Als je freelancer bent, een eenmans-bv runt of als zelfstandige zonder personeel werkt, ben je er waarschijnlijk van uitgegaan dat cybersecurityrichtlijnen niet voor jou geschreven zijn. Het meeste leest alsof het bedoeld is voor IT-afdelingen: firewalls die geconfigureerd moeten worden, medewerkers die getraind moeten worden, beveiligingsteams die gecoördineerd moeten worden. Jij hebt niets van dat alles. Jij hebt een laptop, een telefoon, een handvol klantaccounts en niet veel vrije tijd.
NIST heeft datzelfde gat opgemerkt — en er iets aan gedaan. In april 2026 publiceerde het National Institute of Standards and Technology een conceptupdate van zijn cybersecurityrichtlijn voor kleine bedrijven, en voor het eerst is deze expliciet geschreven voor "non-employer firms": bedrijven zonder betaald personeel behalve de eigenaar zelf. Dat is geen nichecategorie. Volgens de Small Business Administration zijn er 34,8 miljoen kleine bedrijven in de VS, en 81,9% daarvan — meer dan 28 miljoen — heeft nul werknemers. Als je in je eentje een bedrijf runt, ben je de overweldigende meerderheid, niet de uitzondering.
Wat is CSWP 50 precies?
De nieuwe publicatie, formeel getiteld NIST CSWP 50: Small Business Cybersecurity: Non-Employer Firms, is een herziening van een document dat al sinds 2009 bestaat (oorspronkelijk NIST IR 7621). Het bouwt voort op het NIST Cybersecurity Framework (CSF) 2.0, hetzelfde risicomanagementkader dat banken, ziekenhuizen en Fortune 500-bedrijven gebruiken — alleen dan teruggebracht tot iets waar een eenmanszaak daadwerkelijk mee aan de slag kan zonder een consultant in te huren.
Een paar dingen zijn veranderd in deze herziening die ertoe doen als je eerdere NIST-richtlijnen overweldigend vond:
- Kleinere reikwijdte. Eerdere versies probeerden algemene informatiebeveiliging te dekken. CSWP 50 richt zich specifiek op cybersecurity — het beschermen van je digitale systemen en gegevens tegen bedreigingen — wat een behapbaarder, concreter doel is.
- Geherstructureerd om te scannen. De inhoud is opgemaakt in tabellen in plaats van dichte lopende tekst, zodat je het ene relevante onderdeel voor jouw situatie kunt vinden in plaats van alles van voor naar achter te moeten lezen.
- Drie praktijkvoorbeelden. Het concept bevat uitgewerkte voorbeelden die laten zien hoe een heel klein bedrijf de richtlijn in de praktijk zou toepassen, in plaats van jou zelf abstracte principes te laten vertalen.
- Rekening houdend met groei. Het erkent dat sommige bedrijven zonder werknemers voor altijd solo willen blijven, terwijl andere uiteindelijk personeel gaan aannemen — en biedt richtlijnen voor beide paden, in plaats van ervan uit te gaan dat iedereen onderweg is naar een "echt" bedrijf met een IT-afdeling.
De periode voor publieke reacties op het concept sloot op 14 mei 2026, en NIST wordt naar verwachting later dit jaar met de definitieve richtlijn komen. Het is nog steeds een concept, geen definitieve standaard — maar de richting die het aangeeft is het waard om er nu al naar te handelen in plaats van te wachten.
Waarom dit belangrijker is dan het lijkt
Het is verleidelijk om aan te nemen dat cybersecurity een "probleem van grote bedrijven" is — dat niemand de moeite zal nemen om een eenmans-boekhoudpraktijk of een solo webontwikkelaar als doelwit te kiezen. De data zeggen het tegenovergestelde.
Kleine bedrijven zijn het doelwit van een groot deel van alle cyberaanvallen, en brancherapporten over datalekken schatten het jaarlijkse percentage kleine bedrijven dat een inbreuk meemaakt op ruwweg de helft van alle kleine bedrijven in een gegeven jaar. Wanneer er wel een inbreuk plaatsvindt, lopen de typische kosten voor kleine en middelgrote bedrijven op van lage zes cijfers tot zeven cijfers zodra je downtime, herstel, meldingsverplichtingen en verloren klantvertrouwen meerekent — en een meerderheid van de kleine bedrijven die een significante inbreuk meemaakt, overleeft dat op de lange termijn niet. Ransomware speelt een rol bij een groot deel van deze incidenten, met mediane betalingen die ver in de zes cijfers lopen — vaak meer dan de gehele jaaromzet van een solo-ondernemer.
Het freelancer-specifieke risico is ook reëel: gecompromitteerde accounts van contractanten en freelancers worden in verband gebracht met een aanzienlijk deel van de datalekincidenten in de hele branche, vaak omdat een klant toegang heeft verleend tot gedeelde systemen en niemand eraan dacht die achteraf weer af te sluiten. Als je opdrachten uitvoert voor andere bedrijven, is jouw beveiligingsniveau niet alleen jouw eigen risico — het is een deur naar dat van hen.
Toch is de voorbereidingskloof enorm. Bijna de helft van de bedrijven met minder dan 50 werknemers geeft aan geen enkel toegewezen cybersecuritybudget te hebben, en slechts een klein deel van de kleine bedrijven heeft een cyberverzekering. Preventie is drastisch goedkoper dan herstel — vaak geschat op 50 tot 60 keer goedkoper — maar bijna niemand begroot ervoor totdat er al iets is misgegaan.
De zes functies, vertaald voor een bedrijf van één persoon
CSF 2.0 organiseert cybersecuritywerk in zes functies: Govern, Identify, Protect, Detect, Respond en Recover. Voor een bedrijf met een beveiligingsteam is elk van die functies een afdeling. Voor een solo-ondernemer is elke functie meer een checklistpunt dat je een paar keer per jaar opnieuw bekijkt. Zo ziet het er in de praktijk uit:
Govern (Besturen) — Leg op papier vast (zelfs een eenvoudig document volstaat) welke gegevens je verwerkt en wat je risicotolerantie is. Als je financiële gegevens van klanten, medische informatie of betalingsgegevens opslaat, moet je risicotolerantie laag zijn en moeten je werkwijzen dat weerspiegelen.
Identify (Identificeren) — Maak een korte inventarisatie: welke apparaten gebruik je voor je werk? Welke accounts bevatten gevoelige gegevens — e-mail, cloudopslag, boekhoudsoftware, klantportalen? Je kunt niet beschermen wat je niet hebt opgelijst.
Protect (Beschermen) — Hier zit het grootste praktische nut voor een solo-onderneming:
- Gebruik een wachtwoordmanager en schakel meerfactorauthenticatie in bij elk account dat dit aanbiedt, vooral e-mail en financiële tools — e-mail is de herstelsleutel voor bijna al het andere.
- Houd software en besturingssystemen automatisch bijgewerkt in plaats van updates uit te stellen.
- Versleutel de harde schijf van je laptop (standaard ingebouwd in moderne Windows- en macOS-versies, hoeft alleen maar ingeschakeld te worden).
- Maak back-ups van klant- en financiële gegevens op een plek die gescheiden is van je primaire apparaat — een cloudback-up of een externe schijf die niet altijd verbonden is.
- Als je met contractanten of onderaannemers werkt, geef dan niet meer systeemtoegang dan de specifieke taak vereist, en trek die weer in zodra het werk klaar is.
Detect (Detecteren) — Schakel inlogmeldingen en meldingen bij ongebruikelijke activiteit in voor je e-mail, bank en belangrijke cloudaccounts. Als eenmanszaak heb je geen monitoringsysteem — maar de meeste grote providers laten je gratis weten als er iets vreemd lijkt, mits je je hebt aangemeld voor die meldingen.
Respond (Reageren) — Schrijf, voordat je het nodig hebt, op wat je gaat doen als je een inbreuk vermoedt: welke accounts je als eerste vergrendelt, wie je informeert (klanten, je bank, je verzekeraar als je die hebt) en waar je back-ups zich bevinden. Dit rustig van tevoren beslissen is veel beter dan het beslissen tijdens paniek.
Recover (Herstellen) — Weet hoe je je systemen en gegevens vanaf een back-up zou herstellen, en test daadwerkelijk of die back-up werkt voordat je hem nodig hebt. Een ongeteste back-up is een hoop, geen plan.
Een startchecklist van 30 minuten
Je hoeft niet alle zes CSF-functies in één keer te implementeren. Als je vandaag nog actie wilt ondernemen, is dit een realistisch startpunt dat eerst de onderdelen met de hoogste waarde dekt:
- Schakel meerfactorauthenticatie (MFA) in voor je e-mail, bank en elk klantgericht portaal. Dit alleen al blokkeert de meerderheid van pogingen tot accountovername, zelfs als een wachtwoord uitlekt.
- Installeer een wachtwoordmanager en stop met wachtwoorden hergebruiken op meerdere accounts. Eén hergebruikt wachtwoord op een gehackte site is een van de meest voorkomende manieren waarop solo-accounts worden gecompromitteerd.
- Bevestig dat je back-ups daadwerkelijk werken. Vertrouw niet zomaar dat een cloudsynchronisatie plaatsvindt — kies een bestand, verwijder het lokaal en herstel het vanaf de back-up om te bewijzen dat het proces werkt.
- Lijst elke plek op waar klantgegevens zich bevinden — e-mailbijlagen, een gedeelde schijf, een facturatietool, je boekhoudsoftware — en controleer of bij elk daarvan MFA is ingeschakeld.
- Schrijf een incidentplan van twee alinea's. Wie bel je, wat vergrendel je eerst, waar bevinden je back-ups zich. Het hoeft niet formeel te zijn; het moet bestaan voordat je in paniek raakt.
- Controleer per kwartaal de toegang van contractanten en apps. Trek alles in wat je hebt toegekend voor een project dat inmiddels is afgerond.
Niets hiervan vereist een budget of een beveiligingsachtergrond — het lijkt meer op een middag accountinstellingen dan op een IT-project.
Wat er hierna gebeurt
Omdat CSWP 50 nog steeds een concept is, kunnen de exacte formulering en structuur verschuiven voordat NIST het definitief maakt. Maar de richting — heldere taal, richtlijnen op basis van praktijkvoorbeelden, toegesneden op een bedrijf van één persoon — zal waarschijnlijk niet omkeren, en de onderliggende functies van CSF 2.0 waarop het is gebouwd, zijn al definitief en stabiel. Als je een voorsprong wilt, sluiten de praktische stappen hierboven direct aan bij het framework, ongeacht hoe het uiteindelijke document eruitziet — dus er is weinig nadeel aan nu al beginnen in plaats van te wachten op de definitieve versie.
Het is ook een nuttig signaal over waar toezichthouders en normeringsinstanties zich op richten: solo-ondernemers en bedrijven zonder werknemers worden steeds vaker behandeld als een aparte categorie die eigen richtlijnen verdient, niet als een bijzaak die is vastgeplakt aan advies bedoeld voor bedrijven met IT-personeel. Verwacht dat meer hiervan — van meldplichten bij datalekken tot acceptatiebeleid van verzekeraars — expliciet rekening gaat houden met het feit dat de meeste "kleine bedrijven" eigenlijk uit één persoon bestaan.
De link met de boekhouding
Hier raken cybersecurity en financiële administratie elkaar meer dan mensen verwachten: een beveiligingsincident is ook een incident met je financiële gegevens. Als je boekhoudgegevens leven in een systeem dat je niet volledig zelf beheert, of als je boeken alleen bestaan als een live verbinding met een clouddashboard zonder exporteerbare back-up, kan een gecompromitteerd account betekenen dat je je financiële geschiedenis kwijtraakt op precies het moment dat je die het hardst nodig hebt — tijdens incidentrespons, een verzekeringsclaim of een belastingaangifte.
Dit is een van de ondergewaardeerde voordelen van het bijhouden van je boeken in platte-tekst, versiebeheerde bestanden in plaats van uitsluitend binnen een proprietair platform: je financiële gegevens zitten niet gevangen achter één login waar een aanvaller je van kan buitensluiten. Een lokaal, met back-up beveiligd grootboekbestand overleeft een gecompromitteerd SaaS-account op een manier die een dashboard dat alleen in de browser bestaat niet kan.
Vereenvoudig je financieel beheer
Terwijl je je cybersecuritypraktijken als solo-ondernemer versterkt, is het de moeite waard om diezelfde "vertrouw niet alles op één login"-gedachte ook toe te passen op je boekhouding. Beancount.io biedt platte-tekstboekhouding die je volledige transparantie en controle geeft over je financiële gegevens — geen zwarte dozen, geen leverancierslock-in, en gegevens die je kunt back-uppen en controleren op dezelfde manier als elk ander kritiek bestand. Ga gratis aan de slag en ontdek waarom ontwikkelaars en financiële professionals overstappen op platte-tekstboekhouding.