Sinds 15 augustus 2026 is de Cyberbeveiligingswet (Cbw) van kracht. De wet stelt eisen aan de digitale weerbaarheid van ruim achtduizend organisaties die essentiële of belangrijke diensten verlenen. Organisaties die onder de wet vallen, hebben onder meer een zorgplicht, registratieplicht en meldplicht bij significante incidenten.
Voor de meeste schoonmaakbedrijven betekent dat niet automatisch dat zij zelf onder de Cyberbeveiligingswet vallen. Toch kan de Cyberbeveiligingswet indirect gevolgen hebben voor bedrijven die diensten leveren aan een organisatie die onder de Cbw valt. Zulke organisaties moeten namelijk ook risico's in hun toeleveringsketen beoordelen en beheersen. Als een rechtstreekse leverancier een risico vormt voor de te beschermen netwerk- en informatiesystemen, kan de opdrachtgever maatregelen van die leverancier verlangen.
Dat maakt digitale veiligheid ook voor schoonmaakbedrijven een onderwerp om serieus naar te kijken. Niet alleen vanwege eventuele eisen van opdrachtgevers, maar vooral vanwege de eigen bedrijfsvoering.
Mkb neemt minder cybermaatregelen
Vooral kleinere bedrijven hebben nog stappen te zetten. Volgens de Cybersecuritymonitor 2025 van het Centraal Bureau voor de Statistiek (CBS) neemt een groot deel van de kleinere bedrijven nog relatief weinig cybersecuritymaatregelen, zoals het gebruik van multifactorauthenticatie, het maken van back-ups en het tijdig installeren van beveiligingsupdates. Opvallend, want dit soort maatregelen kunnen veelvoorkomende risico's verkleinen. Maar waar begin je als schoonmaakbedrijf? Deze zeven maatregelen helpen om de basis op orde te brengen.
1. Weet welke gegevens en systemen je moet beschermen
Begin met het in kaart brengen van de informatie, systemen en apparaten waarvan jouw schoonmaakbedrijf afhankelijk is. Het Nationaal Cyber Security Centrum (NCSC) noemt het in kaart brengen van risico's als een van de vijf basisprincipes voor digitale weerbaarheid.
Bij een schoonmaakbedrijf kun je bijvoorbeeld denken aan personeels- en salarisadministratie, klantgegevens, contracten, offertes, facturen, e-mail, planningssoftware en urenregistratie.
Daarnaast kan een bedrijf informatie van opdrachtgevers ontvangen die vertrouwelijk of beveiligingsgevoelig is. Denk aan plattegronden, informatie over gebouwen, toegangsinstructies of gegevens over beveiligde ruimtes. Dergelijke informatie bevat niet per definitie persoonsgegevens, maar kan vanuit het oogpunt van bedrijfs- of locatiebeveiliging wel gevoelig zijn.
Voor persoonsgegevens geldt daarnaast de Algemene verordening gegevensbescherming (AVG). Organisaties moeten passende technische en organisatorische maatregelen nemen om persoonsgegevens te beveiligen, waarbij de maatregelen moeten passen bij het risico.
Vraag je daarom af: welke gegevens hebben we, waar staan ze opgeslagen, wie kan erbij en wat zijn de gevolgen als ze verloren gaan, worden gestolen of bij de verkeerde persoon terechtkomen?
2. Beveilig accounts met sterke inlogmethoden
Een gestolen of geraden wachtwoord kan een aanvaller toegang geven tot e-mail, cloudopslag of andere bedrijfsgegevens. Gebruik daarom verschillende, sterke wachtwoorden en beveilig belangrijke accounts waar mogelijk met multifactorauthenticatie (MFA).
Bij MFA is naast het wachtwoord een extra manier van identificeren nodig. Volgens het NCSC verkleint sterke authenticatie, zoals MFA, de kans op misbruik van accounts.
Denk daarbij niet alleen aan de computer op kantoor. Ook zakelijke e-mail, cloudopslag, salaris- en boekhoudsoftware, planningsapps en andere applicaties die medewerkers op een telefoon of tablet gebruiken, moeten goed beveiligd zijn.
3. Geef medewerkers alleen toegang tot wat ze nodig hebben
Niet iedere medewerker hoeft toegang te hebben tot alle informatie binnen het bedrijf. Het NCSC adviseert om mensen alleen toegang te geven tot informatie, systemen en locaties die zij nodig hebben voor hun werkzaamheden.
Dat is voor schoonmaakbedrijven ook praktisch relevant. Medewerkers kunnen voor verschillende opdrachtgevers en op verschillende locaties werken. Controleer daarom wie toegang heeft tot welke digitale informatie en trek toegangsrechten in zodra ze niet meer nodig zijn.
Vergeet daarbij de fysieke toegang niet. Sleutels, toegangspassen en codes verdienen eveneens aandacht.
4. Installeer updates zo snel mogelijk
Software-updates voegen niet alleen nieuwe functies toe. Ze verhelpen ook fouten en beveiligingslekken. Het NCSC adviseert daarom software tijdig te updaten en beveiligingsreparaties te installeren. Daarmee kun je kwetsbaarheden verhelpen voordat kwaadwillenden er misbruik van maken.
Controleer daarom computers, laptops, smartphones en tablets, maar ook routers, bedrijfssoftware en andere apparaten die met internet verbonden zijn. Zet automatische updates aan waar dat mogelijk en verantwoord is.
Kijk tegelijkertijd naar programma's en accounts die je niet meer gebruikt. Hoe minder onnodige systemen en accounts er actief zijn, hoe kleiner het oppervlak dat je moet beveiligen.
5. Leer medewerkers phishing en andere trucs herkennen
Digitale veiligheid is niet alleen een technische kwestie. Cybercriminelen proberen mensen bijvoorbeeld via phishing of social engineering te verleiden om wachtwoorden prijs te geven, geld over te maken of schadelijke bestanden te openen.
Volgens de Kamer van Koophandel was phishing in 2025 het digitale gevaar waarvan ondernemers het vaakst slachtoffer werden. Daarbij gaat het niet alleen om e-mails: criminelen gebruiken ook nep-QR-codes, sms- en WhatsApp-berichten.
Maak daarom met medewerkers afspraken over verdachte berichten en onverwachte verzoeken. Spreek bijvoorbeeld af hoe een wijziging van een rekeningnummer wordt gecontroleerd en bij wie medewerkers terechtkunnen als ze twijfelen aan een bericht.
Het NCSC adviseert bovendien een cultuur te creëren waarin medewerkers een fout of mogelijk incident veilig kunnen melden. Hoe eerder bekend is dat er iets is misgegaan, hoe sneller een organisatie kan reageren.
6. Maak back-ups en bereid je voor op een incident
Wat doe je als de planning, administratie of andere belangrijke bestanden ineens niet meer beschikbaar zijn? Een back-up kan helpen om gegevens na een incident te herstellen.
Alleen een kopie maken is niet genoeg. Bepaal ook vooraf hoe je verder werkt als belangrijke systemen uitvallen. Wie neemt beslissingen? Wie belt de ICT-leverancier? Welke klanten moeten worden geïnformeerd? En hoe kunnen belangrijke werkzaamheden tijdelijk doorgaan?
Het NCSC noemt voorbereiding op incidenten als een van zijn vijf basisprincipes voor digitale weerbaarheid. Het doel is dat een organisatie vooraf weet hoe zij moet reageren en hoe schade kan worden hersteld.
7. Bespreek beveiliging met opdrachtgevers en leveranciers
Voor schoonmaakbedrijven die werken voor organisaties die onder de Cyberbeveiligingswet vallen, krijgt deze stap extra betekenis. Deze organisaties moeten niet alleen naar digitale risico's kijken. Ook de fysieke omgeving van netwerk- en informatiesystemen speelt een rol. Het NCSC noemt bijvoorbeeld het beperken van fysieke toegang tot een serverruimte als mogelijke passende maatregel.
Dat betekent nadrukkelijk niet dat ieder schoonmaakbedrijf dat in zo'n gebouw werkt automatisch aan alle eisen van de Cyberbeveiligingswet moet voldoen. De opdrachtgever moet op basis van zijn risicoanalyse bepalen welke rechtstreekse leveranciers daadwerkelijk een risico opleveren en welke maatregelen daarbij passend en evenredig zijn.
Het is daarom verstandig om met relevante opdrachtgevers te bespreken welke beveiligingsafspraken zij van leveranciers verwachten. Maak ook goede afspraken met je eigen ICT- en softwareleveranciers over bijvoorbeeld toegang, beveiliging, back-ups en wat er gebeurt bij een incident.
Begin bij de basis
Digitale veiligheid hoeft voor een schoonmaakbedrijf niet te beginnen met ingewikkelde certificaten of kostbare systemen. Het NCSC heeft zijn basisprincipes zo opgesteld dat zowel kleine als grote bedrijven ermee aan de slag kunnen.
Begin bijvoorbeeld met het inventariseren van belangrijke gegevens en systemen, het instellen van MFA, het controleren van toegangsrechten, het uitvoeren van updates, het trainen van medewerkers en het regelen van back-ups en incidentprocedures.
Daarmee bescherm je niet alleen je eigen bedrijfsvoering en de gegevens van medewerkers en klanten. Je bent ook beter voorbereid wanneer een opdrachtgever vanwege de Cyberbeveiligingswet wil weten hoe jij met digitale en fysieke beveiligingsrisico's omgaat.
