Valt mijn hostingpartij onder de Cyberbeveiligingswet?

Sinds 15 augustus 2026 geldt de Cyberbeveiligingswet. Als ondernemer met een website en zakelijke e-mail heb je daar op twee manieren mee te maken. Direct, als jouw bedrijf eronder valt. En indirect, via de partijen waar jouw spullen draaien.

Over dat tweede gaat dit stuk, want daar zit een detail in dat de meeste artikelen overslaan. Niet elke hostingpartij valt op dezelfde manier onder de wet, en bij sommige groepen speelt de omvang van het bedrijf helemaal geen rol.

De hoofdregel: sector plus omvang

De wet werkt met twee bijlagen waarin achttien sectoren staan. Bijlage 1 bevat de zeer kritieke sectoren zoals energie, drinkwater, zorg, transport, bankwezen en digitale infrastructuur. Bijlage 2 bevat andere kritieke sectoren, waaronder digitale aanbieders en ICT-servicebeheer.

Zit je in zo'n sector, dan komt de tweede toets: je omvang. De hoofdregel is dat je vanaf ongeveer vijftig medewerkers of tien miljoen euro jaaromzet en balanstotaal onder de wet valt. Daaronder niet.

Voor de meeste Nederlandse mkb-bedrijven eindigt het verhaal daar. Je zit niet in een van de achttien sectoren, of je bent te klein, en dus geldt de wet niet voor jou.

En dan de uitzondering die er echt toe doet

Een aantal groepen valt onder de wet ongeacht hun omvang. De omvangdrempel geldt daar niet. Het gaat om:

• aanbieders van domeinnaamregistratiediensten
• DNS-dienstverleners
• registerbeheerders van topleveldomeinen
• gekwalificeerde vertrouwensdiensten
• aanbieders van openbare elektronische communicatienetwerken en -diensten
• centrale en decentrale overheidsorganisaties

Lees die eerste twee nog eens. Aanbieders van domeinnaamregistratiediensten en DNS-dienstverleners. Dat betekent dat een klein bedrijf dat domeinnamen registreert voor klanten, ook met drie man, in beeld komt. Niet met alle verplichtingen uit de wet, want voor die groep gelden er beperktere eisen, maar wel met de registratieplicht in het entiteitenregister bij het NCSC.

Dat is een belangrijke nuance, en eerlijk gezegd eentje die veel partijen in de markt nog aan het uitzoeken zijn. Wij ook, en daar zijn we open over: wij registreren domeinnamen voor onze klanten en wij laten op dit moment juridisch toetsen wat dat voor ons betekent.

Wat betekent dat voor jou als klant?

Twee dingen, en het tweede is het belangrijkst.

Je hostingpartij wordt zelf ook bevraagd

Valt jouw hostingpartij onder de wet, dan heeft die zelf een zorgplicht, een meldplicht en toezicht. Dat is voor jou goed nieuws, want het betekent dat er van bovenaf druk staat op de kwaliteit van de dienst.

Het betekent ook dat je bij die partij informatie kunt opvragen en dat je die waarschijnlijk krijgt, want ze moeten die informatie toch al hebben liggen.

Jij blijft verantwoordelijk voor je eigen keten

Dit is het punt dat vaak misgaat. Uitbesteden aan een partij die onder de wet valt, betekent niet dat jouw verantwoordelijkheid daarmee verdwijnt.

Val jij zelf onder de wet, of krijg je van je opdrachtgever een vragenlijst over je ketenbeveiliging, dan wordt er aan jou gevraagd hoe je je leveranciers beoordeelt. "Wij hosten bij een grote partij" is dan geen antwoord. "Wij hebben van onze hostingpartij de volgende stukken opgevraagd, en die zijn van deze datum" wel.

De drie vragen die je aan je hostingpartij stelt

Je hoeft geen audit uit te voeren. Drie vragen dekken het grootste deel, en aan het antwoord merk je meteen met wat voor partij je te maken hebt.

1. Val je zelf onder de Cyberbeveiligingswet, en waarom wel of niet?

Het gaat niet zozeer om ja of nee, het gaat om de onderbouwing. Een partij die kan uitleggen op welke sector en welke drempel zij zich baseert, heeft erover nagedacht. Een partij die met een marketingzin antwoordt of het gesprek ontwijkt, heeft dat niet.

Let op het antwoord bij domeinnamen. Registreert je hostingpartij domeinnamen voor je, dan is "wij vallen er niet onder want we zijn klein" een antwoord dat op zijn minst toelichting verdient.

2. Kan ik een verwerkersovereenkomst en een overzicht van je maatregelen krijgen?

Dit is de test die het meest zegt. Een verwerkersovereenkomst is al sinds 2018 verplicht zodra iemand persoonsgegevens voor jou verwerkt, dus die hoort er gewoon te zijn. En bij een overzicht van technische en organisatorische maatregelen hoort te staan waar je gegevens fysiek staan, welke subverwerkers erbij betrokken zijn, hoe back-ups werken en wat de bewaartermijnen zijn.

Krijg je dat binnen een paar dagen, prima. Duurt het drie weken of komt er een verhaal waarom het niet kan, dan weet je genoeg. Niet omdat ze slecht werk leveren, maar omdat jij die stukken straks nodig hebt en je niet elke keer drie weken kunt wachten.

3. Wanneer is er voor het laatst getest of een back-up daadwerkelijk terugkomt?

De vraag waar het echt om draait, en de vraag die het minst gesteld wordt.

Bijna elke hostingpartij maakt back-ups en bijna elke hostingpartij zegt dat ook. Veel minder partijen kunnen je een datum noemen waarop ze er eentje echt hebben teruggezet, met de tijd die dat kostte en wat er wel en niet meekwam.

Dat is geen flauwe vraag. Een back-up die nooit getest is, is geen back-up maar een aanname. Hoe je dat zelf voor je eigen site doet staat in het stuk over back-ups testen.

Wat je niet hoeft te doen

Geen certificering eisen. ISO 27001 is nuttig, maar het is geen wettelijke eis en het zegt op zichzelf weinig zolang je de scope niet kent. Een certificaat dat alleen het kantoorpand dekt en niet het platform waar jouw site draait, is voor jouw vraag niet relevant.

Niet overstappen omdat een partij niet onder de wet valt. Eronder vallen is geen kwaliteitskeurmerk, het is een gevolg van sector en omvang. Een kleine partij die zijn zaken netjes op papier heeft, is voor jou bruikbaarder dan een grote die traag reageert.

Niet zoeken naar een NIS2-certificaat. Dat bestaat niet. Er is geen instantie die het uitgeeft. Wie het aanbiedt, verkoopt lucht.

Waar het bij hosting inhoudelijk over gaat

Los van de juridische vraag zijn dit de dingen die bij een hostingpartij feitelijk uitmaken en die je in een vragenlijst tegenkomt:

• Waar staat het. Land, datacenter, en of er gegevens buiten de Europese Economische Ruimte gaan.
• Back-ups. Frequentie, bewaartermijn, en of ze los van de productieomgeving staan. Een back-up op dezelfde server is bij ransomware waardeloos.
• Herstel. Hoe lang duurt het, en is dat een keer echt gemeten.
• Updates. Wie draait de beveiligingsupdates op het besturingssysteem en het platform, en hoe snel.
• Toegang. Wie bij de hostingpartij kan bij jouw omgeving, en met welke beveiliging.
• Certificaten en e-mail. Worden TLS-certificaten automatisch verlengd en bewaakt, en is er zicht op je SPF, DKIM en DMARC.
• Melden. Binnen hoeveel tijd hoor jij het als er iets misgaat, en van wie.
• Vertrek. Krijg je je gegevens mee, in welk formaat, en hoe snel is alles verwijderd.

Hoe wij het doen

Wij hosten websites, e-mail en servers voor ongeveer 185 bedrijven in Nederland en registreren daarbij ruim honderd domeinnamen voor klanten. Onze gegevens staan binnen de Europese Economische Ruimte.

Wat je bij ons zonder gedoe kunt opvragen: de algemene voorwaarden, de verwerkersovereenkomst met de bijlagen erin, een overzicht van de technische en organisatorische maatregelen, en de datum en uitkomst van onze laatste herstelproef.

En op de vraag of wij zelf onder de wet vallen: dat laten we op dit moment juridisch toetsen, precies vanwege dat punt over domeinnaamregistratiediensten. Zodra daar duidelijkheid over is, staat het gewoon op deze site. Wij vinden dat je van je leverancier een eerlijk antwoord mag verwachten, ook als dat antwoord voorlopig "we zoeken het uit" is.

Zit je met een vragenlijst en heb je iets van ons nodig? Mail of bel, dan sturen we het toe. Ook als je nog geen klant bent en gewoon wilt weten wat je aan je huidige partij moet vragen.