Sinds 15 augustus 2026 geldt de Cyberbeveiligingswet, de Nederlandse uitwerking van NIS2. Valt jouw klant eronder, dan moet die met élke leverancier afspraken maken over beveiliging, incidentmelding, kwetsbaarheden en continuïteit. Ook met de partij die de software host. Wij bouwden de serverbeheersoftware en het beveiligingsprogramma dat dit regelt, en leveren het bewijs erbij.
De wet legt de verplichtingen bij de organisatie die eronder valt. Maar die organisatie mag zijn leveranciers niet buiten beschouwing laten: beveiliging van de toeleveringsketen is een van de tien verplichte maatregelen. Wie software levert én laat hosten, krijgt de vragen dus vanzelf op zijn bord.
Organisaties in de sectoren van bijlage 1 en 2 van de wet, afhankelijk van aantal medewerkers, jaaromzet en balanstotaal. Sommige aanbieders vallen er ongeacht omvang onder, zoals DNS-diensten, domeinregistratie en overheden.
Risico's voor netwerk- en informatiesystemen in kaart brengen en beheersen. De wet noemt tien maatregelen die in elk geval geregeld moeten zijn; hieronder staan ze.
Een significant incident meld je bij het NCSC via MijnNCSC: een vroege waarschuwing binnen 24 uur, een incidentmelding binnen 72 uur en een eindverslag binnen een maand.
Het bestuur keurt de maatregelen goed, ziet toe op de uitvoering en moet aantoonbaar voldoende kennis hebben. Uitvoerende bestuurders volgen binnen twee jaar een verplichte training. Uitbesteden aan een CISO ontslaat het bestuur niet.
Letterlijk zoals de NCTV ze opsomt. Bij elke maatregel staat wat hij in de praktijk betekent voor de hosting van jouw software.
Een incident is significant als het een ernstige verstoring of financiële verliezen veroorzaakt of kan veroorzaken, of andere partijen aanzienlijke schade toebrengt. De precieze drempels verschillen per sector.
Die 24 uur beginnen te lopen op het moment dat jouw klant het weet. Draait de software bij een hostingpartij die pas de volgende ochtend ziet dat er iets mis was, dan is de termijn al half op voordat iemand kan beginnen met melden.
Een hostingpartij moet daarom binnen minuten zien dat er iets gebeurt, direct ingrijpen, en de feiten vastleggen: wat, wanneer, vanaf waar, welke systemen. Dat zijn precies de gegevens die de klant in de melding aan het NCSC moet zetten.
En de wet zegt het zelf: leveranciers vallen door het leveren aan een organisatie onder de wet niet automatisch zelf onder de wet. De klant moet het dus contractueel regelen. Met jou, en via jou met de hostingpartij.
"Organisaties die onder de Cyberbeveiligingswet vallen, moeten afspraken maken met leveranciers over beveiligingsmaatregelen, het melden van incidenten, het omgaan met kwetsbaarheden en continuïteit."
NCTV, Cyberbeveiligingswet, onderdeel ToeleveringsketenBron voor dit onderdeel: nctv.nl/onderwerpen/c/cyberbeveiligingswet. Of jouw klant onder de wet valt, bepaal je met de doorverwijsboom van de NCTV; wij geven daar geen juridisch oordeel over.
Wij beheren zelf tientallen servers voor honderden organisaties. Elke keer dat daar iets misging, hebben we er een stuk software voor geschreven dat het de volgende keer ziet, afvangt en meldt. Voor klanten die onder de Cyberbeveiligingswet vallen, of daaraan leveren, hebben we daar een compleet programma bovenop gezet. Hieronder per maatregel wat het doet, en wat er nog bij jou of je klant blijft liggen.
Voor een softwarebedrijf dat keuringssoftware voor de scheepvaart als SaaS levert aan grote opdrachtgevers die onder de Cyberbeveiligingswet vallen, hebben we dit programma in september 2026 volledig doorgevoerd: van een audit van de code op scheiding tussen klanten, tot dagelijkse scans, een maandelijkse hersteltest van de back-up en een maandrapport dat de klant aan zijn opdrachtgevers kan laten zien. Alles wat hieronder staat, draait daar vandaag.
Weten wat er draait en waar het kwetsbaar is.
Zien, ingrijpen, vastleggen, informeren.
Een back-up die niemand test is geen back-up.
Hier zijn wij de leverancier waar afspraken mee gemaakt moeten worden.
Updates die gebeuren, niet gepland staan.
Meten of de maatregelen nog werken.
Malware weren en inbrekers buiten houden.
Certificaten bewaken in plaats van aannemen.
Wie kan waarbij, en via welke route.
Een kanaal dat werkt als de rest uitvalt.
Geen eenmalige inrichting, maar controles die automatisch blijven lopen en hun uitkomst melden in het klantenpaneel.
| Frequentie | Controle | Wat er gebeurt |
|---|---|---|
| elke minuut | Diensten, belasting, geheugen | Uitgevallen dienst herstart en gemeld, crashlus direct alarm, aanvaller binnen vijf minuten geblokkeerd |
| elke 2 min | Security-agent | Integriteits- en accountcontrole, melding bij afwijking |
| elke 5 min | Bewaking applicatie | Schijfruimte, geheugen, cache, herstart van de applicatie, e-mailfouten |
| elk uur | Updates en back-up | Controle op openstaande beveiligingsupdates en of de nachtelijke back-up is gelukt |
| dagelijks | Malwarescan, applicatiescan, logreview, logarchivering | Eigen signaturen, kwetsbare afhankelijkheden en instellingen, logs 400 dagen buiten de server, beveiligingsupdates geïnstalleerd |
| wekelijks | Externe kwetsbaarheidsscan | Bekende kwetsbaarheden, TLS en headers vanaf onze scanserver |
| maandelijks | Hersteltest en maandrapport | Back-up teruggezet en vergeleken; samenvatting van alle controles per e-mail aan de klant |
| jaarlijks | Penetratietest en oefening (optioneel) | Externe pentest tegen kostprijs en een tabletop-oefening van het incidentresponsplan met de klant |
Compliance is niet alleen doen, maar ook kunnen laten zien. Daarom hoort bij de hosting een set documenten en een paneel waarmee je klant zijn opdrachtgevers, toezichthouder en bestuur kan bedienen.
Per onderdeel wat er op de servers en in de applicatie is geregeld, met frequentie en status, in gewone taal. Direct bruikbaar in het leveranciersbeleid van je klant.
Rolverdeling, subverwerkers, incidentmelding, omgang met kwetsbaarheden, continuïteit en vrijwaring. De vier onderwerpen die de wet noemt, met reactietijden.
Vastgestelde stappen en termijnen: melding aan de klant binnen 24 uur na ontdekking, update binnen 72 uur, afsluitend rapport. Sluit aan op de meldplicht.
Elke scan, hersteltest en externe controle staat in het klantenpaneel, gesorteerd op kritiek, aandacht en in orde, met het volledige rapport als bestand. Je klant kan er zelf bij.
Op de eerste van de maand een samenvatting van alle controles per e-mail. Het bewijs voor de opdrachtgever dat de maatregelen niet alleen op papier staan.
Vragen van de opdrachtgever, de auditor of het bestuur van je klant over de hosting? Wij beantwoorden ze, met de techniek erbij.
Wij zijn een technische partij, geen jurist of auditor. Een paar dingen liggen buiten wat hosting kan regelen, en we zeggen dat liever vooraf:
Stuur ze door. We lopen samen de tien maatregelen na voor jouw software, en je krijgt een eerlijk antwoord op wat al geregeld is en wat nog niet. Geen verplichtingen.
Niet automatisch. De NCTV zegt letterlijk dat leveranciers niet onder de wet vallen enkel omdat ze leveren aan een organisatie die eronder valt. Maar je klant moet wél afspraken met je maken over beveiliging, incidentmelding, kwetsbaarheden en continuïteit. In de praktijk krijg je die eisen dus contractueel. Lever je zelf een dienst uit bijlage 1 of 2, of ben je een managed serviceprovider van voldoende omvang, dan kun je er wel rechtstreeks onder vallen; dat bepaal je aan de hand van de wet.
Een grote cloudpartij levert veilige bouwstenen, maar de servers, updates, back-ups, monitoring en incidentafhandeling van jouw omgeving zijn jouw verantwoordelijkheid, of die van wie je daarvoor inhuurt. Het gedeelde verantwoordelijkheidsmodel legt precies dat deel bij jou. Ons programma vult dat deel in en levert er het bewijs bij.
Ja. De software is ontstaan voor onze eigen vloot en draait op Ubuntu- en AlmaLinux-servers met en zonder beheerpaneel. We sluiten je servers aan op het paneel, de scans en de meldingen; het beheer kun je zelf doen of bij ons laten. Zie ook het onderdeel serverbeheersoftware op de hoofdpagina.
In datacenters in Nederland en de Europese Unie, beheerd door ons; de back-upserver staat in Nederland. Welke locatie precies, leggen we per klant vast in de overeenkomst, samen met de subverwerkers voor bestandsopslag en e-mail. Er zit geen partij tussen die je klant nog apart hoeft te beoordelen.
De bewaking van diensten, belasting, geheugen en schijf draait elke minuut; een uitgevallen dienst of een crashlus geeft direct een alarm. Malwarescans, applicatiescans, logreview en updates draaien elke nacht, de externe scan elke week. Een aanval die een server vol trekt wordt binnen vijf minuten aan de bron geblokkeerd. Alles gaat naar een extern meldkanaal en, bij een echt incident, naar een mens.
Dat hangt af van het aantal servers, de applicatie en of wij het beheer doen of alleen de software leveren. Je krijgt vooraf een vaste offerte met een eenmalig deel voor de inrichting en audit, en een vast maandbedrag voor de doorlopende controles daarna. Een externe penetratietest berekenen we tegen kostprijs door.