Waarom cybersecurity niet stopt bij het uitzetten van een laptop

Voor ruim achtduizend Nederlandse organisaties in essentiële en belangrijke sectoren verandert er aankomend weekend iets fundamenteels. Op 15 augustus 2026 treedt namelijk de Cyberbeveiligingswet in werking, de Nederlandse implementatie van de NIS2-richtlijn. Wie dit ziet als een naderende deadline die straks weer van de agenda verdwijnt, mist waar de wet eigenlijk om vraagt. 

Waar de Cyberbeveiligingswet op neerkomt: organisaties moeten hun cyberrisico’s serieus in kaart brengen en beheersen, incidenten melden zodra die zich voordoen, en zich laten registreren bij de toezichthouder, óók als het gaat om risico’s bij hun leveranciers.  

NIS2 is daarmee geen eindstreep, maar juist een nieuw vertrekpunt. Vanaf 15 augustus gelden de verplichtingen niet als een eenmalige compliancecheck, maar als begin van een structurele manier van werken waarin cyberrisico’s continu beheerst moeten worden. De wet vraagt om een werkwijze waarmee je blijvend grip houdt op risico’s, assets en verantwoordelijkheden; geen momentopname, maar een doorlopend proces. 

Digitale weerbaarheid zit in dagelijkse IT-processen 

Die grip zit niet in een beleidsdocument dat in een la verdwijnt. Weerbaarheid ontstaat in wat er dagelijks gebeurt: hoe apparatuur wordt ingezet, beheerd en uiteindelijk weer uitgefaseerd. Eén vaak onderschat onderdeel maakt dat direct concreet: de uitfasering van hardware. 

Cybersecurity stopt namelijk niet bij het uitzetten van een laptop. Denk aan de laptop van een accountmanager die na drie jaar aan vervanging toe is, of een serverpark dat wordt gemigreerd. Dat soort apparatuur bevat vaak nog bedrijfsdata. Zodra die apparatuur wordt verwerkt of hergebruikt, komt die buiten de eigen IT-omgeving terecht. Daarbij kunnen verschillende partijen betrokken zijn, bijvoorbeeld voor transport, dataverwijdering, refurbishment of recycling. 

Waarom uitfasering een kwetsbaar moment is in je hardwarebeveiliging 

Precies op dat punt ontbreekt bij veel organisaties een duidelijk proces. IT beheert de aanschaf en het gebruik, maar wie is verantwoordelijk zodra een device het pand verlaat? Die vraag blijft in de praktijk vaak onbeantwoord. 

Hardware-uitfasering is daarmee een logisch onderdeel van de bredere risicoafweging die de Cyberbeveiligingswet vraagt. Organisaties moeten grip houden op cyberrisico’s, assets en relevante leveranciers. Apparatuur die de organisatie verlaat, hoort daarom niet buiten beeld te raken zodra de stekker eruit gaat. 

Aantoonbare ketenafspraken maken het verschil 

Grip krijgen op deze fase begint met een paar simpele vragen. Wie is intern eigenaar van het uitfaseringsproces? Welke leveranciers zijn daarbij betrokken, en welke afspraken gelden er over verwerking, dataverwijdering en bewijsvoering? 

Een proces op papier is niet genoeg. Je wil achteraf kunnen reconstrueren wat er met een asset is gebeurd: wanneer het is ingenomen, hoe data is verwijderd, aan welke partij het is overgedragen en wat de uiteindelijke bestemming was. Registraties, verwerkingsverklaringen en relevante certificeringen kunnen daarbij helpen. Het gaat dus niet alleen om beheersen, maar ook om kunnen aantonen hoe het proces is uitgevoerd. 

Discipline bepaalt of je aantoonbaar veilig werkt 

De relevante vraag ná 15 augustus is daarom niet alleen: ‘Zijn we klaar voor NIS2?’ Veel belangrijker is de vraag of je processen zo zijn ingericht dat je ook daarna aantoonbaar grip houdt. Elke keer dat er weer een lichting apparatuur wordt vervangen, moet dezelfde vraag opnieuw kunnen worden beantwoord: weten we wat er met deze assets en de data erop gebeurt en wie daarvoor verantwoordelijk is? En: kunnen we dat achteraf aantonen? 

Aces Direct helpt organisaties bij precies die laatste fase: veilige dataverwijdering en verantwoorde verwerking van uitgefaseerde hardware, met een aantoonbaar proces van begin tot eind. Een goed ingericht uitfaseringsproces biedt bovendien ruimte voor hergebruik en restwaarde. Zo levert veilige IT ook een concreet circulair voordeel op. 

Kun jij aantonen wat er met ieder uitgefaseerd device in jouw organisatie gebeurt? Vraag een vrijblijvende quickscan aan of lees meer over het IT Retour Programma van Aces Direct.