Volgens Techzine van 14 oktober 2025 houdt de Rijksinspectie Digitale Infrastructuur (RDI) vanaf de 2e helft van 2026 proactief toezicht op cloudserviceproviders. Vanaf dat moment zou de Cyberbeveiligingswet volledig voor deze providers gelden.
De RDI valt onder het ministerie van Economische Zaken. Tot dan kon de RDI volgens het artikel alleen achteraf optreden bij incidenten; met proactief toezicht gaat de inspectie ook vooraf met providers in gesprek over risico's en maatregelen. Als redenen noemt het artikel de snel groeiende afhankelijkheid van de cloud en de toenemende cyberdreiging. Een storing bij een grote cloudprovider kan volgens het artikel hele sectoren platleggen.
Onder de wet moeten providers hun risico's in kaart brengen, passende maatregelen nemen en die risico's doorlopend beheersen. Het bestuur moet resterende risico's expliciet accepteren. De RDI kijkt daarbij ook naar hoe het risicobeheer is georganiseerd, inclusief governance, en providers moeten laten zien dat cybersecurity op bestuursniveau serieus wordt genomen.
Ook de keten telt mee. Bij de keuze van leveranciers moeten providers de cybersecurityrisico's beoordelen, met due diligence op alle partijen in de keten.
Daarnaast moeten providers hun klanten ondersteunen bij het behouden van controle over hun data en applicaties. Vallen die klanten zelf ook onder de Cyberbeveiligingswet, dan ontstaat volgens het artikel een gedeelde verantwoordelijkheid voor cybersecurity. Het artikel noemt geen specifieke providers.
Hoe we de eisen van NIS2 vertalen naar de inrichting van Microsoft 365, lees je bij onze dienst governance, compliance en security.
Governance, compliance en security