De eerste 90 dagen onder de Cyberbeveiligingswet: een checklist voor telecombedrijven

Waarom een plan voor 90 dagen?

De Cbw geldt sinds 15 augustus 2026. De wet geeft geen overgangstermijn voor registratie, meldplicht of zorgplicht. Alleen voor de kennis van bestuursleden geldt een termijn van twee jaar (artikel 24, derde lid, Cbw). U kunt dus niet alles tegelijk perfect regelen, maar u moet wel nu beginnen. Een plan van 90 dagen helpt om de volgorde goed te kiezen: eerst wat bij een incident direct nodig is, daarna wat tijd kost.

Weet u nog niet of u onder de wet valt? Lees dan eerst Val ik onder NIS2? of doe de gratis zelfscan. Voor aanbieders van openbare telecomnetwerken en -diensten geldt geen ondergrens in omvang.

Dag 1 tot 30: registreren en meldklaar zijn

In de eerste maand regelt u de dingen die u nodig heeft als er morgen iets misgaat.

• Leg vast dat u onder de wet valt. Schrijf op welke diensten u levert, welke omvang u heeft en of u essentieel of belangrijk bent. Bewaar de cijfers die u gebruikte.
• Regel eHerkenning voor MijnNCSC. Het NCSC noemt niveau EH2+ met een machtiging. De RDI noemt op haar site niveau 3. Controleer het actuele niveau voor u aanvraagt. Zorg dat minstens twee mensen kunnen inloggen.
• Registreer uw organisatie. Verzamel vooraf uw IP-reeksen, AS-nummers en domeinnamen. Zie Registreren onder de Cbw.
• Maak een meldkaart. Eén A4 met: wie beslist of een incident significant is, wie meldt, wie de klanten informeert, en de termijnen van 24 uur, 72 uur en een maand.
• Zet de drempels voor telecom op papier. Volgens artikel 8 van de Regeling cyberbeveiliging EZK is een incident in elk geval significant bij uitval voor 50.000 gebruikers of meer gedurende vier uur of langer, bij aantasting van gegevens van minstens 1% van de gebruikers (minimaal 10.000), en altijd als het alarmnummer niet beschikbaar is.
• Maak een eerste lijst van uw systemen. Core-routers, switches, SBC's, PBX-platform, beheerservers, klantportaal en de leveranciers die daarbij horen.

Dag 31 tot 60: risico's en de belangrijkste maatregelen

In de tweede maand gaat u van een lijst naar keuzes. Het Cyberbeveiligingsbesluit (Cbb) vraagt een vastgestelde methode voor risicomanagement, met criteria voor wanneer u een risico accepteert (artikel 7 Cbb).

• Doe een eerste risicoanalyse. Begin klein: per belangrijk systeem de dreigingen, de gevolgen en wat u al doet. Zie de NIS2-checklist voor alle tien onderwerpen.
• Pak beheertoegang aan. De Regeling cyberbeveiliging EZK vraagt sterke authenticatie voor beheeraccounts en beheerrechten per persoon (artikel 6). Schaf gedeelde admin-accounts af waar dat kan.
• Controleer back-ups. Maak een back-up van routerconfiguraties en de inrichting van uw telefonieplatform, en test of u kunt terugzetten.
• Maak een patchafspraak. Leg vast hoe snel u beveiligingsupdates plaatst en hoe u vastlegt waarom u een update uitstelt (artikel 5 Regeling cyberbeveiliging EZK).
• Breng leveranciers in kaart. Carriers, datacenter, hardwareleveranciers en SaaS. Welke zijn kritiek? Lees ketenbeveiliging onder NIS2.

Dag 61 tot 90: bestuur, oefenen en bewijs

In de derde maand zorgt u dat het werk blijft lopen en dat u het kunt laten zien.

• Laat het bestuur de maatregelen goedkeuren. Dat is verplicht (artikel 24, eerste lid, Cbw). Leg het besluit en de datum vast.
• Plan de bestuurderstraining. Ieder bestuurslid heeft een certificaat van een training nodig. Zie NIS2-cursus voor bestuurders.
• Oefen een incident. Bijvoorbeeld een gehackt SIP-account of een storing in uw core. Loop de meldkaart door en kijk wat ontbreekt.
• Schrijf uw beleid op. Bijna elk Cbb-artikel vraagt dat u beleid schriftelijk vastlegt en aantoonbaar toepast. Kort en kloppend is beter dan lang en onwaar.
• Plan de evaluatie. Het Cbb vraagt dat u periodiek beoordeelt of de maatregelen werken (artikel 18). Zet de eerste evaluatie in de agenda.

Wat u na 90 dagen heeft

Stand na 90 dagen

Onderdeel	Bewijs dat u kunt laten zien
Registratie	Ontvangstbevestiging uit MijnNCSC, intern eigenaar van de registratie
Meldplicht	Meldkaart, rollen met vervangers, verslag van een oefening
Zorgplicht	Risico-overzicht, eerste beleid, lijst met systemen en leveranciers
Bestuur	Goedkeuringsbesluit, planning of certificaat van de training

Dit is een begin, geen eindpunt. De zorgplicht vraagt passende maatregelen, en wat passend is verandert met uw risico's.

Tip: denk aan de MCZ-subsidie

Kleine bedrijven kunnen bij RVO de subsidie Mijn cyberweerbare zaak aanvragen voor bepaalde maatregelen, zoals MFA, back-ups en training. Volgens RVO sluit het loket op maandag 30 november 2026 om 17:00 uur. RVO beslist over elke aanvraag; lees de voorwaarden in ons artikel over MCZ.

Veelgestelde vragen

Moet alles na 90 dagen af zijn?

Nee. De wet noemt geen termijn van 90 dagen. Registratie en meldplicht gelden al sinds 15 augustus 2026. Voor de zorgplicht moet u passende maatregelen nemen en dat kunnen laten zien. Een plan met een duidelijke volgorde helpt daarbij.

Wat doe ik als eerste?

Registreren en meldklaar zijn. Bij een significant incident moet u binnen 24 uur een vroegtijdige waarschuwing doen. Dat lukt alleen als u toegang tot MijnNCSC en een duidelijke rolverdeling heeft.

Is een plan van 90 dagen genoeg voor de RDI?

Dat kunnen wij niet beloven. De RDI kijkt of uw maatregelen passen bij uw risico's en of u ze aantoonbaar toepast. Een plan laat zien dat u bezig bent, maar vervangt de maatregelen zelf niet.