De wet verplicht duizenden organisaties om nadrukkelijker naar hun digitale weerbaarheid te kijken. Daardoor kunnen behoeften ontstaan rond onder andere cybersecurity, risicoanalyses, compliance, incidentrespons, monitoring, training en ketenrisico. Welke behoefte concreet speelt, verschilt sterk per organisatie.
Cyberbeveiligingswet: waar commerciële kansen écht ontstaan
De Cyberbeveiligingswet is sinds 15 augustus van kracht. Daarmee zijn voor duizenden organisaties nieuwe verplichtingen rond digitale weerbaarheid werkelijkheid geworden. Op papier is helder wat er moet gebeuren. In gesprekken merken wij alleen dat de praktijk veel minder overzichtelijk is. Juist tussen ‘we zijn ermee bezig’ en ‘we hebben het echt op orde’ blijken verrassend veel vragen, knelpunten én commerciële kansen te zitten.
Leestijd: min.
29 augustus 2026
Een wettelijke verplichting is nog geen praktische oplossing
De Cyberbeveiligingswet (Cbw) implementeert de Europese NIS2-richtlijn en geldt voor organisaties die essentiële of belangrijke diensten leveren binnen 18 sectoren. Zij krijgen onder meer te maken met een registratieplicht, zorgplicht en meldplicht. Ook het bestuur draagt nadrukkelijk verantwoordelijkheid. Dat klinkt als een overzichtelijke checklist, maar cybersecurity laat zich niet afvinken als een administratieve formaliteit.
Een cyberincident kan immers veel verder gaan dan een computer die niet werkt. Denk aan een ziekenhuis waar systemen uitvallen, een gemeente die niet meer kan werken of een organisatie die belangrijke gegevens kwijtraakt. De wet dwingt organisaties daarom niet alleen naar techniek te kijken, maar ook naar risico’s, processen, incidentrespons en bestuurlijke verantwoordelijkheid.
Voor IT- en cybersecuritybedrijven is vooral relevant wat daarachter zit. Ruim 8.000 organisaties moeten hun digitale weerbaarheid aantoonbaar serieus nemen. Niet allemaal staan ze op hetzelfde punt, hebben ze dezelfde expertise in huis of weten ze precies wat er nog ontbreekt. De echte commerciële vraag is daarom niet óf er beweging ontstaat, maar waar ondersteuning nodig is.
Alles op orde. Behalve de leveranciers
Een van de interessantste dingen die wij in gesprekken tegenkomen, is dat een organisatie behoorlijk ver kan zijn en tóch een kwetsbaar punt kan hebben. Zo spraken we een grote overkoepelende overheidsorganisatie die de voorbereidingen serieus had aangepakt. Risico’s waren in beeld, de beveiliging was op orde, verantwoordelijkheden waren belegd en ook het bestuur wist wat er werd verwacht.
Op het eerste gezicht zou je kunnen concluderen: hier is weinig meer te halen. Maar in het gesprek kwam één lastig onderwerp naar voren: de leveranciers. De organisatie werkt met veel externe IT- en softwareleveranciers die toegang hebben tot systemen of gegevens. Het eigen huiswerk kan dan uitstekend gedaan zijn, terwijl het veel lastiger is om grip te krijgen op de digitale weerbaarheid van al die externe partijen.
Dat maakt ketenrisico meer dan een theoretisch onderdeel van de wet. Een organisatie kan haar eigen voordeur uitstekend beveiligen, maar blijft afhankelijk van de partijen die via een andere ingang toegang hebben.
Wel de urgentie, maar nog niet het overzicht
Bij een grote zorginstelling die we spraken, was de situatie bijna tegenovergesteld. Daar was de urgentie duidelijk en was er absoluut geen gebrek aan goede wil. Het probleem was overzicht. Verschillende mensen waren verantwoordelijk voor verschillende onderdelen, maar niemand had het volledige plaatje. Sommige zaken werden opgepakt, andere bleven liggen.
Ook de bestuurlijke verantwoordelijkheid speelde mee. Bestuurders moeten voldoende kennis hebben om cyberrisico’s en beveiligingsmaatregelen te kunnen beoordelen en daarvoor passende training volgen. De organisatie wilde dat regelen, maar liep tegen de praktische uitvoering aan. Tegelijkertijd vroegen risicoanalyses, incidentprocedures en leveranciers aandacht.
Dat is een wezenlijk andere behoefte dan bij de overheidsorganisatie uit het vorige voorbeeld. De ene organisatie zoekt grip op een specifiek onderdeel, de andere worstelt met samenhang en prioriteiten. Beide weten dat cybersecurity aandacht vraagt, maar de concrete hulpvraag is totaal verschillend. En precies daarom werkt een generieke boodschap over ‘NIS2-compliance’ maar beperkt. Wie deze markt commercieel wil benaderen, moet eerst ontdekken waar een organisatie werkelijk staat.
De commerciële kans staat niet in een database
Dat is ook waar telefonische leadgeneratie zijn waarde laat zien. Een database kan vertellen in welke sector een organisatie actief is en hoe groot zij ongeveer is. Maar niet of de Cbw intern al maanden onderwerp van gesprek is, of een leveranciersevaluatie vastloopt, of het bestuur nog stappen moet zetten.
Door het gesprek daadwerkelijk te voeren, ontstaat context. Soms leidt dat direct tot een concrete behoefte en een afspraak. Soms blijkt dat een organisatie al uitstekend is voorbereid. En soms ontstaat vooral informatie over een behoefte die later relevant wordt. Ook dat laatste is commercieel waardevol.
Voor IT-, cybersecurity- en compliancebedrijven betekent dit dat de markt rond de Cyberbeveiligingswet niet simpelweg bestaat uit duizenden ‘leads’. Het zijn duizenden organisaties met verschillende uitgangsposities, prioriteiten en knelpunten. Wie daarin gericht wil verkopen, moet dus niet alleen weten wie er mogelijk onder de wet valt, maar vooral waar een relevant gesprek te voeren is.
Niet de wet verkopen, maar toegang tot de markt
De Cyberbeveiligingswet creëert geen automatische rij klanten voor de deur. Wat de wet wél doet, is duizenden organisaties dwingen opnieuw en serieuzer naar hun digitale weerbaarheid te kijken. Daar ontstaan vragen, knelpunten en momenten waarop externe expertise relevant wordt.
Voor leveranciers in cybersecurity en IT ligt de commerciële kans precies daar. Niet door iedereen hetzelfde verhaal te vertellen, maar door te ontdekken waar beweging zit en waar ondersteuning daadwerkelijk nodig is. Wij verkopen de Cyberbeveiligingswet niet. Wij helpen onze klanten aan tafel bij organisaties die erdoor in beweging zijn gekomen
Veelgestelde vragen over de Cyberbeveiligingswet en sales
De nieuwe wetgeving roept niet alleen inhoudelijke vragen op, maar creëert ook een markt waarin timing en een gerichte commerciële aanpak belangrijk zijn. Hieronder beantwoorden we enkele vragen over die commerciële kant.
De Cbw geldt voor essentiële en belangrijke entiteiten binnen 18 sectoren, waaronder gezondheidszorg, overheid, energie, vervoer, drinkwater en digitale infrastructuur. Organisaties zijn zelf verantwoordelijk om vast te stellen of zij onder de wet vallen.
Omdat uit openbare bedrijfsinformatie niet blijkt waar een organisatie daadwerkelijk staat. In een persoonlijk gesprek kun je ontdekken wat al geregeld is, waar knelpunten zitten, welke prioriteiten er zijn en of externe ondersteuning relevant kan zijn.
Nee. Wij voeren commerciële gesprekken en doen geen cybersecurity-audits of juridische beoordelingen. We brengen in kaart wat een organisatie zelf aangeeft, herkennen commerciële signalen en zorgen bij voldoende aanleiding dat de juiste specialist aan tafel komt.
Marketing en sales: van bereik naar rendement
Marketing en sales: van bereik naar rendement
De juiste vaardigheden en tools voor koude acquisitie
De juiste vaardigheden en tools voor koude acquisitie
Controle over je timing en tijdspad
Controle over je timing en tijdspad
Wil je meer weten?
Bel vooral even of stuur een berichtje. We gaan graag met je in gesprek over alle mogelijkheden. Koffie en thee staan klaar!
