Wat de nieuwe cyberwet wél en niet betekent voor fitnessondernemers

Sinds 15 augustus geldt de Cyberbeveiligingswet. Begin september is de startfase voorbij: wie onder de wet valt, had zich al moeten melden. Voor de meeste fitnessclubs, boutique studio’s en personal-trainingpraktijken verandert de wet zelf weinig. Een gewone sportschool levert geen essentiële of belangrijke dienst en blijft meestal buiten scope. Wat wél verandert, is de vraag ernaast. Leden, softwareleveranciers en samenwerkingspartners willen weten of hun gegevens bij jou veilig zijn – ook als de inspectie nooit langskomt.

De wet is de Nederlandse uitwerking van de Europese NIS2-richtlijn. Ze geldt voor organisaties in achttien aangewezen sectoren: energie, drinkwater, vervoer, overheid, digitale infrastructuur, ICT-beheer voor bedrijven, gezondheidszorg. Daarbij komt een omvangstoets. Grofweg: vijftig of meer medewerkers, of bij een kleinere bezetting zowel een jaaromzet als een balanstotaal boven de tien miljoen euro. Groeps- en partnerbedrijven tellen mee. Alleen als je in zo’n sector zit én groot genoeg bent, of als een toezichthouder je expliciet aanwijst, gelden registratie bij het NCSC, een wettelijke zorgplicht en een meldplicht bij ernstige incidenten. De meeste sportscholen blijven daarbuiten. Ketens met een zorg- of revalidatietak, of clubs in een grotere holding, doen er goed aan die toets alsnog bewust te maken.

Buiten de wet, niet buiten de keten

Dat je zelf geen registratieplicht hebt, zegt weinig over de druk in de praktijk. Organisaties die wél onder de wet vallen, moeten hun leveranciers beoordelen. Een gemeente met een beweegprogramma, een zorgverzekeraar, een bedrijfsfitnesspartner of de leverancier van je ledenadministratie kan vragen hoe jij omgaat met toegang, back-ups en incidenten. Wie daar geen helder antwoord op heeft, wordt een risico in andermans dossier.

Intussen blijft het dreigingsbeeld hetzelfde. Ledenpassen, poorten, app-inlog, incasso, roostersoftware en de boekhouding vormen samen een aantrekkelijk doel. Een datalek of een week zonder inchecksysteem raakt omzet, reputatie en privacy tegelijk. Criminelen maken geen onderscheid tussen een ziekenhuis en een gym.

Wat je wél kunt regelen voor de herfst

Begin bij maatregelen die je deze week kunt controleren. Zet multifactorauthenticatie aan op accounts waarmee je bij leden- of betaalgegevens kunt. Gebruik unieke wachtwoorden of een manager; deel geen inlog via de app van de lesgroep. Laat kassa’s, computers en telefoons automatisch updaten. Maak back-ups van leden- en financiële data en test of je die terug kunt zetten. Beperk wie bij de administratie kan en trek accounts van oud-medewerkers en seizoenskrachten in. Leg met softwareleveranciers vast hoe zij persoonsgegevens beschermen en wat er gebeurt bij een storing. Spreek intern af wie je belt als systemen platliggen of als er een mail binnenkomt die verdacht veel op een factuur van de verhuurder lijkt. Kijk of je privacyverklaring nog klopt met hoe je écht werkt.

De meeste incidenten starten niet met een geavanceerde aanval, maar met een klik, een hergebruikt wachtwoord of een uitgestelde update. Receptie, trainers en administratie zijn daarin even belangrijk als de IT-leverancier.

Twijfel je over de reikwijdte, gebruik dan de zelfevaluatie van de Rijksinspectie Digitale Infrastructuur of de uitleg van NCSC en Rijksoverheid. Val je wél onder de wet en ben je nog niet geregistreerd via MijnNCSC, dan is dat nu acuut. Val je erbuiten, behandel digitale veiligheid dan als bedrijfscontinuïteit: dezelfde vanzelfsprekendheid als onderhoud van apparatuur of een EHBO-protocol. Leden geven je hun routine én hun gegevens. Die verwachting is sinds 15 augustus niet veranderd – alleen de omgeving eromheen is strenger geworden.