Cyber due diligence bij een bedrijfsovername sinds de Cyberbeveiligingswet
Category: NieuwsCyber due diligence is sinds 15 augustus 2026 ook een wettelijke transactiecheck
De Cyberbeveiligingswet (Cbw) implementeert NIS2 in Nederland en geldt sinds 15 augustus 2026. Organisaties die binnen de wettelijke scope vallen, krijgen onder meer te maken met registratie, een zorgplicht voor de beveiliging van netwerk- en informatiesystemen, meldplichten bij significante incidenten en een expliciete verantwoordelijkheid van het bestuur. De zorgplicht ziet ook op risico’s in de toeleveringsketen.
Voor een bedrijfsovername verandert dat de juridische due diligence. Een koper moet eerst vaststellen of de target of een groepsmaatschappij onder de Cbw valt. Daarna volgt de vraag of de onderneming haar verplichtingen daadwerkelijk kan onderbouwen. Een ontbrekende registratie is een ander type probleem dan een historisch cyberincident, onvoldoende leverancierscontrole of een structureel tekort in de beveiligingsmaatregelen. De transactiedocumentatie moet dat onderscheid terugbrengen in de risicoverdeling.
Deze bijdrage maakt deel uit van de M&A Insights: Nederlandse transactiepraktijk.
Bepaal eerst welke entiteiten onder de wet vallen
Een algemene vraag in de dataroom of de onderneming “NIS2 compliant” is, levert weinig bruikbare informatie op.
De Cbw ziet op essentiële en belangrijke entiteiten binnen achttien sectoren. De onderneming is zelf verantwoordelijk voor de beoordeling of zij binnen de scope valt. Voor een acquisitiegroep moet die analyse per relevante entiteit worden gemaakt.
Bij due diligence zou ik daarom willen begrijpen welke diensten iedere groepsmaatschappij levert, in welke sector zij actief is en op welke grond zij wel of niet onder de Cbw wordt gebracht.
Dat is ook nodig voor de SPA. Een generieke compliance warranty over de hele groep kan te ruim zijn als slechts één Nederlandse entiteit daadwerkelijk onder het Cbw-regime valt.
Bij een carve-out of reorganisatie kan bovendien de situatie na closing veranderen. Activiteiten, systemen of leveranciersrelaties kunnen worden afgesplitst en opnieuw verdeeld. De scope-analyse moet dus aansluiten op de structuur die de koper daadwerkelijk overneemt.
De dataroom moet laten zien hoe cyber governance werkt
Een goed cybersecuritybeleid op papier geeft nog geen antwoord op de vraag hoe de onderneming de Cbw uitvoert.
Voor een target binnen scope zijn onder meer de registratie, risicoanalyses, incidentresponseprocedures, leveranciersbeoordelingen en interne verantwoordelijkheden relevant. Bestuursbesluiten en training verdienen eveneens aandacht, omdat het bestuur de maatregelen onder de zorgplicht moet goedkeuren, toezicht moet houden op de uitvoering en over voldoende kennis moet beschikken.
De beoordeling wordt concreter wanneer de stukken naast elkaar worden gelegd.
Als het beleid zegt dat belangrijke IT-leveranciers jaarlijks worden beoordeeld, moet uit de leveranciersdossiers blijken dat dit ook gebeurt. Als het incidentresponseplan een meldprocedure bevat, moet duidelijk zijn wie binnen de organisatie een significant incident kan escaleren en wie verantwoordelijk is voor de wettelijke melding.
Sinds 15 augustus 2026 geldt voor significante incidenten een eerste melding binnen 24 uur na ontdekking. De sectorale drempelwaarden bepalen wanneer een incident significant is.
Voor een koper zijn dat verifieerbare punten, geen algemene cybervragen.
Historische incidenten vragen om meer dan een warranty
Een eerder ransomware-incident of datalek hoeft een transactie niet problematisch te maken.
Wel moet duidelijk zijn wat er is gebeurd, welke systemen geraakt zijn, welke meldingen zijn gedaan, welke herstelmaatregelen zijn genomen en of nog claims, onderzoeken of kwetsbaarheden openstaan.
Bij een bekend incident hoort vervolgens een transactionele beslissing.
Is het incident volledig opgelost en goed gedocumenteerd, dan kan disclosure voldoende zijn naast passende warranties. Staat nog een onderzoek open of bestaat een concrete historische aansprakelijkheid, dan kan een specifieke vrijwaring geschikter zijn. Moet vóór closing eerst een kwetsbaarheid worden hersteld of een wettelijke registratie worden afgerond, dan kan herstel vóór closing of een condition precedent in beeld komen.
Hetzelfde geldt voor de koopprijs. Als de koper direct na closing een omvangrijk remediationprogramma moet financieren dat bij signing al bekend is, hoort dat economische gevolg in de dealdiscussie thuis.
De bredere systematiek staat ook centraal in de Share Purchase Agreement bij overname van aandelen.
Ketenbeveiliging maakt leverancierscontracten onderdeel van cyber DD
De Cbw verlangt dat in-scope organisaties ook beveiligingsrisico’s in hun rechtstreekse leveranciers- en dienstverlenersketen meenemen. Het NCSC noemt ketenbeveiliging expliciet als één van de zorgplichtmaatregelen.
Daarmee wordt cybersecurity ook een contractreview.
Een target kan operationeel sterk afhankelijk zijn van een cloudprovider, managed service provider, softwareleverancier of andere IT-partij. De due diligence moet dan niet uitsluitend kijken naar het eigen securitybeleid van de target, maar ook naar de afspraken waarop zij bij een incident kan terugvallen.
Relevant zijn bijvoorbeeld incidentmelding, audit- en informatietoegang, herstel, continuïteit, onderaannemers en exit of migratie.
Een zwakke contractpositie wordt na closing het probleem van de koper. Soms kan een contract vóór closing worden aangepast. In andere gevallen hoort het risico in de integratieplanning.
Dat is precies waarom de Cyberbeveiligingswet niet in een los compliancehoekje thuishoort. Zij raakt rechtstreeks aan material contracts en operationele continuïteit.
Van cyber finding naar SPA-bescherming
Niet iedere bevinding hoort in dezelfde clausule.
Bij een target die aantoonbaar binnen de Cbw valt, ligt het voor de hand dat de SPA verklaringen bevat over toepasselijkheid, registratie, naleving van relevante cyberverplichtingen, bekende incidenten en gedane meldingen. De precieze warranty set moet aansluiten op de onderneming en de uitgevoerde diligence.
Een concrete bekende tekortkoming vraagt meestal een andere behandeling dan het algemene risico dat na closing een onbekende overtreding boven water komt.
Een specifieke herstelverplichting kan bijvoorbeeld voorschrijven dat een maatregel vóór of direct na closing wordt uitgevoerd. Een condition precedent past bij een punt waarvan de koper niet bereid is het closingrisico te nemen. Een specifieke vrijwaring kan een afgebakend historisch risico bij de verkoper laten.
W&I verandert die analyse niet fundamenteel. Een bekend probleem kan buiten dekking vallen of afzonderlijk moeten worden behandeld, afhankelijk van de policy en underwriting. Dat moet tijdens het SPA-proces duidelijk zijn en niet pas wanneer de polis vlak voor signing wordt afgerond.
Post-closing cyberintegratie hoort al vóór signing op tafel
Een koper neemt bij closing vaak niet alleen het juridische risico over, maar verandert daarna systemen, toegangsrechten, leveranciers, reporting lines en incidentresponse.
Dat kan de bestaande cybersecurityomgeving juist in de eerste maanden na closing onder druk zetten.
Bij een in-scope target moet daarom worden bepaald wie na closing verantwoordelijk wordt voor de Cbw-governance, welke groepspolicies worden ingevoerd en of bestaande systemen of leveranciers worden vervangen.
Een garantie kan een historisch probleem adresseren. Zij voert geen integratieplan uit.
De post-closing workstream behoort dus al tijdens diligence zichtbaar te worden.
Praktische conclusie
Bij een target die mogelijk onder de Cyberbeveiligingswet valt, zou ik vóór signing drie zaken willen hebben opgelost: de scope moet vaststaan, materiële tekortkomingen moeten zijn geïdentificeerd en voor iedere materiële finding moet duidelijk zijn waar het risico in de transactie terechtkomt.
Een compliance warranty alleen is daarvoor te grof.
Registratie, incidenthistorie, leveranciersketen, bestuur en remediation vragen ieder hun eigen beoordeling. De uitkomst kan een warranty zijn, een disclosure, herstel vóór closing, een specifieke vrijwaring, een condition precedent of een expliciete post-closing verplichting.
Zo wordt cyber due diligence bruikbaar voor de deal in plaats van een technisch rapport naast de deal.
FAQ
Moet iedere Nederlandse onderneming voldoen aan de Cyberbeveiligingswet?
Nee. De wet geldt voor bepaalde essentiële en belangrijke entiteiten binnen de aangewezen sectoren. Een onderneming moet zelf beoordelen of zij binnen de wettelijke scope valt.
Welke cyberdocumenten horen in een M&A-dataroom?
Dat hangt af van de target. Bij een in-scope onderneming zijn onder meer scope- en registratiedocumentatie, risicoanalyses, incidentprocedures, leveranciersbeoordelingen, bestuursdocumentatie en informatie over eerdere incidenten relevant.
Moet een bekend cyberprobleem altijd met een vrijwaring worden opgelost?
Nee. Herstel vóór closing, prijs, disclosure, een covenant of een condition precedent kunnen beter passen. Dat hangt af van de aard en omvang van het risico.
Kan cybernon-compliance closing tegenhouden?
Dat kan wanneer het punt materieel genoeg is en partijen closing daarvan afhankelijk maken. Niet iedere tekortkoming hoeft een condition precedent te worden.
Wat verandert na closing voor het bestuur?
Het nieuwe bestuur of de nieuwe governance moet ervoor zorgen dat de wettelijke verantwoordelijkheden, beveiligingsmaatregelen en toezicht daarop daadwerkelijk worden voortgezet.
Over Dirk de Waard
Dirk de Waard is advocaat ondernemingsrecht, M&A en venture capital en partner bij Venture Lawyers in Amsterdam. Hij adviseert kopers, verkopers, investeerders en M&A-adviseurs over due diligence, SPA’s, risicoallocatie, closing en Nederlandse transactie-uitvoering.
Cyberbeveiligingswet meenemen in een overname?
Bij een voorgenomen overname kan Dirk de Cbw-workstream onderdeel maken van de juridische due diligence en SPA-review. Dat omvat de transactierelevante scope-analyse, het bepalen welke documentatie ontbreekt en het vertalen van materiële findings naar warranties, disclosure, herstelverplichtingen, vrijwaringen, conditions precedent en closing deliverables.
Waar specialistische technische cybersecuritybeoordeling nodig is, wordt de juridische transactieanalyse afgestemd met de betreffende cybersecurityspecialisten.
Neem contact op via dirk.dewaard@viottalaw.com om een Cbw-transactiecheck, due-diligencescope of SPA-review te bespreken.
