De hack bij Albert Heijn is een van de eerste grote incidenten onder de Cyberbeveiligingswet, die in augustus 2026 is ingegaan. Dat schreef de NOS op 17 oktober. Albert Heijn moest het incident verplicht melden bij het Nationaal Cyber Security Centrum, binnen 24 uur. Toen ik dat las, was mijn eerste gedachte dat veel ondernemers zich nu afvragen of die meldplicht ook voor hun eigen bedrijf geldt. Voor de meeste lezers van deze site is het eerlijke antwoord nee. Maar dat betekent niet dat je na een hack niets hoeft te melden, en ook niet dat de wet je niet raakt.
Voor wie de Cyberbeveiligingswet geldt
Of je eronder valt, hangt volgens het NCSC af van twee dingen, je sector en de omvang van je bedrijf. De wet geldt voor ongeveer 8000 organisaties in achttien kritieke sectoren, zoals energie, drinkwater, de zorg, banken, digitale infrastructuur en ook de levensmiddelensector. Daarom valt een supermarktketen eronder.
Dan de omvang. Zit je in zo’n sector, dan val je eronder als je 50 of meer medewerkers hebt, of als je minder mensen in dienst hebt maar zowel je jaaromzet als je balanstotaal boven de 10 miljoen euro ligt. Een kleine organisatie, met minder dan 50 medewerkers en een omzet of balanstotaal tot 10 miljoen euro, valt er in principe niet onder. Let op dat je partner- en verbonden ondernemingen meetelt, zoals een holding of dochterbedrijven. Een paar soorten dienstverleners vallen er altijd onder, ongeacht hun omvang. Het gaat dan om DNS-dienstverleners, aanbieders van openbare telecomnetwerken en -diensten, verleners van vertrouwensdiensten en registers voor topleveldomeinen.
Twijfel je, dan is de NIS2-zelfevaluatie van de Rijksinspectie Digitale Infrastructuur de snelste route. Die vertelt je ook of je als essentieel of als belangrijk geldt. Val je eronder, dan heb je drie plichten. Je registreert je bij het NCSC, je neemt passende beveiligingsmaatregelen en je meldt incidenten met grote impact binnen 24 uur, met een update na 72 uur.
Je valt er niet onder, maar je klant wel
Hier zit voor mij het interessantste deel van het NOS-stuk. Bart Scholten van Kiwa zegt daarin dat de verantwoordelijkheid verder reikt dan het bedrijf zelf. Wie onder de wet valt, moet de risico’s van de bedrijven waarmee hij zaken doet in kaart brengen, en kan aan die leveranciers eisen stellen over hun beveiliging.
Ben je installateur bij een drinkwaterbedrijf, lever je software aan een zorginstelling of doe je de logistiek voor een groothandel in levensmiddelen, dan kan die wet dus via je contract alsnog bij jou terechtkomen. Ik verwacht dat dit de komende tijd de manier is waarop het mkb de Cyberbeveiligingswet gaat merken. Niet als brief van de toezichthouder, maar als vragenlijst van een grote klant, of als nieuwe clausule in een raamovereenkomst. Wie dan kan laten zien dat er tweestapsverificatie aanstaat, dat er back-ups zijn en dat er een plan ligt voor als het misgaat, staat sterker dan de concurrent die eerst moet gaan uitzoeken wat er gevraagd wordt.
Dat plan hoeft geen dik document te zijn. Scholten zegt in het NOS-stuk dat je moet proberen een aanval te voorkomen, maar ook een plan moet hebben voor als het toch gebeurt. Hoe je je zaak bij uitval van systemen draaiende houdt, lees je in het stuk over het cyberincident bij Albert Heijn en je eigen bedrijf.
De meldplicht die bijna elke ondernemer wel heeft
Valt je bedrijf buiten de Cyberbeveiligingswet, dan blijft er een andere meldplicht over, en die vergeten ondernemers vaker dan je denkt. Worden er bij een hack persoonsgegevens buitgemaakt of versleuteld, zoals klantgegevens, personeelsdossiers of een mailbox vol adressen, dan is dat een datalek onder de privacywet. Volgens de Autoriteit Persoonsgegevens meld je zo’n lek binnen 72 uur nadat je het ontdekt, tenzij het onwaarschijnlijk is dat het een risico vormt voor de mensen van wie de gegevens zijn. Bij ransomware of phishing doe je die eerste melding ook als je nog niet alles weet, en vul je haar later aan.
Die plicht geldt voor de kapsalon met een klantenbestand net zo goed als voor een supermarktketen. Het verschil met de Cyberbeveiligingswet is wat er gemeld wordt. De AP gaat over de persoonsgegevens, het NCSC over de verstoring van je dienstverlening. Een groot bedrijf als Albert Heijn kan dus bij beide terechtkomen, en jouw zaak in de meeste gevallen alleen bij de AP.
Daarnaast is aangifte bij de politie verstandig, ook al is het geen plicht. Waarom het eerste uur na een hack daarbij telt, staat in het stuk over aangifte doen na een hack.
Wat je nu regelt
Doe eerst de zelfevaluatie als je in een van de genoemde sectoren werkt of meer dan 50 mensen in dienst hebt. Dan weet je het zeker, en hoef je niet op een vragenlijst van een klant te wachten. Sinds 15 augustus 2026 is registratie bij het NCSC verplicht voor wie eronder valt, dus wie daar nu pas achter komt, heeft al een achterstand.
Leg daarna vast wie in jouw bedrijf beslist of iets een datalek is en wie het meldt. Dat klinkt formeel, maar op het moment dat je systemen platliggen wil je die vraag niet meer hoeven te stellen. Zet het meldformulier van de AP en het nummer van je IT-leverancier op papier, buiten je computer.
Kijk tot slot naar je grootste klanten. Zit er een bij in een kritieke sector, vraag dan zelf wat ze van je verwachten voordat de vragenlijst komt. En heb je weinig budget voor beveiliging, kijk dan of je in aanmerking komt voor de subsidie voor cyberweerbaarheid, die volgens het NCSC tot 1.250 euro vergoedt voor maatregelen die een klein bedrijf weerbaarder maken.