De wet is in werking
Zorgplicht, meldplicht en registratieplicht gelden nu voor iedereen die eronder valt.
Bron: Rijksoverheid Voor MSP's Cyberbeveiligingswet geldt sinds 15 augustus 2026
Je klanten vragen om bewijs. Zorg dat je het hebt.
Vanaf 50 medewerkers valt een MSP in de regel zelf onder de Cyberbeveiligingswet. Kleiner? Dan vragen je klanten het van je. GRC Kompas vertaalt de wet naar een concreet plan en een dossier dat je kunt laten zien.
- 3 minuten
- Direct je score
- Geen gegevens vereist
Voorbeeldrapport Quickscan van een fictieve MSP
54 / 100gereedheid
Eerst doen
- Meldproces met 24 uur termijn vastleggen
- Meldafspraken met klanten in het contract
- Risicoanalyse laten goedkeuren door de directie
De feiten
Wat er sinds 15 augustus verandert
Geen bangmakerij. Drie feiten die voor elke MSP tellen.
Vanaf hier val je er in de regel zelf onder
Beheer van ICT-diensten is een eigen sector. Middelgrote MSP's en MSSP's zijn belangrijke entiteiten, grote zijn essentieel. Toezicht: RDI.
Bron: NCSCOm een significant incident te melden
Eerst een vroegtijdige waarschuwing, binnen 72 uur een melding, binnen een maand een eindverslag.
Gratis quickscan
Val je eronder? En hoe sta je ervoor?
12 vragen, 3 minuten. Je ziet direct je score. Geen inloggegevens of netwerkdata nodig.
Vraag 1 van 12
Eerst: val je eronder?
Hoeveel medewerkers heeft je bedrijf?
Tel gelieerde bedrijven mee.
Ook als je kleiner bent
Dit vragen je klanten nu van je
Klanten onder de wet moeten ook de risico's van hun leveranciers beheersen. Raakt een incident bij jou hun dienstverlening, dan moeten zij binnen 24 uur waarschuwen. Dus willen ze weten hoe jij werkt.
Een securityvragenlijst
Bij nieuwe contracten en verlengingen, steeds vaker met bewijsstukken.
Meldafspraken
Hoe snel informeer je hen bij een incident in jouw omgeving?
Toegang tot hun omgeving
Wie van jouw team heeft beheerrechten, en hoe is dat beveiligd?
MFA en beheeraccounts
Persoonlijke beheeraccounts per klant, beveiligd met MFA.
Back-up en herstel
Aantoonbaar getest, met vastgelegde hersteltijden.
Beleid en verantwoordelijkheid
Een vastgesteld beveiligingsbeleid en een vast aanspreekpunt.
De quickscan laat zien welke van deze vragen je nu al kunt beantwoorden.
Start de gratis quickscanAanpak en pakketten
Van onzeker naar aantoonbaar, in drie stappen
Je begint gratis en beslist per stap of je verder wilt.
Quickscan
Gratis
Weet in 3 minuten of je onder de wet valt en waar je staat.
- Indicatie: direct, via klanten of niet
- Score op zes onderwerpen
- Rapport en top 3 acties per mail
Stap 2Aanbevolen startpunt
Gap-analyse en roadmap
€1.250 excl. btw
Je beleid, processen en techniek naast de zorgplicht uit de Cbw. Je weet wat er moet gebeuren en in welke volgorde.
- Beoordeling van beleid en procedures
- Uitgebreide risico-inschatting
- Geprioriteerd rapport voor de directie
- Presentatie en advies, één op één
Implementatie
vanaf €4.950 excl. btw
Documenten op maat die je team direct kan gebruiken. Je technici hoeven geen wetteksten te lezen.
- Alle beleidsdocumenten
- Incidentregister en risicoregister
- Begeleiding van je team
- Pre-audit
Scope en planning stemmen we af in het adviesgesprek.
Plan een adviesgesprek
Wie je spreekt
Jij focust op de techniek. Ik zorg dat je het kunt aantonen.
Ik ben Arnold Strachovsky, cybersecurity analist en oprichter van GRC Kompas. Ik vertaal de Cyberbeveiligingswet naar maatregelen die passen bij hoe een MSP werkt. Geen rapporten voor in de la, wel een plan dat je team kan uitvoeren.
Veelgestelde vragen
Vragen die MSP's stellen
Valt mijn MSP onder de Cyberbeveiligingswet?
Beheer van ICT-diensten is een eigen sector in de wet. Lever je beheerde diensten of beheerde beveiligingsdiensten en heb je 50 of meer medewerkers, of meer dan 10 miljoen euro jaaromzet én balanstotaal, dan val je er in de regel onder. Gelieerde bedrijven tellen mee. De quickscan geeft een eerste indicatie.
We hebben minder dan 50 medewerkers. Moeten we dan iets?
Niet als entiteit onder de wet. Maar klanten die er wel onder vallen, moeten de risico's van hun leveranciers beheersen. Zij vragen jou om vragenlijsten, meldafspraken en bewijs. Wie dat klaar heeft liggen, verkoopt makkelijker.
Wat moet ik als eerste doen?
Stel vast of je onder de wet valt. Zo ja: registreer je via mijn.ncsc.nl, leg vast hoe je binnen 24 uur een significant incident meldt en laat je bestuur de maatregelen goedkeuren. Daarna volgt de gap-analyse.
Hoe veilig is de quickscan?
Je beantwoordt vragen over processen en beheer. Je deelt geen inloggegevens, netwerkgegevens of configuraties. Alleen je antwoorden en je zakelijke mailadres. Die worden opgeslagen in de database van deze website, bij onze hostingpartij.
Kan ik het rapport naar mijn klanten sturen?
Het quickscanrapport is een zelfevaluatie: handig als startpunt, geen auditverklaring. Na de gap-analyse heb je een onderbouwd rapport dat je met klanten kunt delen.
Hoeveel tijd kost dit mijn technici?
Zo weinig mogelijk. Je krijgt documenten op maat die direct bruikbaar zijn. Je technici vullen de technische details aan en hoeven geen wetteksten te lezen.
Sluit dit aan op ISO 27001?
Ja. De zorgplicht uit de Cbw en ISO 27001 overlappen sterk: beleid, risicoanalyse, incidentbeheer en continuïteit. Wat je nu inricht, is een basis voor certificering.
Wat moet ons bestuur doen?
Het bestuur keurt de maatregelen goed, moet de risico's kunnen beoordelen en toont aan dat het een training heeft gevolgd. GRC Kompas helpt je dat aantoonbaar te maken.
Is een maandelijkse vulnerability scan niet genoeg?
Nee. Een scan vindt kwetsbaarheden in software. De zorgplicht gaat ook over beleid, risicoanalyse, incidentafhandeling, continuïteit, de keten en training.
Begin met duidelijkheid.
Over 3 minuten weet je of je onder de Cbw valt, waar je staat en wat je als eerste doet.