Gemeenten · Cyberbeveiligingswet
Sinds 15 augustus 2026 is de Cyberbeveiligingswet (Cbw) van kracht, de Nederlandse uitwerking van NIS2. Gemeenten vallen eronder: zorgplicht, meldplicht en een bestuur dat persoonlijk verantwoordelijk is. En via de ketenzorgplicht sijpelt dat door naar je leveranciers, ook naar de partij die je website en platformen bouwt en beheert.
De wet in het kort
De wet raakt ruim 8.000 organisaties in 18 sectoren, waaronder decentrale overheden: gemeenten, provincies en waterschappen.
De keten
Je website, portalen en koppelingen zijn onderdeel van je informatiesystemen. Dit zijn de vragen die inkoop en de CISO aan elke digitale leverancier horen te stellen, en hoe wij ze beantwoorden.
Patches
Hoe snel worden beveiligingsupdates van CMS, plugins en onderliggende software doorgevoerd, en wie bewaakt dat? Bij ons is patchen een vast onderdeel van het beheer; we volgen de beveiligingsmeldingen van Silverstripe en de rest van de stack. Zo ziet ons beheer eruit.
Incidenten
Je 24-uursmelding aan het CSIRT haal je alleen als je leverancier je eerder informeert. Wij leggen contractueel vast binnen hoeveel uur we je op de hoogte brengen bij een incident dat jouw platform raakt.
Inzicht
Wie deed wat, wanneer? Onze platformen loggen wijzigingen en koppelingen standaard, zodat er bij een incident iets te onderzoeken valt en je verantwoording kunt afleggen.
Continuïteit
Code in jouw eigendom (open source, geen vendor lock-in), hosting en data in de EU, en geen verrassingen in de keten: we vertellen je gewoon welke partijen we inzetten, zoals hosting en maildiensten.
Eerlijk verhaal
Wij zijn niet ISO 27001-gecertificeerd en dat zeggen we liever vooraf dan in de tweede gespreksronde. Voor de Cyberbeveiligingswet is een certificaat ook geen vereiste: de wet vraagt om aantoonbare beheersing van risico's en schrijft geen certificaat voor. Voor een leverancier van onze omvang zit die aantoonbaarheid in concrete, controleerbare afspraken.
Wat je van ons krijgt: een schriftelijke leveranciersverklaring met ons update- en patchbeleid, contractuele meldtermijnen bij incidenten, logging en audittrail op het platform, back-up- en herstelafspraken, en een jaarlijks moment waarop we die afspraken samen tegen het licht houden. Alles op papier, zodat het bruikbaar is richting je toezichthouder.
Wat we niet doen: compliance-audits, juridisch advies of het invullen van je eigen zorgplicht. Daarvoor heb je een CISO, auditor of jurist. Wij zorgen dat het deel van de keten dat bij ons ligt op orde is, en dat je dat kunt aantonen.
Ja. Decentrale overheden (gemeenten, provincies en waterschappen) vallen als overheidssector onder de wet. Dat betekent zorgplicht, meldplicht, registratie in het entiteitenregister bij het NCSC en een bestuur dat de maatregelen moet goedkeuren en erop moet toezien.
De wet geldt niet automatisch voor elke leverancier. Maar via de ketenzorgplicht moet jouw organisatie de risico's van toeleveranciers beheersen, en dat doe je door eisen contractueel vast te leggen: patchbeleid, meldtermijnen, logging, continuïteit. Een leverancier die daar geen helder antwoord op heeft, is zelf het ketenrisico.
Voor jouw organisatie: een vroege waarschuwing binnen 24 uur, een incidentmelding binnen 72 uur en een eindrapport binnen een maand. Praktisch gevolg voor de keten: je leverancier moet jou sneller informeren dan die 24 uur, anders is je termijn al verstreken voordat je van het incident weet. Leg die doorlooptijd vast in het contract.
Nee. De wet vraagt om passende, aantoonbare maatregelen; hoe die aantoonbaarheid vorm krijgt is aan jou en je leverancier. Een certificaat kan helpen bij grote leveranciers, maar een schriftelijke leveranciersverklaring met controleerbare afspraken over patches, incidenten, logging en continuïteit voldoet net zo goed, en zegt vaak meer over de dagelijkse praktijk.
Ons update- en patchbeleid met termijnen, de meldtermijn waarbinnen we je informeren bij incidenten die jouw platform raken, afspraken over logging, back-ups en herstel, de partijen die we als onderaannemer inzetten, en een jaarlijkse evaluatie. Het is bewust geen dichtgetimmerd juridisch pak; het zijn afspraken waar je toezichthouder mee uit de voeten kan.
Contact
Leg hem naast ons verhaal. In één gesprek weet je welk deel van de keten wij afdekken en wat we daarvan op papier zetten.