Hoe snel draait jouw bedrijf weer na IT-uitval?

Hoe snel draait jouw bedrijf weer na IT-uitval?

Ontdek met 7 vragen of jullie processen, back-ups en herstelplannen goed geregeld én aantoonbaar zijn i.v.m. de Cyberbeveiligingswet / NIS2.

IT-beheer Beveiliging Compliance

Afspraken op papier zijn niet meer genoeg dankzij de Cyberbeveiligingswet

Als bedrijf maak je afspraken met je IT-partner over beveiligingsmaatregelen en back-up. Het enige probleem is dat het ‘regelen’ niet meer genoeg is nu de Cyberbeveiligingswet van kracht is sinds 15 augustus 2026.

De afspraken met je IT-partner moeten hierdoor niet alleen op papier staan. Ze moeten ook in de praktijk werken, omdat je moet kunnen aantonen dat kritieke processen binnen je organisatie binnen acceptabele tijd hervat kunnen worden.

 





Screenshot van het Rijksoverheid-bericht over de inwerkingtreding van de Cyberbeveiligingswet op 15 augustus 2026

Welke bedrijven vallen onder de Cyberbeveiligingswet?

De Cyberbeveiligingswet is de Nederlandse uitwerking van de Europese NIS2-richtlijn.

De wet geldt rechtstreeks voor bepaalde organisaties in achttien aangewezen sectoren. Denk aan energie, vervoer, gezondheidszorg, overheid, digitale infrastructuur, ICT-dienstverlening, levensmiddelen, chemie en delen van de maakindustrie.

In de aangewezen sectoren gaat het meestal om organisaties met 50 of meer medewerkers (fte). Kleinere organisaties vallen er op basis van omvang alleen onder als hun jaaromzet én hun balanstotaal boven de 10 miljoen euro liggen.

Het type dienstverlening, de organisatiestructuur en uitzonderingen bepalen uiteindelijk of de wet daadwerkelijk van toepassing is op je bedrijf.

Controleer of de Cyberbeveiligingswet voor jouw organisatie geldt.

Gebruik de officiële NIS2-zelfevaluatie van de RDI en bekijk de actuele informatie van de Rijksoverheid.





Valt je bedrijf rechtstreeks onder de wet?

JA

Dan is cyberbeveiliging niet alleen een taak voor de IT-afdeling. Het NCSC noemt cyberbeveiliging nadrukkelijk een bestuurszaak. Het bestuur keurt de maatregelen goed, houdt toezicht op de uitvoering en het hoort bij het integrale risicomanagement van de organisatie. Techniek en directie horen samen aan tafel te zitten.

NEE

Dan kun je er via klanten toch mee te maken krijgen. Organisaties die zélf wel aan de Cyberbeveiligingswet moeten voldoen, kunnen ook hun leveranciers vragen om beveiligingsmaatregelen, rapportages, herstelafspraken of een certificering. Dit doen ze omdat zij aansprakelijk zijn voor hun hele keten.









Wat verandert de Cyberbeveiligingswet voor bedrijven?

De kern van het antwoord zit in de zorgplicht. Bedrijven die onder de wet vallen moeten passende maatregelen nemen om de continuïteit van hun dienstverlening zoveel mogelijk te waarborgen.

Zij moeten zélf een risicobeoordeling maken welke processen kritiek zijn, wat daarmee mis kan gaan en hoe groot de impact is. Op basis daarvan moeten zij passende maatregelen nemen. De wet vraagt ook dat zij kunnen aantonen dat hun maatregelen in de praktijk werken.

Je moet dit aantoonbaar voor elkaar hebben:

  • Er moeten passende maatregelen zijn voor bedrijfscontinuïteit, back-upbeheer, herstel en crisisbeheer.

  • Het bestuur moet de maatregelen goedkeuren en toezicht houden op de uitvoering.

  • Ook risico’s bij rechtstreekse leveranciers en dienstverleners moeten worden meegenomen.

  • De organisatie moet kunnen aantonen dat afgesproken maatregelen daadwerkelijk worden toegepast en werken.

IT-manager en directie bespreken wat er gebeurt bij IT-uitval




Wat zijn de consequenties als je het niet kunt aantonen?

Het niet naleven van de Cyberbeveiligingswet kan leiden tot forse boetes voor de organisatie. Voor essentiële entiteiten kan de boete oplopen tot 10 miljoen euro of 2% van de wereldwijde jaaromzet. Voor belangrijke entiteiten geldt maximaal 7 miljoen euro of 1,4%. Welk maximum van toepassing is, hangt af van het type entiteit en de overtreding.









7 vragen om te testen of de continuïteit in jullie bedrijf aantoonbaar is

Een plan of technische maatregel heeft pas waarde als duidelijk is wat ermee wordt beschermd en of het in de praktijk werkt. Loop de vragen daarom langs met één focus: kun je het antwoord onderbouwen met bewijs, of is het (nog) een aanname? Kun je alleen "dat zal wel goed zitten" zeggen, dan heb je je verbeterkansen gevonden.





  • 1
    Welke processen zijn bedrijfskritisch en welke systemen, gegevens en mensen zijn daarvoor nodig?
  • 2
    Wie neemt de leiding bij IT-uitval en wie mag besluiten over prioriteiten en communicatie?
  • 3
    Worden back-ups niet alleen gemaakt, maar zijn ze ook succesvol terug te zetten en functioneel getest?
  • 4
    Is er een actueel herstel- en crisisplan dat ook buiten de normale IT-omgeving beschikbaar is?
  • 5
    Hoeveel dataverlies is acceptabel en binnen welke tijd moet ieder kritisch proces weer werken?
  • 6
    Van welke IT-leverancier(s) is ieder kritisch proces afhankelijk en welke herstelafspraken heb je met hen gemaakt?
  • 7
    Valt je organisatie rechtstreeks onder de wet of krijg je via klanten te maken met keten-verantwoordelijkheden?




Wat betekent de Cyberbeveiligingswet in de praktijk voor de IT?



Let op dat de continuïteit van je IT niet gebaseerd is op aannames

Je IT-partner houdt de systemen in de gaten en elke nacht wordt automatisch een back-up gemaakt. Ook weet je wie je moet bellen als er een storing is. Maar minder vaak is vastgelegd wat er ná IT-uitval als eerst hersteld moet worden, welke gegevens verloren mogen gaan en welke niet. En hoe lang herstelwerkzaamheden werkelijk duren?

Een voorbeeld. Op een vrijdagmiddag versleutelt ransomware een deel van je systemen. De back-up van die nacht is er, dus de eerste reactie is opluchting. Tot blijkt dat het terugzetten langer duurt dan gedacht, dat het herstellen van één cruciale koppeling niet direct lukt, en dat niemand formeel mag besluiten welk proces als eerste weer moet draaien.

De techniek is meestal niet het grootste probleem, maar de onduidelijkheid als in de praktijk iets misgaat. Je moet álles gepland hebben wat er gebeurt zodra de IT echt uitvalt. “Het komt goed”, is geen goed antwoord meer.

Wil je weten welke informatie je van een IT-partner mag verwachten? Lees dan ook ons artikel Hoe krijg je inzicht in wat je IT-partner uitvoert?

IT-beheerder controleert systemen die nodig zijn voor bedrijfscontinuïteit




Monitor toont de voortgang van het herstellen van een back-up

Een back-up is pas waardevol als je er data en processen mee kunt herstellen

Je IT-partner maakt automatisch back-ups. Dat is stap 1, want ook het terugzetten van een back-up moet getest worden. Daarin zijn twee niveaus te onderscheiden.
Tijdens een standaard back-up hersteltest meet je hoe lang het duurt om de boel weer draaiende te krijgen, welke bestanden keurig terugkomen en hoeveel gegevens verloren gaan.

Je kunt ook een volledige hersteltest doen van applicaties, koppelingen en bedrijfsprocessen. Dan zie je ook of (maatwerk)koppelingen met externe systemen, zoals je boekhoud- of orderpakket, na het terugzetten weer werken. Lukt dat niet, dan liggen er alsnog processen stil en zijn extra maatregelen nodig om ze weer draaiende te krijgen. Daarom houd je tijdens zo'n test ook bij hoe lang medewerkers niet kunnen werken.

Tip: maak duidelijke afspraken met je IT-partner over welk soort test zij voor jou uitvoeren.







Zo helpt SoftTech je met aantoonbare IT-beveiliging

SoftTech kan je ondersteunen met technische maatregelen, zoals vulnerability management, security monitoring, security patch management, endpoint detection & response (EDR), Microsoft 365 Security, back-upmonitoring, back-uphersteltests en security awareness-trainingen. Maar jouw organisatie blijft verantwoordelijk voor beleid, risicoafwegingen en naleving van de wet. Bepaal dus zelf de eisen voor elk bedrijfskritisch proces, eventueel met advies van je IT-partner.


1

Basispakket

Voor iedere klant met SoftTech Werkplekbeheer + Gebruikersondersteuning. Updates, virusbescherming en back-upbewaking.
2

Advanced-pakket

Kwetsbaarheden eerder ontdekken en verdachte activiteiten bewaken. Basis, plus scans op zwakke plekken en bewaking van verdachte meldingen. Eenmalig inrichten als project, daarna grotendeels automatisch.
3

NIS2 Ready-pakket *

Aantoonbaar in control. (Aanvullend op Basis en Advanced) Microsoft 365 Security Management, awareness-trainingen, phishingsimulaties en back-uphersteltests.

*NIS2 Ready betekent dat de technische maatregelen zijn ingericht. Daarvoor zijn alle modules nodig, invoeren kan stap voor stap. Volledige naleving vraagt ook beleid, risicoafwegingen en vastgelegde besluiten van je organisatie.








SoftTech biedt je een vrijblijvend gesprek om je continuïteit op hoofdlijnen door te nemen

Voor dit eerste gesprek hebben wij géén toegang tot je systemen nodig. We brengen eerst in kaart welke maatregelen je hebt (zonder te beoordelen of ze correct werken) en waarover nog betere afspraken gemaakt moeten worden.

Dit kun je verwachten:

  • We bespreken welke technische maatregelen, rapportages en herstelafspraken jouw organisatie nodig heeft.

  • Je krijgt antwoord op de vraag of voor jouw organisatie ook overheidssubsidie mogelijk is.

  • We helpen je bij het beantwoorden van de vragen: welke processen zijn bedrijfskritisch, hoeveel uitval is acceptabel en wie besluit tijdens een crisis?

  • We adviseren of een vervolgstap zinvol is om te controleren of jouw maatregelen werken, bijvoorbeeld technisch onderzoek of een back-uphersteltest.





SoftTech helpt continuïteitsvragen, herstelafspraken en IT-afhankelijkheden inzichtelijk maken

Ik meld me aan voor een vrijblijvend continuïteitsgesprek

Als je hieronder je gegevens achterlaat, dan nemen wij binnen 2 werkdagen contact met je op.

Extra informatie:

Vragen? Bel ons direct

Onze collega Kees Quist staat voor je klaar met heldere antwoorden.





Samengevat: geregeld is niet hetzelfde als aantoonbaar geregeld

Terug naar de vraag waar we mee begonnen: “Hoe snel kunnen we weer werken als de IT uitvalt en weten we zeker dat dit lukt?”

Een goed antwoord bestaat niet alleen uit een back-up, contract of herstelplan. Je moet als bedrijf zelf beslissen welke processen prioriteit hebben, wie verantwoordelijk is, welke hersteltijd haalbaar is en dat het herstel wordt getest.

Dat geeft je als IT-manager meer controle over je IT bij uitval en geeft de directie meer rust omdat het aantoonbaar geregeld is. Uitval kan immers nooit volledig worden voorkomen, maar met de juiste maatregelen is het wel duidelijk hoe je organisatie handelt en herstelt wanneer het toch gebeurt. En dat is precies wat de Cyberbeveiligingswet van bedrijven vraagt.







Veelgestelde vragen over de Cyberbeveiligingswet en continuïteit

Of de wet rechtstreeks geldt, hangt onder meer af van de sector, het type dienstverlening, de omvang en de organisatiestructuur. Gebruik de officiële NIS2-zelfevaluatie voor een eerste indicatie.