Tot 1.250 euro subsidie voor cyberbeveiliging: hoe de regeling tot 30 november werkt

De overheid vergoedt dit najaar de helft van de kosten voor basismaatregelen als een wachtwoordmanager, MFA en back-ups, tot 1.250 euro per organisatie. De regeling Mijn Cyberweerbare Zaak loopt tot en met 30 november, maar het budget van een miljoen euro raakt op volgorde van binnenkomst op. Wat valt eronder, wat niet, en hoe vraag je aan.

Een wachtwoordmanager voor het hele team, MFA op alle interne applicaties, een back-up die ook echt wordt getest. Het zijn stuk voor stuk maatregelen waarvan iedereen weet dat ze verstandig zijn, en die toch vaak blijven liggen omdat de rekening ervoor niet vanzelf past in een krap jaarbudget. Dit najaar is dat een slechter excuus dan het was. Via de subsidieregeling Mijn Cyberweerbare Zaak betaalt de Rijksdienst voor Ondernemend Nederland de helft van zulke maatregelen terug, tot 1.250 euro per organisatie.

De regeling is geen alternatief voor de Cyberbeveiligingswet, die sinds 15 augustus voor ruim 8.000 grotere en kritieke organisaties een wettelijke zorgplicht en meldplicht met zich meebrengt. Mijn Cyberweerbare Zaak is bedoeld voor zzp'ers en kleine bedrijven die niet onder die wet vallen, maar wel vaker doelwit zijn van phishing, ransomware en overgenomen accounts dan hun omvang doet vermoeden. Voor een organisatie die structureel weinig ruimte heeft voor beveiligingsuitgaven, is dit een directe manier om die achterstand in te lopen.

Wat de regeling precies inhoudt

Mijn Cyberweerbare Zaak staat sinds 7 september open voor aanvragen en sluit op 30 november om vijf uur 's middags. Het beschikbare budget is een miljoen euro, verdeeld op volgorde van binnenkomst. Dat laatste is belangrijk: wie wacht tot de laatste week, loopt het risico dat de pot al leeg is voordat de formele sluitingsdatum is bereikt. De vergoeding bedraagt vijftig procent van de aanschaf- en implementatiekosten van een of meerdere maatregelen, met een maximum van 1.250 euro per aanvrager en een minimum van 400 euro aan subsidiabele kosten om überhaupt in aanmerking te komen.

De doelgroep is afgebakend: zzp'ers en micro- en kleine bedrijven met maximaal vijftig medewerkers en een jaaromzet tot tien miljoen euro, ingeschreven bij de Kamer van Koophandel. Per onderneming is één aanvraag mogelijk, en bedrijven die met elkaar verbonden zijn tellen daarbij als één. Er geldt bovendien een de-minimisplafond van 300.000 euro aan overheidssteun over drie jaar, wat voor de meeste kleine organisaties geen praktisch obstakel zal zijn.

Welke maatregelen vallen eronder

De regeling benoemt acht categorieën. Veilige netwerktoegang, denk aan een firewall, een zakelijk access point of een router die verder gaat dan de standaardinstellingen van de provider. Een wachtwoordmanager, voor maximaal een jaar aan abonnementskosten. Tweefactor- of multifactorauthenticatie voor interne applicaties. Patchmanagement, gericht op structureel en automatisch bijwerken in plaats van incidenteel handwerk. Antivirussoftware, eveneens voor maximaal een jaar. Het instellen en testen van back-ups, inclusief een nas met harde schijven als die daarvoor wordt aangeschaft. Een risico-inventarisatie en -evaluatie, tenzij die deel uitmaakt van een certificeringstraject. En een cyber awareness-training voor medewerkers, vaak de maatregel met het hoogste rendement per bestede euro.

Wat buiten de regeling valt

De uitsluitingen zijn net zo relevant als de toegestane categorieën. Maatregelen voor websites, webshops, online platformen, betaalsystemen en cloudwerkplekken komen niet in aanmerking, de regeling richt zich op de interne basisveiligheid van de organisatie zelf, niet op klantgerichte systemen. Certificeringskosten zoals voor ISO 27001 zijn uitgesloten, net als lopende abonnementen die je toch al had, zoals Microsoft 365 of Google Workspace. En een maatregel waarvoor je in een eerdere ronde al subsidie ontving, komt niet nogmaals in aanmerking.

Hoe je concreet aanvraagt

De aanvraag volgt een vaste volgorde, en die volgorde is niet vrijblijvend. Eerst doe je de gratis CyberVeilig Check van het NCSC, die een persoonlijke actielijst oplevert. Die actielijst moet je als bijlage bij de aanvraag meesturen, zonder dat advies wordt een aanvraag afgewezen. Vervolgens schaf je de maatregelen aan, voer je ze in en betaal je ze volledig, pas daarna kun je aanvragen. Facturen en betaalbewijzen van voor 7 september tellen niet mee, dus wie dit voorjaar al een wachtwoordmanager kocht, kan die kosten niet met terugwerkende kracht indienen. De aanvraag zelf loopt via RVO en vereist eHerkenning op minimaal niveau eH2+ met een machtiging voor RVO-diensten. RVO beslist binnen acht weken, en bij een dag waarop het budget door meerdere aanvragen tegelijk wordt overschreden, beslist loting wie nog aan de beurt komt.

Waarom dit precies nu relevant is

De timing is geen toeval. Nu grotere organisaties sinds de Cyberbeveiligingswet verplicht zijn hun eigen keten te beoordelen, wordt de digitale basisveiligheid van kleinere leveranciers steeds vaker onderdeel van het gesprek bij een opdracht of een contract. Eind september behaalden de eerste IT-dienstverleners het nieuwe keurmerk Digitale Basisveiligheid MKB, een certificering die laat zien of een leverancier de basisprincipes van het NCSC daadwerkelijk toepast. Dat keurmerk staat los van deze subsidie, maar beide signalen wijzen dezelfde kant op: basismaatregelen zijn niet langer alleen een interne keuze, ze worden steeds vaker een voorwaarde om zaken met je te blijven doen.

Wie twijfelt welke maatregelen het meeste opleveren voor het beschikbare budget: een wachtwoordmanager en MFA zijn vaak de goedkoopste stap met de grootste impact, omdat het merendeel van de incidenten bij kleine organisaties begint met een overgenomen account. Een werkende, geteste back-up bepaalt vervolgens of een ransomware-besmetting een vervelend uurtje is of een week stilstand. Zarioh helpt organisaties met het kiezen en inrichten van precies deze maatregelen, en denkt waar gewenst mee bij het verzamelen van de facturen en documentatie die de aanvraag vereist. Neem gerust contact op als je wilt weten waar jouw organisatie het snelste resultaat haalt uit het beschikbare budget.