Cybersecurity voelt lang als iets voor grote bedrijven. Tot de dag dat een klant je een vragenlijst doorstuurt met dertig vragen over je beveiliging, of tot je verzekeraar bij een schadegeval begint te vragen hoe vaak jullie back-ups getest worden. Dan blijkt dat het onderwerp al een tijd op je bord lag zonder dat iemand het daar bewust had gelegd.
Er zijn dit jaar twee dingen veranderd die het gesprek concreet maken. Sinds 1 februari 2026 is cybersecurity het enige onderwerp waarvoor je nog advies kan indienen via de kmo-portefeuille. En de verplichtingen van NIS2 beginnen door te sijpelen naar bedrijven die zelf niet onder de wet vallen, via hun klanten. Dit artikel gaat over wat dat betekent als je geen IT-afdeling hebt en ook niet van plan bent er een op te richten.
Valt jouw bedrijf eigenlijk onder NIS2?
NIS2 is de Europese richtlijn die in België is omgezet door de wet van 26 april 2024, van toepassing sinds 18 oktober 2024. De wet legt beveiligingsmaatregelen, meldplichten en een registratie bij het Centrum voor Cybersecurity België op. Voor wie eronder valt is dat geen vrijblijvend advies maar een verplichting, met bestuurdersaansprakelijkheid inbegrepen.
De vraag is dus vooral of jij eronder valt. Twee voorwaarden moeten samen vervuld zijn. Je bedrijf moet middelgroot of groot zijn en het moet actief zijn in een sector die in bijlage I of II van de wet staat. Middelgroot betekent vanaf vijftig medewerkers, of een omzet boven tien miljoen euro. De sectoren gaan van energie, vervoer, bankwezen, gezondheidszorg, drinkwater en digitale infrastructuur tot post en koeriers, afvalbeheer, chemie, voeding, bepaalde maakindustrie en onderzoek.
Voor de meeste lezers van dit artikel is de eerlijke conclusie dus: waarschijnlijk niet. Een bouwbedrijf met dertig mensen, een dienstverlener met vijftien of een groothandel met veertig valt er in de regel buiten. Er zijn uitzonderingen die ongeacht de grootte gelden, onder meer voor aanbieders van openbare elektronische communicatie, DNS-diensten en vertrouwensdiensten, maar dat is een kleine groep.
Niet onder NIS2 vallen betekent niet dat het onderwerp je niet raakt. Het betekent alleen dat de druk niet van de wetgever komt maar van je klanten.
Hoe het je dan toch bereikt
Bedrijven die wel onder NIS2 vallen, moeten de risico's in hun toeleveringsketen beheersen. In de praktijk vertaalt zich dat naar vragenlijsten die zij doorsturen naar hun leveranciers. Als jij software levert, onderhoud doet, gegevens verwerkt of ook maar toegang hebt tot hun systemen, sta je in die keten. Dan krijg je vragen over meervoudige authenticatie, over hoe je incidenten meldt en over wie er bij jullie toegang heeft tot wat. Je publieke website hoort daar trouwens bij, want een verwaarloosde site is vaak het makkelijkste doelwit.
Er is nog een tweede route. Beheerde ICT-diensten voor bedrijven staan zelf in bijlage I. De kans is dus reëel dat je IT-partner onder NIS2 valt, ook als jij dat niet doet. Dat is meteen een goede vraag om hem te stellen, want zijn antwoord zegt iets over hoe serieus hij zijn eigen huishouden neemt.
Het patroon is herkenbaar. Wat begint als een verplichting voor een handvol grote spelers, wordt binnen twee jaar een contractvoorwaarde voor iedereen die met hen werkt. Dat is precies waarom uitstel hier duurder is dan bij de meeste digitale onderwerpen.
Wat je verzekeraar nu al van je verwacht
Dit is het stuk waar de meeste zaakvoerders van schrikken. Als je een cyberpolis hebt, staan er in de algemene voorwaarden verplichtingen die je zelf moet naleven. In de voorwaarden van één Belgische verzekeraar voor zijn cyberproduct voor bedrijven staat onder meer dat elke gebruiker een individuele toegang moet hebben met een voldoende complex wachtwoord, dat er tweeledige authenticatie moet zijn op servers, dat je bescherming tegen schadelijke software automatisch bijgewerkt moet worden, dat er een procedure voor patchmanagement moet bestaan zodat veiligheidspatches onmiddellijk geïnstalleerd worden en dat je minstens wekelijks een back-up maakt die fysiek gescheiden bewaard wordt en waarvan de herstelprocedure regelmatig getest is.
Lees die zin nog eens en vraag je af hoeveel van die vijf punten in jouw bedrijf effectief geregeld zijn. Wekelijkse back-ups halen de meeste bedrijven wel. Een geteste herstelprocedure is al een pak zeldzamer en een geschreven patchbeleid bestaat bijna nergens.
Andere polissen zullen anders geformuleerd zijn, dus lees vooral je eigen contract. Maar het principe is overal hetzelfde. Een polis waarvan je de voorwaarden niet naleeft, is geen verzekering. Dat is een factuur met een goed gevoel erbij.
Het kader dat de overheid al gratis klaargezet heeft
Het Centrum voor Cybersecurity België heeft een framework gepubliceerd dat CyberFundamentals heet, met vier niveaus. Het niveau Small is expliciet bedoeld als startpunt voor micro-ondernemingen en kleine organisaties. Daarnaast zijn er Basic, Important en Essential, die oplopen van standaardmaatregelen voor elk bedrijf tot bescherming tegen geavanceerde aanvallen.
Het is gratis. Er hoort een zelfevaluatie-instrument bij in Excel waarmee je zelf ziet waar je staat en er staan kant-en-klare beleidssjablonen online die je kan overnemen. Wie later toch conformiteit moet aantonen, kan zijn niveau laten verifiëren of certificeren door een geaccrediteerde instantie en zo'n verklaring geeft een vermoeden van conformiteit met NIS2.
Er bestaat dus een officieel, Belgisch, gratis kader dat precies is opgesteld voor bedrijven zoals het jouwe en bijna niemand gebruikt het. Dat is een patroon dat ik vaak terugzie: het probleem is zelden dat er geen oplossing bestaat, het is dat niemand de tijd neemt om ze te zoeken. Dat hoort trouwens thuis in hetzelfde rijtje als de andere signalen dat je digitale setup niet meer klopt.
De cijfers die je wel en niet moet geloven
Het CCB publiceerde in februari 2026 zijn kerncijfers over 2025. Het centrum behandelde 635 incidenten, zeventig procent meer dan het jaar ervoor. Daarvan waren er 105 ransomware-incidenten en 144 gevallen van gecompromitteerde accounts. Via Safeonweb kwamen bijna tien miljoen phishingmeldingen binnen. Op Europees niveau meldde Eurostat dat 21,5 procent van de bedrijven met tien of meer werknemers in 2023 een ICT-veiligheidsincident had.
Wat er níét bestaat, is een betrouwbaar cijfer over hoeveel Belgische KMO's precies getroffen worden en wat zo'n incident gemiddeld kost. Het CCB splitst niet uit naar bedrijfsgrootte en de Belgische verzekeringssector publiceert geen schadecijfers. Toch circuleren die getallen overal, meestal in een presentatie van iemand die je iets wil verkopen. Als je zo'n cijfer voorgeschoteld krijgt, vraag naar de bron. Je krijgt hem zelden.
Wat het kost en wat je ervan terugkrijgt
Via de kmo-portefeuille krijg je vijfenveertig procent steun op cybersecurityadvies als kleine onderneming en vijfendertig procent als middelgrote, met een plafond van 7.500 euro steun per jaar en een minimumprojectbedrag van 500 euro. Dat is het hoogste percentage dat er nog is, precies omdat alle andere adviesthema's zijn weggevallen.
Daarnaast lopen er in 2026 de cybersecurity verbetertrajecten van VLAIO, met vijftig procent steun voor kmo's. Die trajecten kosten tussen 7.100 en 39.000 euro exclusief btw en moeten via een erkende dienstverlener lopen, waarvan er sinds begin 2026 negentien zijn.
En dan is er nog het budget dat je vandaag al uitgeeft. Microsoft 365 Business Premium bevat Intune, Defender for Business en Entra ID P1, dus een flink stuk beveiliging waar veel bedrijven al voor betalen zonder het aan te zetten. Dat is bijna altijd de goedkoopste eerste stap: kijken wat er al in je licenties zit voor je iets nieuws aankoopt.
Waar je deze maand mee begint
Vijf stappen die geen budget vragen
1. Zet meervoudige authenticatie aan op e-mail en op alles waar je van buitenaf op inlogt. Dit is de enige maatregel die op zijn eentje het merendeel van de accountovernames tegenhoudt.
2. Herstel één keer een echte back-up naar een testomgeving. Een back-up die je nooit hersteld hebt, is een hoopvolle veronderstelling.
3. Maak de lijst van wie toegang heeft tot wat en schrap iedereen die er niet meer werkt.
4. Vul de gratis zelfevaluatie van CyberFundamentals in. Reken op een halve dag en je hebt meteen een agenda voor de rest van het jaar.
5. Vraag je makelaar de voorwaarden van je cyberpolis op en leg ze naast wat er effectief geregeld is.
Cybersecurity bij een KMO is zelden een technisch probleem. Het zijn vier of vijf dingen die niemand als zijn taak beschouwt en die daarom blijven liggen tot er iets gebeurt. Zet er een naam en een datum bij en je staat verder dan de meeste bedrijven van jouw grootte.