MCZ-subsidie: tot € 1.250 voor cybermaatregelen in uw bedrijf

Mijn cyberweerbare zaak (MCZ) is een subsidie van de Rijksdienst voor Ondernemend Nederland (RVO). Kleine bedrijven krijgen daarmee de helft van de kosten van bepaalde cybermaatregelen terug, tot maximaal € 1.250. Het loket sluit op maandag 30 november 2026 om 17:00 uur. In dit artikel leest u wie kan aanvragen, wat meetelt en hoe u het aanpakt. Alle gegevens komen van de RVO-website en de officiële regeling; RVO beslist over elke aanvraag.

Wat is de MCZ-regeling?

RVO voert de regeling uit voor het ministerie van Economische Zaken en Klimaat. Het doel is dat bedrijven met een klein budget hun interne IT beter beveiligen tegen bijvoorbeeld cyberaanvallen. De regels voor 2026 staan in de Staatscourant (2026, nr. 31342). Het totale budget, het subsidieplafond, is € 1.000.000.

MCZ is geen NIS2-regeling. U kunt de subsidie aanvragen, of u nu onder de Cyberbeveiligingswet valt of niet. Voor een klein telecom- of internetbedrijf kan MCZ wel helpen om een paar basismaatregelen te betalen.

Wie kan aanvragen?

Volgens RVO kunt u aanvragen als:

• u zzp'er bent of een micro- of klein bedrijf heeft met maximaal 50 werknemers;
• uw omzet in het vorige boekjaar onder € 10 miljoen lag;
• uw bedrijf staat ingeschreven bij de KVK.

Verbonden bedrijven tellen samen als één bedrijf. Heeft u dus een holding met meerdere bv's, tel dan alles bij elkaar op. Bedrijven in de primaire landbouw, visserij en aquacultuur zijn uitgesloten.

Hoeveel subsidie krijgt u?

• RVO vergoedt 50% van de kosten die meetellen.
• De subsidie is maximaal € 1.250.
• De kosten die meetellen zijn minimaal € 400.
• U doet één aanvraag per bedrijf. Daarin mag u meerdere facturen combineren.

Een voorbeeld: u koopt voor € 2.500 aan maatregelen die meetellen. 50% is € 1.250. Dat is precies het maximum. Bij € 3.000 krijgt u ook € 1.250.

Wat telt mee?

RVO noemt acht soorten maatregelen:

1. veilige netwerktoegang en wifi, zoals een hardware-firewall, access points of routers;
2. een wachtwoordmanager (tot 1 jaar);
3. twee- of meerstapsverificatie (2FA/MFA) voor interne applicaties;
4. structureel patchbeheer;
5. antivirussoftware (licentie en installatie, tot 1 jaar);
6. back-ups die zijn ingericht en getest, ook een kant-en-klare NAS met schijven;
7. een risico-inventarisatie en -evaluatie, tenzij die onderdeel is van een certificeringstraject zoals ISO 27001;
8. een cyberbewustzijnstraining (awareness) voor medewerkers.

Wat telt niet mee?

• maatregelen voor websites, webshops, online platforms, betaalsystemen en cloudwerkplekken;
• algemene abonnementen met ingebouwde beveiliging, zoals Microsoft 365 of Google Workspace;
• bestaande abonnementen of licenties; alleen nieuwe of extra maatregelen tellen;
• eenmalige updates, gewoon IT-beheer en updates voor software die niet meer wordt ondersteund;
• certificeringskosten (zoals ISO 27001) en juridisch advies;
• meer licenties dan er mensen werken;
• een soort maatregel waarvoor u in 2023, 2024 of 2025 al MCZ-subsidie kreeg;
• alles wat vóór 7 september 2026 is besteld, uitgevoerd of betaald.

De regeling gaat over uw interne bedrijfssystemen. Voor een telecombedrijf betekent dat: de firewall van uw kantoor of MFA op uw interne beheersystemen kan passen. Apparatuur in het netwerk waarmee u diensten aan klanten levert, is waarschijnlijk iets anders. Twijfelt u, vraag het dan vooraf aan RVO.

De voorwaarden op een rij

• CyberVeilig Check. U vult eerst de CyberVeilig Check van het NCSC in en bewaart het advies als pdf. Volgens RVO wordt een aanvraag zonder dit advies afgewezen.
• Besteld, uitgevoerd en betaald. De maatregel is na 7 september 2026 besteld, is uitgevoerd en is volledig betaald vóór u aanvraagt.
• Factuur. Op de factuur staan naam en adres van u en de leverancier, een specificatie van producten en diensten, factuurdatum en betaaldatum, en bedragen met en zonder btw. Hoort er een offerte bij, stuur die dan mee.
• Bankafschrift. Daarop staan de naam van de rekeninghouder, uw rekeningnummer, het betaalde bedrag, de betaaldatum en het rekeningnummer van de leverancier. Overzichten uit uw boekhouding en PayPal-afschriften accepteert RVO niet.
• Passend bij de leverancier. Wat op de factuur staat, moet passen bij wat de leverancier normaal levert.
• Geen dubbele subsidie. U krijgt voor dezelfde kosten geen andere subsidie, bijvoorbeeld van uw gemeente.
• De-minimis. U blijft onder het plafond van € 300.000 aan overheidssteun in drie jaar.
• Evaluatie. Na toekenning werkt u mee aan een evaluatie.

Tot wanneer kunt u aanvragen?

Het loket is open van maandag 7 september 2026, 09:00 uur, tot en met maandag 30 november 2026, 17:00 uur. Het budget is beperkt: op is op. Komen er op één dag meer aanvragen binnen dan er budget is, dan beslist volgens RVO loting.

Wacht niet tot het laatste moment. RVO raadt aan ruim voor de sluiting aan te vragen. Betaalt u met een creditcard, dan kan het tot een maand duren voor u het afschrift heeft. Een bankoverschrijving is daarom handiger. Vraagt RVO om extra informatie, dan geldt de datum waarop uw aanvraag compleet is als aanvraagdatum.

Zo vraagt u aan

1. Vul de CyberVeilig Check van het NCSC in en sla het advies op als pdf.
2. Kies ten minste één maatregel die meetelt. Bestel, laat uitvoeren en betaal volledig.
3. Log in bij RVO met eHerkenning. RVO noemt minimaal niveau eH2+, met een machtiging voor RVO-diensten.
4. Upload het advies, de factuur of facturen, eventuele bijlagen en de bankafschriften.
5. Houd uw mail in de gaten. RVO beslist binnen 8 weken na een complete aanvraag. Bij toekenning volgt de betaling volgens RVO binnen 2 weken.

U vraagt zelf aan, wij helpen met de stukken

De aanvraag doet u zelf, met uw eigen eHerkenning. Volgens de regeling mag de leverancier niet ook de tussenpersoon zijn die de aanvraag indient. Wij dienen dus niet namens u in. Wij kunnen u wel helpen met de stukken: een factuur met de gegevens die RVO vraagt, een duidelijke specificatie en een checklist voor uw aanvraag.

Overweegt u onze NIS2-cursus (€ 2.500 exclusief btw)? Misschien telt die mee als cyberbewustzijnstraining. Wij kunnen dat niet beloven: RVO beslist. Abonnementen tellen niet mee. Daarom staat het portaal dat bij de cursus hoort met € 0 apart op de factuur. Meer over de cursus leest u in NIS2-cursus voor bestuurders.

Volgende stap

Wilt u weten welke maatregelen voor uw bedrijf het meest opleveren? Doe de gratis zelfscan en kijk naar de grootste gaten. Wilt u de cursus nog binnen de MCZ-periode starten? Meld u dan aan via de cursuspagina en geef aan dat u hulp wilt bij de subsidieaanvraag. Of bekijk eerst het NIS2-portaal met 30 dagen gratis proef.