De nieuwe Cyberbeveiligingswet stelt hoge eisen aan de digitale veiligheid van organisaties in Nederland die essentiële of belangrijke diensten verlenen. Ruim 8.100 bedrijven vallen onder de wet, waarvan circa 1.200 in de foodsector. Zij moeten voldoen aan de zogenaamde ‘zorgplicht’, wat o.a. betekent dat deze bedrijven strenge eisen gaan stellen aan hun toeleveranciers. Deze wet raakt dus de héle keten. Ook jou.
De Cyberbeveiligingswet (Cbw) is de Nederlandse uitwerking van de NIS2-richtlijn die de Europese Unie heeft vastgesteld. Het doel: het vergroten van de digitale weerbaarheid van organisaties in Nederland. De wet is van toepassing op 19 zogenaamd ‘essentiële’ en ‘belangrijke’ sectoren in Nederland. Denk aan de zorg, energie, water, het bankensysteem, IT-beheerders, en ook onze voedselproductie. Bedrijven die onder de Cbw vallen, hebben een registratieplicht, een zorgplicht en een meldplicht voor incidenten. Organisaties moeten zélf nagaan of ze onder de Cbw vallen. Vooral bij concernstructuren, verschillende vestigingen en minder voor de hand liggende sectoren, kan de beoordeling ingewikkeld zijn.
De wet is sinds 15 augustus van kracht, maar nog niet erg bekend. Kort na de inwerkingtreding had minder dan de helft van de ongeveer 8.100 meldingsplichtige bedrijven zich geregistreerd. Er is dus nog wel wat werk aan de winkel. Samen Digitaal Veilig helpt organisaties om te voldoen aan de eisen van de wet. Dat doen ze met een platform vol informatie en documenten, met webinars én met ondersteuning van experts, zoals Henk Bijsterbosch. Hij praat ons bij in deze toch wel complexe materie.
Eerst maar eens inzoomen op het ‘waarom’ van deze wet: “We moeten ons realiseren dat een cyberaanval op essentiële of belangrijke sectoren verregaande gevolgen kan hebben voor onze samenleving”, begint Henk. “Zo’n aanval kan uitgevoerd worden op verschillende vlakken. Denk aan internetcriminelen die inbreken op IT-systemen. Steeds vaker worden deze automatisch gestuurd door nieuwe AI-modellen, waardoor de kans om slachtoffer te worden van een ransomware-aanval flink is toegenomen. Daarnaast hebben we te maken met oplopende geopolitieke spanningen. Statelijke actoren, zoals China, Rusland en Noord-Korea, zijn niet uit op geldelijk gewin; hun doel is maatschappelijke ontwrichting teweegbrengen. De gevolgen kunnen groot zijn. Wat als een energiemaatschappij geen energie meer kan leveren, een ziekenhuis plat gaat, of er geen schoon drinkwater meer beschikbaar is?” Beide type aanvallen zijn vaak niet meer puur op één bedrijf gericht. Er wordt een ingang gezocht via ketenpartners.” De verschillende schakels in de keten zijn daarmee stuk voor stuk digitale poortjes die aangevallen kunnen worden. Henk: “Het argument ‘Mijn organisatie is niet interessant genoeg om gehackt te worden, ik hoef dus niets te doen’ gaat niet meer op. Die tijd is voorbij. De ultieme vraag is: ‘Wat is de impact op de keten als ík mijn cyberveiligheid niet goed regel?’”
Henk Bijsterbosch
Het webinar over de Cyberbeveiligingswet en het toezicht in de levensmiddelenindustrie, gezamenlijk georganiseerd door de Federatie Nederlandse Levensmiddelindustrie (FNLI), de Nederlandse Voedsel- en Warenautoriteit (NVWA) en het platform Samen Digitaal Veilig (SDV), stelde Cees-Jan Adema, directeur van de FNLI, dat de levensmiddelensector ‘een cruciale sector’ is. “We moeten ons realiseren dat we voor een heleboel partijen, of we het leuk vinden of niet, een doelwit zijn. We moeten ons óók realiseren dat we er niet alleen mee aan de slag moeten omdat de overheid vindt dat we wat moeten doen. Ik doe thuis ook mijn deur op slot, terwijl er geen enkele wet is die mij daartoe verplicht. Ik doe dat omdat ik mensen buiten wil houden die ik niet in mijn huis wil. Zo moeten we ook met cybersecurity omgaan.” In de voedselverwerkende industrie zijn de afgelopen 10 jaar heel veel automatiseerprocessen doorgevoerd. Het automatiseren van processen en het bestrijden van cyberaanvallen vormen een technologische tweestrijd. Enerzijds biedt automatisering (ook via AI) bedrijven enorme efficiëntievoordelen. Anderzijds gebruiken cybercriminelen exact diezelfde automatisering om cyberaanvallen op te schalen, te versnellen en efficiënter te maken. Dat maakt de branche kwetsbaar, met name op OT-vlak. “Machines in productiehallen hebben doorgaans afschrijvingstermijnen van tientallen jaren. Ze draaien prima, maar vaak wel op oude software waar geen updates meer voor zijn”, legt Henk uit. “In sommige gevallen bestaat de softwareleverancier niet eens meer. Zolang het draait, blijft iedereen er liever vanaf. Een hacker die in een dergelijk verouderde OT-omgeving kan komen, kan via deze machines grote schade aanrichten.”
“We zijn een uitermate efficiënt georganiseerd land en georganiseerde industrie,” benadrukte Richard van Buuren van de NVWA tijdens datzelfde webinar. Toch staat de levensmiddelenindustrie structureel in de top 3 van meest aangevallen hackersdomeinen in de maakindustrie in Europa. “Bedrijven die werken met grondstoffen hebben meestal maar een minimale buffer”, verklaart hij. “Na twee dagen blokkade heeft zo’n bedrijf al echt een bedrijfscontinuïteitsprobleem. Verstoringen hebben dus snel effect. Bovendien is Nederland voor heel veel producten de poort naar Europa. Zet je als hacker die poort op slot, dan creëer je in heel Europa al snel een groot probleem.”
Een voorbeeld van hoe groot die impact kan zijn, is de zogenaamde ‘kaashack’, waarbij het transportbedrijf Bakker Logistiek (nu STEF Groep) werd gehackt. Direct gevolg daarvan was dat Albert Heijn niet meer bevoorraad werd met kaas. Dat de schappen voor kaas leeg bleven, was echter niet het grootste probleem. Klanten gingen voor hun kaas naar andere supermarkten en, eenmaal daar haalden ze hun andere boodschappen daar ook maar meteen. De getroffen supermarktketen had in korte tijd te maken met een enorme omzetderving. “Bedrijven en organisaties moeten daarom bewust aan de slag met het verbeteren van hun cyberveiligheid en het verhogen van de cyberweerbaarheid. Het gaat om bedrijfscontinuïteit, waarbij informatiebeveiliging (de digitale veiligheid) een belangrijk onderdeel is, maar ook om bijvoorbeeld de rechten, plichten en toegangsrechten die je verleent aan medewerkers én aan externen. Mag iedereen onaangekondigd je pand binnenlopen? Mag de liftmonteur zomaar op alle afdelingen komen? Tot welke ruimtes krijgen schoonmakers toegang; mogen ze bijvoorbeeld ook in een serverruimte komen?”
Grote klanten, zoals supermarktketens, zullen steeds vaker van hun leveranciers vragen om aantoonbaar bewijs te leveren dat ze cyberveilig werken en -weerbaar zijn. “Aantoonbare cybersecurity is méér dan een voorwaarde om zaken te blijven doen”, vertelt Henk. “Als je bij potentiële klanten kunt zeggen: ‘Wij voldoen aantoonbaar aan uw security-eisen’, verkoop je niet alleen jouw product of dienst, maar ook vertrouwen. Dat is vooral belangrijk wanneer je toegang hebt tot systemen, data of processen van grote klanten. Je cybersecurity goed op orde hebben, kan je zo voordeel opleveren ten opzichte van concurrenten die dat bewijs (nog) niet kunnen leveren. Zo win je wellicht zelfs nieuwe opdrachten.”
Terug naar de meldingsplichtige bedrijven. Zij moeten zich, als ze dat nog niet hebben gedaan, zo snel mogelijk registreren op mijn.ncsc.nl (National Cyber Security Centrum). Daarnaast hebben ze zogenaamde ‘zorgplicht’. Dat betekent dat je als je onder de scope van deze wet valt, ervoor moet zorgen dat jouw organisatie cyberveilig is. “Bovendien, en dat is héél belangrijk”, zegt Henk, “Moet je er óók voor zorgen dat de veiligheid in de keten waarin je werkt verbetert. Daarvoor moet je, als je onder deze wet valt, dus je héle toeleveringsketen onder de loep nemen. Je zult voor elke leverancier moeten bepalen wat de impact is op jouw product, dienst of bedrijfsproces als die getroffen wordt door een (cyber)incident. Alle 8.100 meldingsplichtige bedrijven moeten dit doen met ál hun leveranciers. Daarmee krijgen naar schatting meer dan 100.000 bedrijven en ondernemers indirect met de wet te maken! Is er een risico, dan schrijft de wet voor dat je passende en evenredige maatregelen moet nemen.” Om dit per leverancier te kunnen bepalen, hebben de brancheverenigingen een norm ontwikkeld speciaal voor de toeleveringsketen (m.n. voor mkb bedrijven): ‘NIS2 Supply Chain’, op drie volwassenheidsniveaus. Voor deze normering kun je een certificering behalen (je aantoonbare bewijs) via het Samen Digitaal Veilig platform, waar naast allerlei handige tools ook de benodigde ondersteuningsmaterialen beschikbaar zijn.
“Heel veel mensen weten niet waar ze moeten beginnen om dit allemaal op orde te krijgen”, weet Henk. “De meerderheid van de bedrijven heeft nog geen adequaat Cyber Incident Response Plan en onvoldoende capaciteit voor het structureel monitoren van de OT- en IT-processen. Normen kunnen helpen om dit gestructureerd allemaal op orde te krijgen. Van de drie genoemde volwassenheidniveaus zullen de meeste bedrijven voldoende hebben aan de ‘Basic’ variant. We nemen je stap voor stap mee in de 17 maatregelen die je daarvoor moet nemen, een traject van zo’n twee tot vier maanden. De hoogste variant bevat 55 maatregelen met een looptijd van zes tot negen maanden. Als je alle stappen hebt doorlopen, komt er een onafhankelijke audit. Ben je geslaagd? Dan krijg je je certificering. Het is echter niet zo dat als je op alle punten voldoet aan de norm én je certificering in huis hebt, je dús ook aan de wet voldoet. Je moet het vooral zien als een hulpmiddel om het aantoonbare bewijs te kunnen laten zien aan grote klanten, zodat je onderdeel blijft van de toeleveringsketen. Het goede nieuws is dat je certificering of een aantoonbaar beveiligingsniveau niet voor iedere klant opnieuw op hoeft te bouwen; één bewijs kun je bij meerdere opdrachtgevers gebruiken.”
Cybersecurity ligt vrijwel altijd op het bordje van de IT-man of -vrouw of een Corporate Information Security Officer. “Deze mensen of afdelingen hebben doorgaans weinig mandaat en budget, maar worden wél verantwoordelijk gehouden als het misgaat,” aldus Henk. “Dat is nu veranderd. Onder de Cbw zijn directie en de directie hoofdelijk aansprakelijk voor de geleden schade. De EU wil hiermee bedrijven ertoe dwingen van cybersecurity een board-topic te maken.” In de Cbw staat dan ook dat elk bestuurslid en directielid vóór 15 augustus 2028 een gecertificeerde bestuurderstraining moet hebben gevolgd over dit onderwerp.
De Cyberbeveiligingswet is de Nederlandse uitwerking van de Europese NIS2-richtlijn
“Stel”, vervolgt Henk, “bij een bedrijf staat zowel de productie- als de IT-omgeving op zwart. Niks draait meer. Wat doe je? Is er een incident-responseplan? Als ik dit in de praktijk aan ondernemers vraag, hoor ik geregeld iets als ‘Eh, ja hoor. We weten wel ongeveer wat we moeten doen.’ Dat is niet oké; je moet precíes weten wat je moet doen! Als je productieproces opeens stilvalt en je mensen niet kunnen werken heeft dat invloed op de bedrijfscontinuïteit, jouw werknemers en daarmee ook op veel gezinnen. Je hebt een grote verantwoordelijkheid. Je moet je leveranciers informeren, de IT-partner inschakelen, de pers komt op je af. Er gebeurt zóveel met en in jouw organisatie dat je op dat moment niet meer logisch kunt nadenken. Je moet kunnen terugvallen op een duidelijk plan. Dat plan mag niet alleen online of in de cloud staan; je moet een hardcopy met handleidingen, instructies, maatregelen, telefoonnummers enzovoort in een kast hebben liggen, op kantoor en thuis. Het liefst bij meerdere mensen.”
De meldplicht geldt al. Dus als je op een dag gehackt wordt, móet je dat melden. Vervolgens zal de Toezichthouder (NVWA) bekijken of je aan de wet voldoet. “Heb je de maatregelen die je hebt beschreven, ook daadwerkelijk allemaal goed uitgevoerd? Heb je de processen zo ingeregeld dat mensen maximaal kennis en knowhow hebben ontwikkeld? Heb je dit bijgehouden, getoetst en vastgelegd? De toezichthouder zal elk bedrijf eens per 4 jaar controleren en vragen om een ‘root cause analysis’: kun jij de oorsprong vinden van het moment waar het is fout gegaan?” somt Henk op. “Ben je als directie nalatig geweest, dan kan de toezichthouder een boetekaart trekken. Dat zijn substantiële bedragen. Boetes kunnen oplopen tot 10 miljoen euro, of een x-percentage van je omzet.” De controles starten nu. Bedrijven kunnen over 3 maanden of over 2 jaar aan de beurt zijn. Dat weet je niet, maar de voorbereiding start nu.
Henk benadrukt nog maar eens dat angst voor een boete niet de belangrijkste drijfveer zou moeten zijn om je cyberveiligheid en -weerbaarheid op orde te hebben. “Realiseer je als ondernemer dat een goed ingerichte organisatie rond toegangsbeheer, back-ups, updates, MFA en incidenten jouw bedrijf niet alleen veiliger, maar vaak ook professioneler en beter beheersbaar maakt. Zorg dat je klaar bent voor de eisen van morgen. Als grote klanten hun leveranciersketen verder gaan professionaliseren, is het prettiger om nu al klaar te zijn dan straks onder tijdsdruk maatregelen te moeten nemen omdat een belangrijke klant daarom vraagt. Cybersecurity is geen kostenpost. Het is een voorwaarde om zaken te blijven doen.”
Tijdens The Future of Food & Retail powered by Foodindustrie Experts op 12 november geeft Henk Bijsterbosch een presentatie met een verdiepende uitleg over en praktische toepassing van het stappenplan aan de hand van een concrete casus in de voedingsindustrie. Tijdens de pauze en het aansluitende diner is er ook ruimte om het gesprek met hem aan te gaan. Dit event is exclusief voor DGA’s/beslissers van foodproducerende bedrijven.
www.foodindustrieexperts.nl
Bron: Vakblad Voedingsindustrie 2026
Vakblad Voedingsindustrie is mede mogelijk gemaakt door:
© COPYRIGHT 2026 VOEDINGSINDUSTRIE | ALLE RECHTEN VOORBEHOUDEN
Powered by Wallbrink Crossmedia © 2026
