgeweerd en blokkeerden in totaal meer dan 5 petabytes aan kwaadaardig verkeer, met meer dan 14.000 servers onder beheer.
Wat je deze week concreet moet doen
- Vandaag of morgen: check via de NCSC-zelftest of je onder de wet valt.
- Deze week: registreer je op MijnNCSC (duurt 15 minuten).
- Deze week: draai de gratis scan op retslav.net/scan en los de gevonden kritieke kwetsbaarheden op.
- Vóór 15 augustus: regel DDoS-bescherming, back-ups, MFA en een incidentprocedure — en leg vast dat je dit hebt gedaan.
De wet komt er aan, of je er klaar voor bent of niet. Maar twee weken is genoeg om de belangrijkste gaten te dichten. De organisaties die nú handelen, staan op 15 augustus niet in de rij — die staan aan de goede kant van de wet.
Dit artikel is informatief en vormt geen formeel juridisch advies. Raadpleeg voor jouw specifieke situatie de officiële richtlijnen van het NCSC en eventueel een adviseur.