Op 1 juli 2026 treedt naar verwachting de Cyberbeveiligingswet in werking, de Nederlandse vertaling van de Europese NIS2-richtlijn. Voor contactcenters, BPO-dienstverleners en technologieleveranciers betekent dit nieuwe wettelijke verplichtingen op het gebied van cybersecurity, meldplicht en supply chain beveiliging. Wie valt eronder? Wat moet je regelen? En hoe beïnvloedt dit je contracten en dagelijkse operatie?

In dit artikel:

• wat is de Cyberbeveiligingswet?
• hoe verloopt de invoering?
• wat betekent de wet voor contactcenters?
• wat houden zorgplicht en meldplicht in?
• wat betekent de wet voor BPO-spelers
• hoe werkt de ketenaansprakelijkheid?

 

Hoe zat het ook alweer? De Cyberbeveiligingswet (Cbw) is de Nederlandse vertaalslag (implementatiewet) van de Europese NIS2-regelgeving. De NIS2-richtlijn heeft als doel om de cyberbeveiliging en de weerbaarheid van essentiële diensten in EU-lidstaten te verbeteren. Nederland loopt achter met de implementatie van NIS2 en is hiervoor op de vingers getikt door de EU. Andere EU-landen zijn al volop aan de slag. De invoeringsdatum is echter in zicht.

Planning wetgevingsproces – De inwerkingtreding van de Cbw staat gepland voor 1 juli 2026. Op 15 april 2026 is het wetsvoorstel voor de Cyberbeveiligingswet aangenomen door de Tweede Kamer, het moet nu alleen nog door de Eerste Kamer. Of de deadline van 1 juli wordt gehaald is onzeker. De Eerste Kamer is al wel met de inhoudelijk behandeling begonnen: de Eerste Kamercommissies voor Digitalisering (DIGI) en voor Justitie en Veiligheid (J&V) hebben op 2 juni 2026 een schriftelijk verslag ingediend waar het kabinet nog op moet reageren. Daarna kan plenaire behandeling en stemming in de Eerste Kamer plaatsvinden. Als de wet wordt aangenomen, treedt deze direct in werking – wat betekent dat organisaties weinig tijd hebben om te voldoen aan de nieuwe eisen.

 

De Cbw legt een aantal verplichtingen op aan organisaties met 50 of meer medewerkers, of een jaaromzet van meer dan 10 miljoen euro, die actief zijn in de achttien aangewezen sectoren. Die sectoren zijn: energie, drinkwater, transport, financiële dienstverlening, gezondheidszorg, digitale infrastructuur, overheid en nog tien andere. De drie kernverplichtingen die de wet oplegt: zorgplicht (passende technische en organisatorische maatregelen nemen), meldplicht (significant incident binnen 24 uur melden bij het NCSC, gevolgd door een vervolgmelding met impact-assessment binnen 72 uur en een eindverslag na één maand) en registratieplicht.

Een significant incident is bijvoorbeeld een datalek waarbij persoonsgegevens van klanten zijn blootgesteld, of een uitval van kritische systemen zoals het CRM-platform. Een incident is volgens de richtlijnen van NCSC significant als het aanzienlijke operationele verstoring veroorzaakt, of als vertrouwelijkheid, integriteit of beschikbaarheid van data ernstig is aangetast.

In de achttien sectoren die de wet noemt, is nergens het woord ‘contactcenter’ vermeld. Toch is deze wet wel degelijk relevant voor de klantcontactsector. Op de eerste plaats voor de organisaties die er onder vallen en hun contactcenters; op de tweede plaats via de contracten met opdrachtgevers en toeleveranciers die onder de wet vallen.

Welke contactcenters vallen onder de Cyberbeveiligingswet?

De sectoren waarvoor de wet geldt, hebben veelal te maken met relatief grote klantcontactvolumes: denk aan energie, gezondheidszorg, telecom en waterbedrijven – aangeduid als ‘essentiële entiteiten’. De wet geldt ook voor ‘belangrijke entiteiten’ zoals financiële dienstverleners en digitale aanbieders. Als de moederorganisatie onder de wet valt, geldt dat in specifieke gevallen ook voor alle bedrijfsonderdelen, inclusief de klantenserviceafdeling. Die krijgt dan dus te maken met zorgplicht, meldplicht en registratieplicht bij cyberincidenten.

Zorgplicht

“De zorgplicht vormt de kern van de NIS2 ofwel Cyberbeveiligingswet, zegt Lianne Sieben, advocaat op het gebied van cyberbeveiliging bij The Data Lawyers. Klanten die hun bank, verzekeraar of energiebedrijf bellen na een storing of cyberincident, moeten worden geholpen, geïnformeerd en gerustgesteld. De frontoffice moet weten wat ze kunnen en mogen zeggen, en wanneer. Dat betekent aanpassen van procedures, kennisbanken, instructies en trainingen.

Organisaties – dus ook hun klantenserviceafdeling – zijn verplicht om een risicobeoordeling uit te voeren en op basis daarvan passende technische, operationele en organisatorische maatregelen te nemen. Die moeten gericht zijn op het voorkomen van incidenten of de gevolgen daarvan voor klanten te beperken. Dat kan huiswerk opleveren voor de klantenservicemanager: in kaart brengen welke systemen de klantenservice gebruikt, wie toegang heeft tot klantdata, en wat er gebeurt bij uitval van bijvoorbeeld een CRM- of CCaaS-platform of een andere clouddienst. 

Meldplicht

De meldplicht verplicht organisaties die onder de Cyberbeveiligingswet vallen om significante cyberincidenten te melden bij het bij het bevoegde CSIRT: voor de rijksoverheid en vitale sectoren is dat het NCSC, voor andere sectoren kan dit een ander meldpunt zijn. Die melding moet binnen 24 uur na ontdekking plaatsvinden via het meldportaal van het NCSC. Binnen 72 uur volgt een vervolgmelding met een impact-assessment, en uiterlijk één maand na de incidentmelding moet een eindverslag worden ingediend. Een incident is significant als het aanzienlijke operationele verstoring van diensten of financiële schade voor de organisatie veroorzaakt (of kán veroorzaken) of als het andere personen treft door aanzienlijke materiële of immateriële schade. De meldplicht geldt voor de organisatie als geheel, inclusief de klantenserviceafdeling: die moet tevens weten wat er bij een incident gecommuniceerd mag worden naar klanten, en binnen welke termijn.

“De meldplicht dwingt organisaties om binnen 24 uur te erkennen dat er iets mis is – niet pas wanneer ze het hele plaatje hebben. Dat is een cultuuromslag: je meldt niet omdat je de oplossing kent, maar juist omdat je die nog níét kent. En die transparantie geldt niet alleen richting de toezichthouder – ook je klanten hebben recht op tijdige informatie over wat een incident voor hén betekent.”, zo zegt Sieben.

Registratieplicht

De registratieplicht is de meest praktische, maar ook de minst bekende. Organisaties die onder de Cyberbeveiligingswet vallen, zijn wettelijk verplicht zich te registreren in het nationale entiteitenregister via de site van het ncsc.nl. In dat register leggen betrokken organisaties allerlei basisgegevens vast, waaronder of de organisatie essentieel of belangrijk is. Deze registratie is nodig om te kunnen voldoen aan de meldplicht – om incidenten te kunnen melden via het portaal van het NCSC. De registratieplicht gaat in op het moment dat de wet van kracht wordt.

Bestuurdersaansprakelijkheid

De Cyberbeveiligingswet verplicht bestuurders de beveiligingsmaatregelen formeel goed te keuren en actief toezicht te houden op de uitvoering. De wet schrijft zelfs een trainingsplicht voor: bestuurders moeten voldoende kennis hebben om weloverwogen te kunnen beslissen over cyberrisico’s.

Bij niet-naleving kunnen er boetes worden opgelegd en kunnen bestuurders tijdelijk geschorst worden door toezichthouders. Persoonlijke aansprakelijkheid treedt uitsluitend op bij aantoonbare nalatigheid en werkt in dit opzicht net als de gewone bestuurdersaansprakelijkheid. “Het ernstig verwijt-criterium is niet verlaagd, maar de Cyberbeveiligingswet geeft de rechter nu wél een concrete meetlat. Bestuurders die niet kunnen aantonen dat zij cyberrisico’s actief hebben goedgekeurd, bewaakt en begrepen, staan met lege handen als het fout gaat,” zegt Sieben.

Samenhang met DORA – Contactcenters die werkzaam zijn binnen of voor een financiële instelling, hebben ook te maken met DORA, de Digital Operational Resilience Act. DORA is sinds 17 januari 2025 van toepassing en is gericht op het versterken van de digitale weerbaarheid van financiële instellingen. In Nederland houden DNB en AFM toezicht op de naleving. DORA geldt voor banken, verzekeraars, pensioenfondsen, betaalinstellingen en beleggingsondernemingen – inclusief hun inhouse klantenserviceafdelingen. De frontoffice moet daarom beschikken over incidentrespons-procedures, crisiscommunicatieprotocollen richting klanten bij ICT-verstoringen, en aantoonbaar ICT-risicobeheer. DORA verplicht financiële instellingen ook om aan te tonen dat zij continu voldoen aan meetbare weerbaarheid op het vlak van ICT-risicobeheer bij derde partijen, zoals een BPO-partner of CCaaS-leverancier die voor een bank of verzekeraar werkt. Wie voor een bank of verzekeraar het klantcontact verzorgt, heeft dus met beide wetgevingskaders te maken.

BPO-dienstverleners

Er is ook een andere groep die onder de wet kan vallen: BPO-dienstverleners die werken voor organisaties in de aangewezen sectoren en die zelf boven de drempel van 50 medewerkers of 10 miljoen euro omzet uitkomen. Zij kunnen als ‘belangrijke entiteit’ worden aangemerkt, zeker als hun diensten door de opdrachtgever als kritiek worden beschouwd voor de eigen bedrijfscontinuïteit.

BPO-dienstverleners die voor opdrachtgevers in de aangewezen sectoren actief zijn, moeten zelf bepalen of ze onder de wet vallen. Bedrijven kunnen daarbij gebruik maken van een zelfevaluatietool van de Rijksinspectie Digitale Infrastructuur op zelfevaluatie.rdi.nl.

Wie onder de wet valt, heeft dezelfde drie kernverplichtingen als voor organisaties met een inhouse contactcenter: zorgplicht, meldplicht en registratieplicht. Opdrachtgevers die onder de wet vallen, zijn bovendien verplicht om hun leveranciers te beoordelen: ze moeten kunnen aantonen dat hun keten onder controle is. Artikel 21, lid 2, sub d van de NIS2-richtlijn verplicht entiteiten expliciet tot het borgen van supply chain security, inclusief de relaties met directe dienstverleners.

Ketenverantwoordelijkheid

BPO’s, net zoals de andere Cyberbeveiligingswet-plichtige entiteiten, moeten dus in staat zijn hun opdrachtgevers te kunnen laten zien wat ze geregeld hebben: denk aan informatiebeveiligingsbeleid, het incidentrespons-proces, meldtermijnen richting de opdrachtgever, inzicht in wie toegang heeft tot klantdata en op welke systemen, en aantoonbare bewustwording onder medewerkers. Dit geldt ook voor CCaaS-aanbieders, WFM-leveranciers, CRM-partijen, chatbotleveranciers en telefonieaanbieders die werken voor organisaties in de aangewezen sectoren. Werken dit soort spelers voor bedrijven in kritieke sectoren, dan kunnen ze zelf worden aangemerkt als kritieke derde partij op het vlak van ICT.

Organisaties die onder de wet vallen, moeten schriftelijke afspraken maken met hun leveranciers over beveiliging, incidentbeheer en ketenverantwoordelijkheid. Dat leidt tot aanscherping van SLA’s, IT-overeenkomsten en algemene voorwaarden.

Nearshore- en offshore outsourcing

Een broodje speciaal vormen de dienstverleners die buiten de EU werken. Suriname is geen EU-lidstaat en valt zelf niet onder de Cyberbeveiligingswet. Maar de Nederlandse opdrachtgever die zijn klantenservice daar uitbesteedt, wél. Die opdrachtgever is verplicht zijn leveranciersketen te beoordelen en te beveiligen, ook als die keten buiten de EU ligt. Artikel 21 van de NIS2-richtlijn maakt geen uitzondering voor derde landen: de zorgplicht voor supply chain security geldt voor alle directe leveranciers, ongeacht waar ze gevestigd zijn. Opdrachtgevers die klantcontact hebben uitbesteed naar Suriname, moeten hun offshore-partner(s) dus beoordelen op cybersecuritymaatregelen, die beoordeling documenteren en bij voorkeur contractueel vastleggen. Ziptone heeft in februari 2025 al bericht over de waarschuwing van de Autoriteit Persoonsgegevens over offshoring naar Suriname. Met NIS2 wordt daar op korte termijn dus een cybersecuritylaag aan toegevoegd, bovenop de AVG-verplichtingen die al golden.

Tips om aan de slag te gaan

1. ISO 27001 is een goede basis richting NIS2. Maar een ISO 27001 certificaat levert geen ‘vrijstellingen’ op.
2. Op iBestuur is een checklist te vinden. Die biedt houvast.
3. Je kunt ook terecht bij het Nationaal Cyber Security Centrum van het Ministerie van Justitie en Veiligheid of de zelfevaluatietool van de Rijksinspectie Digitale Infrastructuur.

Met medewerking van Lianne Sieben, The Data Lawyers

(Ziptone/Erik Bouwer)

Featured, Technologie