Cyberbeveiligingswet (NIS2): wat betekent dit voor Humanwave en onze klanten?
Sinds 15 augustus 2026 is in Nederland de Cyberbeveiligingswet (Cbw) van kracht. Deze wet is de Nederlandse uitwerking van de Europese NIS2-richtlijn en stelt strengere eisen aan de digitale weerbaarheid van organisaties in bepaalde kritieke en belangrijke sectoren.
Omdat Humanwave dagelijks werkt met vertrouwelijke HR-, salaris- en persoonsgegevens, begrijpen we dat klanten willen weten wat deze wet voor Humanwave betekent.
Het korte antwoord: Humanwave valt niet rechtstreeks onder de Cyberbeveiligingswet. Maar goede cybersecurity is voor ons vanzelfsprekend wél essentieel.
Waarom valt Humanwave niet onder de Cyberbeveiligingswet?
De Cyberbeveiligingswet geldt niet automatisch voor iedere Nederlandse organisatie. Of een organisatie rechtstreeks onder de wet valt, is onder andere afhankelijk van de sector waarin zij actief is en de omvang van de organisatie. De wet is van toepassing op bepaalde organisaties die actief zijn in de achttien in de wet aangewezen kritieke en zeer kritieke sectoren en die voldoen aan de daarvoor geldende criteria.
Humanwave levert HR- en salarissoftware en salarisdienstverlening. Op basis van de aard van onze dienstverlening en de criteria van de Cyberbeveiligingswet kwalificeert Humanwave niet als een organisatie waarop de Cyberbeveiligingswet rechtstreeks van toepassing is.
Dat betekent bijvoorbeeld dat de specifieke registratie-, zorg- en meldplichten uit de Cyberbeveiligingswet niet rechtstreeks voor Humanwave gelden.
Betekent dat dat NIS2 voor Humanwave niet relevant is?
Nee. Dat is misschien wel het belangrijkste onderscheid.
Organisaties die zelf onder de Cyberbeveiligingswet vallen, moeten namelijk ook kijken naar de cybersecurityrisico's binnen hun toeleveringsketen. Daarbij moeten zij onder meer rekening houden met de risico's die samenhangen met hun rechtstreekse leveranciers en dienstverleners. Hierdoor kunnen zij ook passende beveiligingseisen stellen aan leveranciers die zelf niet rechtstreeks onder de Cyberbeveiligingswet vallen.
Humanwave kan zo'n leverancier zijn. Een klant die zelf onder de Cyberbeveiligingswet valt, kan daarom vragen stellen of beveiligingseisen stellen over onderwerpen zoals:
- Toegangsbeveiliging en autorisaties
- Beveiliging van persoonsgegevens en vertrouwelijke informatie
- Incidentmanagement en -respons
- Bedrijfscontinuïteit
- Back-ups en herstel
- Kwetsbaarhedenbeheer en beveiligingsupdates
- Beveiliging van leveranciers en externe partijen
- Beveiliging bij de ontwikkeling, het beheer en het gebruik van software en systemen
- Bewustwording en training van medewerkers
Dat vinden wij logisch. HR- en salarisgegevens verdienen immers een hoog niveau van bescherming, ongeacht of een specifieke cybersecuritywet rechtstreeks van toepassing is. Van belang daarbij is wel dat de beveiligingseisen aan leveranciers (en dus ook aan Humanwave) moeten aansluiten bij de risico's van de betreffende dienstverlening. Per situatie zal dit dus bekeken moeten worden.
Wat doet Humanwave zelf?
Cybersecurity is onderdeel van onze dagelijkse manier van werken. Onze medewerkers werken met zeer vertrouwelijke klant-, HR-, salaris- en persoonsgegevens. Daarom hanteren we duidelijke interne regels voor het gebruik van informatie, AI en digitale systemen.
Onze beveiligingsmaatregelen bestaan uit technische en organisatorische maatregelen. Zo geldt binnen Humanwave onder andere dat medewerkers:
- Alleen systemen, apps en koppelingen gebruiken die door Humanwave zijn toegestaan
- Zakelijke accounts gebruiken voor Humanwave-werk
- Tweestapsverificatie gebruiken
- Persoonlijke wachtwoorden en authenticatiecodes niet delen
- Geen privé-mail of privé-opslag gebruiken voor Humanwave-data
- Verdachte links, toegang en mogelijke beveiligingsincidenten direct melden
Ook voor het gebruik van AI gelden specifieke regels. Medewerkers mogen alleen goedgekeurde AI-tools gebruiken, moeten zorgvuldig omgaan met persoonsgegevens en vertrouwelijke informatie en moeten AI-output controleren voordat deze wordt gebruikt of gedeeld.
Wat betekent dit voor klanten die zelf onder de Cyberbeveiligingswet vallen?
Valt jouw organisatie wel onder de Cyberbeveiligingswet? Dan blijf je zelf verantwoordelijk voor de verplichtingen die de wet aan jouw organisatie stelt.
Onderdeel daarvan is het beheersen van de cybersecurityrisico's binnen de toeleveringsketen, waaronder risico's die samenhangen met rechtstreekse leveranciers en dienstverleners.
Het NCSC benadrukt dat organisaties die onder de Cyberbeveiligingswet vallen de cybersecurityrisico's in hun leveranciersketen moeten beheersen. Daardoor kunnen aanvullende afspraken over informatiebeveiliging en cybersecurity met leveranciers nodig zijn.
Dat betekent niet dat alle verplichtingen uit de Cyberbeveiligingswet automatisch worden doorgeschoven naar een leverancier zoals Humanwave. Humanwave wordt door dergelijke afspraken niet zelf automatisch een organisatie die onder de Cyberbeveiligingswet valt. Het NCSC waarschuwt juist dat dit een veelvoorkomend misverstand is.
Wel kunnen klanten passende en proportionele beveiligingseisen stellen die aansluiten bij de cybersecurityrisico's van de dienstverlening die zij afnemen.
NIS2-compliant? Daar zijn we voorzichtig mee
Je zult organisaties soms zien communiceren dat zij "NIS2-compliant" zijn. Wij kiezen bewust niet voor die formulering.
Humanwave valt niet rechtstreeks onder de Cyberbeveiligingswet. Daarom vinden wij het niet passend om te suggereren dat wij als organisatie formeel zijn getoetst of gecertificeerd op basis van deze wet.
Cybersecurity draait bovendien om meer dan een vinkje of één wet. Voor ons gaat het om het zorgvuldig beschermen van gegevens, systemen en dienstverlening en om het voortdurend verbeteren van onze digitale weerbaarheid.
Veilig omgaan met HR- en salarisgegevens
De Cyberbeveiligingswet verandert dus niet onze basisgedachte. Veilig omgaan met HR-, salaris- en persoonsgegevens is voor Humanwave geen verplicht nummer, maar een fundamenteel onderdeel van onze dienstverlening.
Ook wanneer een specifieke wet niet rechtstreeks op Humanwave van toepassing is, blijven we werken aan informatiebeveiliging, privacy, bewustwording en veilig gebruik van digitale technologie.
Heb je vanuit jouw organisatie aanvullende vragen over informatiebeveiliging, privacy of de eisen die vanuit de Cyberbeveiligingswet aan leveranciers worden gesteld? Neem dan gerust contact met ons op.