Wat vraagt de Cyberbeveiligingswet van uw organisatie?
De Cyberbeveiligingswet (Cbw) geldt sinds 15 augustus 2026. Organisaties die er rechtstreeks onder vallen, moeten zich registreren, cyberrisico’s beheersen en significante incidenten binnen wettelijke termijnen melden. Ook het bestuur heeft een eigen rol bij het goedkeuren van maatregelen en het toezicht daarop.
Weet u niet zeker of uw organisatie rechtstreeks onder de wet valt? Of heeft u wel beleid, maar weinig zicht op wat er in de praktijk werkt? De Cbw-nulmeting van Axiomera brengt uw uitgangspositie in kaart. U krijgt een onderbouwde beoordeling van de beschikbare informatie en een lijst met de besluiten en acties die nu nodig zijn.
Eerst: geldt de wet rechtstreeks voor u?
De activiteit van uw organisatie, de sector, de omvang en eventuele bijzondere regels of aanwijzingen bepalen de toepasselijkheid. In de intake brengen wij deze punten in kaart. Hangt de uitkomst af van een betwiste juridische uitleg, dan adviseren wij die door een jurist of de bevoegde instantie te laten bevestigen.
Levert u aan een organisatie die onder de Cbw valt? Dan kan die klant beveiligingseisen stellen aan uw dienstverlening. Dat maakt u als leverancier niet automatisch zelf Cbw-plichtig. Gaat uw vraag vooral over zulke klanteisen, dan bakenen wij daarvoor een aparte beoordeling af.
Wat moet een rechtstreeks getroffen organisatie regelen?
Registratie
De organisatie registreert zich via MijnNCSC. Blijkt uit de intake dat registratie al nodig is, dan bespreken wij dat meteen; u hoeft niet op het eindrapport te wachten.
Zorgplicht
U brengt risico’s voor uw netwerk- en informatiesystemen in kaart en neemt passende maatregelen. Denk aan incidentrespons, herstel na uitval, beveiliging van leveranciers, toegangsbeheer, updates, bewustwording en het toetsen of maatregelen werken.
Meldplicht
U richt een proces in om significante incidenten te herkennen en via MijnNCSC te melden: een vroegtijdige waarschuwing binnen 24 uur, een vervolgmelding binnen 72 uur en daarna een eindverslag. Of een incident meldingswaardig is, hangt mede af van de regels voor uw sector.
Bestuurlijke verantwoordelijkheid
Het bestuur keurt maatregelen goed, houdt toezicht op de uitvoering en volgt de vereiste training. Dat vraagt om besluiten en terugkerende rapportage, niet alleen om een beleidsdocument.
Wat onderzoekt Axiomera?
Wij kijken naar wat is vastgelegd én, afhankelijk van de gekozen variant, naar aanwijzingen dat het wordt uitgevoerd. Bijvoorbeeld:
Risico’s en bestuur: risicoregister, verantwoordelijkheden, besluiten en rapportages.
Incidenten en continuïteit: incidentprocedure, meldroute, herstelplan en bewijs van een hersteltest.
Leveranciers: overzicht van kritieke leveranciers, afspraken en beoordeling van ketenrisico’s.
Dagelijkse beveiliging: toegangsrechten, multifactorauthenticatie, updates, kwetsbaarheden, beveiliging van apparaten en versleuteling.
Werking en verbetering: controles, afwijkingen en aantoonbare opvolging.
Een document laat zien dat een afspraak bestaat. Een uitgevoerde controle, test of registratie kan laten zien dat de afspraak wordt gevolgd. Daarom vermelden wij per bevinding welk bewijs is bekeken en wat nog niet is vastgesteld.
Wat ontvangt u?
Een beoordeling van de toepasselijkheid. Op basis van uw activiteiten en organisatiegegevens beschrijven wij of rechtstreekse toepasselijkheid aannemelijk is en welke vragen nog openstaan.
Een overzicht van bevindingen. Per relevant onderwerp maken wij zichtbaar wat is aangetroffen, welk bewijs beschikbaar is en waar een lacune of onzekerheid zit. Bij Standaard doen wij dat op meer detail en toetsen wij geselecteerde voorbeelden uit de praktijk.
Een geprioriteerd actieplan. Voor de belangrijkste punten: de voorgestelde actie, een beoogde eigenaar, urgentie en een indicatie van de inspanning. Uw directie kan daarmee besluiten wat eerst moet gebeuren en wie het oppakt.
Voorbeeld: er is een back-upbeleid, maar geen verslag van een recente hersteltest. Dat wordt geen abstract ‘continuïteitsrisico’: het actiepunt is een hersteltest plannen, de uitkomst vastleggen en een eigenaar aanwijzen voor periodieke herhaling.
Kies de diepgang die bij uw vraag past
Deze prijzen gelden voor een vooraf afgebakende en overzichtelijke scope. Meerdere juridische entiteiten, diensten, locaties, complexe technische omgevingen of extra sectorregels vragen meer onderzoek. Na de intake bevestigen wij de variant, het werk dat wij doen, de informatie die u aanlevert, de planning en een vaste prijs voor de afgesproken scope.
Zo verloopt het onderzoek
De doorlooptijd spreken wij bij de intake af. Die hangt onder meer af van de gekozen variant, de beschikbaarheid van stukken en de agenda’s van de betrokkenen.
Intake en scope
Wij bepalen welke entiteit en diensten wij beoordelen, welke regels en klantvragen spelen en wie kan meewerken. Een mogelijk urgente registratie of meldroute benoemen wij direct.
Documenten en gesprekken
U levert bestaande stukken aan. Bij Standaard spreken wij met verantwoordelijken en bekijken wij afgesproken voorbeelden van uitvoering.
Rapport en besluiten
U krijgt de bevindingen en een geprioriteerd actieplan. Wij bespreken wat uw organisatie zelf kan oppakken en waar specialistische ondersteuning nodig is.
Wat valt buiten de nulmeting?
De nulmeting is een beoordeling van uw uitgangspositie. De prijs omvat geen implementatie van maatregelen, penetratietest, volledige technische audit, juridisch eindoordeel of registratie en incidentmelding namens uw organisatie. De directiesessie in Standaard is bedoeld voor besluitvorming over de bevindingen; zij vervangt niet de wettelijk vereiste bestuurstraining.
Heeft u na de nulmeting hulp nodig bij een risicoregister, ISMS, incidentproces of leveranciersbeheer? Dan bakenen wij de uitvoering afzonderlijk af. Voor juridische interpretatie of diep technisch onderzoek betrekken wij zo nodig een specialist.
Vier vragen die vaak terugkomen
Krijg ik met deze nulmeting een Cbw-certificaat?
Nee. De Cbw is wetgeving, geen certificeringsschema. De nulmeting geeft inzicht in uw uitgangspositie en de acties die daaruit volgen. Een ISO 27001-certificaat kan helpen bij de inrichting van een managementsysteem, maar bewijst op zichzelf niet dat u aan alle Cbw-verplichtingen voldoet.
Mijn klant valt onder de Cbw. Geldt de wet dan ook voor mij?
Niet automatisch. Uw klant kan u wel eisen stellen om risico’s in de leveranciersketen te beheersen. Is dat uw voornaamste vraag, dan bespreken wij een beoordeling van die concrete klanteisen en uw beschikbare bewijs.
Is Compact voldoende om te weten of maatregelen werken?
Compact onderzoekt vooral wat op papier staat en wat daarin ontbreekt. Voor een gerichte toets van de uitvoering kiest u Standaard. Ook die variant is een steekproef binnen een afgesproken scope.
Waarom een betaalde nulmeting als er gratis zelfscans bestaan?
Gratis hulpmiddelen helpen u vaststellen of de wet mogelijk van toepassing is en uw eigen maatregelen te beoordelen. Axiomera bekijkt daarnaast uw stukken en, bij Standaard, geselecteerd bewijs en gesprekken. Het resultaat is een rapport met bevindingen en een actieplan voor uw organisatie.
Organisaties die mogelijk rechtstreeks onder de Cbw vallen en een werkbaar, onderbouwd beeld van hun huidige inrichting nodig hebben. Axiomera heeft ervaring met ISMS-inrichting bij IT-dienstverleners en bedrijven in het Microsoft-ecosysteem.
Voor een overheidsorganisatie bekijken wij vooraf of de opdracht ook een BIO2-beoordeling vraagt; die scope stellen wij afzonderlijk vast.
Vertel ons welke dienst u levert, welke vragen klanten of bestuur stellen en welke documentatie al bestaat. In een intake bepalen wij of een Cbw-nulmeting past, welke variant zinvol is en welke zaken direct aandacht vragen.
Plan een intakegesprek