Nijmeegse bedrijven vaker doelwit van phishing: nieuwe cyberbeveiligingswet dwingt tot actie

Een mail die van de bank lijkt te komen, een factuur van een bekende leverancier of een berichtje van de directeur met het verzoek om snel even iets te regelen. Phishing is al jaren de meest gebruikte manier om binnen te komen bij een organisatie, en de berichten worden steeds lastiger te herkennen. Voor bedrijven in Nijmegen komt daar vanaf 15 augustus 2026 iets bij: dan treedt de nieuwe Nederlandse cyberbeveiligingswet in werking.

Phishing is nog altijd de makkelijkste ingang
De cijfers laten zien hoe alledaags het probleem inmiddels is. Volgens het CBS ontving in 2025 ongeveer driekwart van de Nederlanders van vijftien jaar en ouder minstens één verdacht bericht. Op de werkvloer is dat niet anders. Criminelen hoeven geen firewall te kraken als één medewerker op een link klikt en zijn inloggegevens achterlaat.

Wat het lastiger maakt dan een paar jaar geleden, is de kwaliteit van de berichten. De slecht vertaalde mails vol spelfouten zijn grotendeels verdwenen. Daarvoor in de plaats komen berichten in vlekkeloos Nederlands, met het juiste logo, de juiste huisstijl en soms zelfs verwijzingen naar echte collega’s of lopende projecten. Die informatie halen aanvallers eenvoudig van LinkedIn of de bedrijfswebsite.

Een variant die veel schade aanricht is de zogeheten CEO-fraude. Een medewerker van de financiële administratie krijgt een dringend verzoek dat afkomstig lijkt van de directeur: een spoedbetaling die vandaag nog moet worden gedaan, en het liefst zonder er met anderen over te overleggen. Juist die combinatie van tijdsdruk en autoriteit zorgt ervoor dat mensen hun normale controles overslaan.

Wat er vanaf 15 augustus verandert
Op 15 augustus 2026 treedt de cyberbeveiligingswet (NIS2) in werking, samen met de Wet weerbaarheid kritieke entiteiten. De wet is de Nederlandse invulling van de Europese NIS2-richtlijn en vervangt de oude Wet beveiliging netwerk- en informatiesystemen. Waar die oude wet gold voor ongeveer duizend organisaties, gaat het nu om ruim achtduizend organisaties in achttien sectoren.

Onder die sectoren vallen energie, drinkwater, digitale infrastructuur, gezondheidszorg, vervoer en overheid. In de regio Nijmegen raakt dat direct aan bekende namen en instellingen: de gemeente zelf, de ziekenhuizen, de nuts- en netbedrijven en de logistieke bedrijvigheid langs de Waal. Of een organisatie eronder valt, hangt af van de sector in combinatie met de omvang. De grens ligt in de meeste gevallen bij vijftig medewerkers of een jaaromzet van tien miljoen euro.

De wet vraagt in grote lijnen om vier dingen:

• Registratie bij het Nationaal Cyber Security Centrum, via het entiteitenregister
• Een zorgplicht: passende maatregelen nemen om risico’s voor netwerk- en informatiesystemen te beheersen
• Een meldplicht: significante incidenten melden bij het CSIRT en de bevoegde toezichthouder
• Verantwoordelijkheid bij de bestuurders, die zelf voldoende kennis van cyberrisico’s moeten hebben en daarvoor training moeten volgen

Aan het niet naleven van de eisen hangt een prijskaartje. Voor essentiële entiteiten kunnen boetes oplopen tot tien miljoen euro of twee procent van de wereldwijde jaaromzet. Voor belangrijke entiteiten ligt het maximum op zeven miljoen euro of 1,4 procent.

Ook zonder verplichting krijgen bedrijven ermee te maken
Een veelgehoorde reactie is dat het allemaal niet van toepassing is op het eigen bedrijf. Toch merken veel ondernemingen die zelf buiten de wet vallen de gevolgen wel degelijk, en dat komt door de toeleveringsketen. De wet verplicht organisaties namelijk ook om te kijken naar de beveiliging van hun leveranciers.

In de praktijk betekent dit dat een installatiebedrijf, softwareleverancier of administratiekantoor dat werkt voor een ziekenhuis of een gemeente, vragen kan verwachten over de eigen beveiliging. Denk aan vragenlijsten bij aanbestedingen, aanvullende eisen in contracten of het verzoek om aan te tonen dat personeel getraind wordt. Wie dat niet op orde heeft, loopt het risico opdrachten mis te lopen aan een concurrent die het wel kan laten zien.

Medewerkers zijn de eerste verdedigingslinie
Techniek alleen is niet genoeg. Spamfilters onderscheppen veel, maar het bericht dat er doorheen glipt is meestal juist het meest overtuigende exemplaar. Daarom draait het uiteindelijk om de vraag of medewerkers een verdacht bericht herkennen en, minstens zo belangrijk, of ze het durven te melden.

Om te toetsen hoe een organisatie ervoor staat, wordt vaak een phishing simulatie ingezet. Daarbij ontvangen medewerkers realistische nepberichten en wordt bijgehouden wie het bericht opent, wie erop klikt en wie het meldt. Dat levert een eerlijk beeld op van waar de risico’s zitten, per afdeling en over de tijd. Belangrijk daarbij is de insteek: het doel is niet om medewerkers te betrappen, maar om te leren op het moment dat het misgaat, wanneer dat nog niets kost.

Voor organisaties die onder de nieuwe wet vallen heeft zo’n aanpak een tweede voordeel. De rapportages die eruit voortkomen laten zien dat er structureel aan bewustwording wordt gewerkt, en dat is precies wat een toezichthouder wil zien. Een jaarlijkse e-learning die iedereen zo snel mogelijk wegklikt, voldoet daar niet aan.

Waar bedrijven nu mee kunnen beginnen
De wet is geen reden tot paniek, maar wel om deze maand een aantal dingen te regelen. Een praktisch startpunt:

• Zoek uit of de organisatie onder de cyberbeveiligingswet valt, op basis van sector en omvang, en regel de registratie bij het NCSC als dat zo is
• Zet tweestapsverificatie aan op mail, boekhouding en alle systemen die van buitenaf bereikbaar zijn
• Spreek een vaste procedure af voor betalingsverzoeken, waarbij een wijziging van rekeningnummer altijd telefonisch wordt geverifieerd via een bekend nummer
• Maak duidelijk waar medewerkers een verdacht bericht kunnen melden, en zorg dat een melding nooit tot verwijten leidt
• Test periodiek of de training werkt, in plaats van eenmalig voorlichting te geven
• Leg vast wie de regie neemt als het toch misgaat en welke systemen als eerste moeten worden veiliggesteld

De meeste incidenten beginnen klein: één bericht, één klik, één medewerker die dacht dat het verzoek van een collega kwam. Dat maakt het probleem overzichtelijker dan het lijkt. Bedrijven die hun mensen serieus voorbereiden, staan er niet alleen beter voor op het moment dat een aanval komt, maar zijn ook meteen een stuk beter voorbereid op de eisen die vanaf deze maand gelden.

---

Dit bericht delen: