Mark JansenOp 12 oktober 2026 presenteerde generaal Alexus Grynkewich, de hoogste NAVO-militair als SACEUR (Supreme Allied Commander Europe), zijn nieuwe strategische doctrine op het Warsaw Security Forum in Polen. Drie woorden definiëren zijn aanpak: 'block, blunt, break'. Wat als militaire strategie klinkt, heeft directe gevolgen voor Nederlandse IT-bedrijven: de Defensienota 2026 opende eerder dit jaar de defensiemarkt voor technologiebedrijven, maar met strenge cyberbeveiligingseisen die veel ondernemers nog onderschatten.
Wat veranderde er bij de NAVO in oktober 2026?
Generaal Alexus Grynkewich is de hoogste NAVO-militair in Europa. Als Supreme Allied Commander Europe (SACEUR) leidt hij alle militaire NAVO-operaties op het Europese continent en stuurt hij de strategische planvorming aan. Op het Warsaw Security Forum van 12 en 13 oktober 2026 legde hij zijn nieuwe Theory of Victory uit: 'block, blunt, break'. De NAVO wil dreigingen blokkeren voordat ze escaleren, de slagkracht van tegenstanders afstompen, en indien nodig doorbreken.
Cyber staat daarin centraal. Al jaren beschouwt de NAVO het digitale domein als het vijfde operatiedomein, naast land, zee, lucht en ruimte. Wat echter nieuw is in de doctrine van Grynkewich: de nadruk op samenwerking met de private sector als structureel onderdeel van de verdediging. Niet als vrijwillige bijdrage, maar als geïntegreerde vereiste.
Nederland speelt hierin een bijzondere rol. Bij de Cyber Defence Pledge Conference in Den Haag wees minister Ollongren erop dat veel vitale functies in onze samenleving in handen zijn van de private sector. "Zonder hun actieve medewerking zijn onze digitale grenzen kwetsbaar," zei zij. De Defensienota 2026, die het kabinet op 29 juni 2026 naar de Tweede Kamer stuurde, gaat nog verder: het defensiebudget stijgt naar €28,9 miljard — meer dan €6 miljard boven vorig jaar — en de defensiemarkt opent expliciet voor technologiebedrijven die dual-use oplossingen leveren. AI, cybersecurity, sensoren, cloud: allemaal sectoren waar Nederland sterke spelers heeft.
Welke vraag stelt de gemiddelde Nederlandse IT-ondernemer zich?
Niet veel IT-directeuren stellen zichzelf de vraag "hoe draag ik bij aan NAVO-cyberverdediging?". Wat ze wél vragen is: "Ben ik straks nog in aanmerking voor overheidscontracten als mijn cybersecurity niet op orde is?"
Het antwoord is in de meeste gevallen: nee.
De Cyberbeveiligingswet — de Nederlandse implementatie van de Europese NIS2-richtlijn — verplicht organisaties in essentiële en belangrijke sectoren tot specifieke technische en organisatorische beveiligingsmaatregelen. Maar de reikwijdte is groter dan veel ondernemers beseffen. Niet alleen de directe aanbieder van kritieke diensten valt eronder: ook toeleveranciers en IT-dienstverleners van organisaties die onder de wet vallen, kunnen worden aangesproken op hun beveiligingsniveau.
Een klein softwarebedrijf dat modules levert aan een gemeente, een cloudprovider die data opslaat voor een energienetwerk, of een IT-dienstverlener die systemen onderhoudt voor een defensieaannemer — zij vallen mogelijk als indirecte schakel onder de NIS2-verplichtingen. Niet als hoofdverantwoordelijke, maar via de supply chain security-verplichting van hun opdrachtgever.
Hoe werkt de Cyberbeveiligingswet in de praktijk?
De Cyberbeveiligingswet verplicht organisaties in de essentiële sectoren — waaronder digitale infrastructuur, centrale overheid, energie, transport en gezondheidszorg — tot een reeks concrete maatregelen:
- Een risicoanalyse met bijbehorend informatiebeveiligingsbeleid
- Formele procedures voor incidentbeheer en crisisrespons
- Aantoonbare maatregelen voor bedrijfscontinuïteit
- Beveiligingsaudit van de toeleveringsketen (supply chain security)
- Verplichte melding van beveiligingsincidenten bij het Nationaal Cyber Security Centrum (NCSC)
De boetes zijn substantieel. Organisaties die niet voldoen, riskeren bestuurlijke boetes tot €10 miljoen of 2 procent van de wereldwijde jaaromzet — de hoogste van beide bedragen geldt. Voor bedrijven met een omzet van meer dan €500 miljoen kan dat al gauw oplopen tot tientallen miljoenen.
De deadline voor volledige implementatie lag op 17 oktober 2024. Toch zijn in 2026 veel organisaties — en zeker hun toeleveranciers — nog steeds niet volledig compliant. Het NCSC rapporteerde begin 2026 dat meer dan 40 procent van de organisaties die verplicht zijn zich te registreren dat nog niet hadden gedaan. De nieuwe NAVO-doctrine en de openstelling van de defensiemarkt geven toezichthouders nu een extra reden om handhaving te versterken.
Voor IT-bedrijven die de defensiemarkt willen betreden, is compliance geen keuzevraag meer. Het is een kwalificatievereiste.
Concreet geval: het Utrechtse IT-bedrijf dat een defensiecontract wint
Stel: TechNL BV, een Utrechts IT-bedrijf met veertien medewerkers dat gespecialiseerd is in cloudoplossingen voor de publieke sector. Eind oktober 2026 wint TechNL een subcontract als toeleverancier van een gecertificeerde defensieaannemer. De contractwaarde bedraagt €180.000 per jaar voor cloudopslag en systeembeheer.
De aannemer valt zelf onder de Cyberbeveiligingswet als aanbieder van digitale infrastructuur aan Defensie. Op grond van artikel 21, lid 2d van de NIS2-richtlijn is die aannemer verplicht de beveiliging van zijn toeleveringsketen te waarborgen. Concreet: hij mag TechNL contractueel verplichten te voldoen aan de NIS2-normen voor supply chain security.
Als TechNL al NIS2-compliant is: het contract wordt verleend. TechNL kan bovendien een premiumpositie bedingen: bewezen beveiligingsniveau is een onderscheidend argument in aanbestedingen.
Als TechNL niet compliant is: de aannemer is juridisch verplicht het contract niet te verlenen of te beëindigen zodra non-compliance blijkt. Verlies van €180.000 jaaromzet. Maar dat is niet de enige risicofactor: bij een beveiligingsincident waarbij gegevens van de aannemer uitlekken via TechNL's systemen, kan de aannemer TechNL aansprakelijk stellen voor gevolgschade. Dat kan oplopen tot een veelvoud van de contractwaarde.
Een NIS2-compliancytraject kost TechNL gemiddeld €10.000 tot €25.000, afhankelijk van de complexiteit van de IT-omgeving. Een initiële security audit om de gap-analyse te doen kost €3.000 tot €8.000. Die investering staat in schril contrast met het verlies van één defensiecontract — laat staan meerdere — of aansprakelijkheid bij een incident.
Als/dan-logica: Als uw IT-bedrijf diensten levert aan een overheidsinstelling, een zorgorganisatie of een gecertificeerde defensietoeleverancier, dan moet u uw NIS2-status kennen vóór u een offerte uitbrengt. Doet u dat niet, riskeert u contractverlies of aansprakelijkheid achteraf — en dat geldt ook als uw directe opdrachtgever de primaire verantwoordelijke is.
Wat moeten IT-ondernemers nu concreet doen?
De combinatie van Grynkewich's cyberdoctrine, de Defensienota 2026 en de Cyberbeveiligingswet creëert een concreet venster van zakelijke kansen voor Nederlandse IT-bedrijven — maar uitsluitend voor bedrijven die hun informatiebeveiliging aantoonbaar op orde hebben.
Stap 1: Bepaal of u in scope valt. Controleer of uw organisatie of uw klanten onder de Cyberbeveiligingswet vallen. Het NCSC biedt richtlijnen en zelfscantools aan via ncsc.nl die u helpen uw positie te beoordelen. Gebruik dit als startpunt, maar laat de uitkomst valideren door een gecertificeerde IT-beveiligingsadviseur — de wet is complex en de zelfdiagnose is foutgevoelig.
Stap 2: Voer een gap-analyse uit. Breng in kaart welke technische en organisatorische maatregelen ontbreken. Daarbij gaat het niet alleen om firewalls en antivirussoftware, maar ook om een formeel incidentresponsplan, gelogde toegangscontroles, encryptiebeleid en een actuele risicoanalyse die periodiek wordt herzien.
Stap 3: Documenteer uw beveiligingsniveau. Bij aanbestedingen en contractonderhandelingen wilt u aantonen dat u NIS2-compliant bent. Een ISO 27001-certificering of een auditorverklaring van een geaccrediteerde partij geeft opdrachtgevers de zekerheid die zij contractueel nodig hebben. Dit is een investering in uw marktpositie voor 2027 en verder.
Stap 4: Monitor hoe de defensiemarkt zich ontwikkelt. De Defensienota 2026 is een startpunt, niet het eindpunt. De NAVO-top in Ankara en de verschuivingen in de NAVO-strategie laten zien dat het defensiedossier snel evolueert. Bedrijven die vroegtijdig inzetten op compliant opereren, bouwen een voorsprong op die moeilijk te inhalen is.
Voor de meeste kleine en middelgrote IT-bedrijven is NIS2-compliance een domein dat buiten de dagelijkse bedrijfsvoering valt. De wet is technisch, de uitvoering complex en de gevolgen van non-compliance zijn groot. Een gespecialiseerde IT-beveiligingsadviseur kan de vertaalslag maken van wetgeving naar concrete maatregelen — en voorkomt dat een contract wordt misgelopen of dat een incident uitmondt in een kostbare aansprakelijkheidsclaim.
Disclaimer: dit artikel is informatief van aard en vervangt geen juridisch of IT-beveiligingsadvies op maat. Raadpleeg een gecertificeerde professional voor uw specifieke situatie en sector.
