Subsidie cybersecurity mkb 2026: tot €1.250 terug

Subsidie cybersecurity mkb 2026: de voorwaarden

Volgens de aanvraagvoorwaarden op Ondernemersplein moet je onderneming bij de KVK staan ingeschreven, maximaal 50 werknemers hebben en in het afgelopen boekjaar minder dan €10 miljoen omzet hebben behaald. Bedrijven met 51 tot 100 werknemers vallen dus buiten deze regeling.

Bij de omzetgrens zit een verschil tussen de overheidsbronnen. Het NCSC schrijft ‘maximaal €10 miljoen’, terwijl Ondernemersplein ‘minder dan €10 miljoen’ noemt. Heb je precies €10 miljoen omzet behaald, vraag dan eerst bevestiging aan RVO voordat je op subsidie rekent.

Daarnaast noemt RVO aanvullende uitsluitingen, waaronder primaire landbouwproductie, visserij en aquacultuur en ondernemingen die voornamelijk cybersecuritymaatregelen leveren. Dezelfde kosten mogen niet al elders gesubsidieerd zijn. Ook geldt het de-minimisplafond: een grens voor deze vorm van overheidssteun van €300.000 over drie jaar, op groepsniveau. Laat bij twijfel je eerdere steun en bedrijfsactiviteiten controleren voordat je kosten maakt.

Deze acht beveiligingsmaatregelen komen in aanmerking

De regeling kent acht categorieën cybersecuritymaatregelen. Daarbinnen kun je nieuwe of aanvullende maatregelen laten uitvoeren:

• Veilige toegang tot het bedrijfsnetwerk of wifi.
• Wachtwoordmanagers voor het beheren van wachtwoorden.
• Twee- of multifactorauthenticatie: inloggen met een extra controle.
• Structureel patchmanagement: software geregeld bijwerken met updates.
• Antivirussoftware.
• Een back-upvoorziening instellen en testen.
• Een digitale risico-inventarisatie.
• Bewustwordingstrainingen voor medewerkers.

Advies: kies een verbetering die een concreet tekort in je beveiliging aanpakt, niet het product waarmee je het subsidiebedrag precies opmaakt. Bespreek met je IT-verantwoordelijke wat al aanwezig is en wat nog ontbreekt. Een wachtwoordmanager invoeren of een back-upvoorziening instellen en testen kan een afgebakend project zijn; je volledige IT-omgeving vernieuwen is niet het uitgangspunt.

Een maatregel binnen een categorie is niet automatisch subsidiabel: ook de overige voorwaarden blijven gelden. Een leverancierskeurmerk geeft evenmin automatisch recht op subsidie, zoals het CCV toelicht bij de regeling.

Microsoft 365 en regulier IT-beheer vallen erbuiten

Je kunt niet je volledige Microsoft 365-factuur declareren omdat het abonnement ook beveiligingsfuncties bevat. Volgens het overzicht van uitgesloten kosten van het NCSC vallen algemene abonnementen zoals Microsoft 365 Premium en Google Workspace buiten de regeling. Ook maatregelen voor websites en webshops, zelfbouw-NAS-systemen en certificeringskosten zoals ISO 27001 zijn uitgesloten.

Bestaande abonnementen en licenties komen evenmin in aanmerking. Het moet gaan om nieuwe of aanvullende maatregelen. Bij een meerjarig abonnement mag je maximaal één jaar opvoeren, mits het abonnement verder aan de voorwaarden voldoet.

De wijzigingsregeling van 2 september 2026 sluit reguliere exploitatiekosten, waaronder beheer en onderhoud, expliciet uit. Structureel patchmanagement staat wel tussen de categorieën, maar dat maakt een algemeen beheercontract nog niet subsidiabel. Laat daarom vooraf controleren welke concrete kosten mogen meetellen.

Vraag je leverancier om subsidiabele werkzaamheden en regulier beheer afzonderlijk te specificeren. Dat helpt bij het beoordelen van je aanvraag, maar verandert de voorwaarden niet: uitgesloten kosten worden niet subsidiabel door ze een andere omschrijving te geven.

Je betaalt vooraf; de bijdrage is maximaal €1.250

De subsidiabele kosten moeten minimaal €400 bedragen. Daarvan wordt bij toekenning 50% vergoed, tot het maximum van €1.250. Deze rekenvoorbeelden gaan uitsluitend over goedgekeurde subsidiabele kosten; het zijn geen marktprijzen of offertes:

• Bij €2.500 aan subsidiabele kosten ontvang je €1.250 subsidie en betaal je zelf €1.250.
• Bij €4.000 aan subsidiabele kosten blijft de subsidie €1.250 en betaal je zelf €2.750.

Je moet de volledige investering eerst zelf betalen. Volgens RVO bedraagt de beslistermijn acht weken na een volledige aanvraag, met uitbetaling binnen twee weken na toekenning. Advies: neem de subsidie pas als zekere opbrengst op zodra je een toekenning hebt.

Het landelijke budget bedraagt €1 miljoen en wordt verdeeld op volgorde van binnenkomst, totdat het op is. Bij de controle op 25 september 2026 stond de regeling bij RVO als open vermeld. Dat reserveert geen geld voor jouw onderneming: controleer de actuele status voordat je kosten maakt en opnieuw voordat je aanvraagt.

Houd leverancier en aanvraagintermediair gescheiden

De wijzigingsregeling bepaalt ook dat de leverancier niet dezelfde partij mag zijn als de intermediair die namens jou de aanvraag indient. Levering vanuit je eigen onderneming is eveneens een afwijzingsgrond. Spreek dus vooraf af wie de maatregelen uitvoert en wie de aanvraag indient.

Laat je de uitvoering door een IT-leverancier verzorgen, dien de aanvraag dan zelf in of kies een andere partij als intermediair. Vraag de leverancier wel om een duidelijke specificatie van de geleverde maatregelen en kosten.

Per onderneming geldt één aanvraag; verbonden ondernemingen tellen daarbij als één onderneming. Een categorie waarvoor je eerder MCZ-subsidie hebt ontvangen, kan niet opnieuw worden gesubsidieerd, zoals volgt uit de voorwaarden van de regeling. Een andere aankoop binnen dezelfde categorie biedt dus niet automatisch een nieuwe subsidiekans: eerdere subsidie voor een router kan bijvoorbeeld een aanvraag voor een firewall uitsluiten.

Je aanvraag voorbereiden: checklist voor deze week

Begin met de controles en het verzamelen van informatie. Plan de uitvoering pas wanneer duidelijk is welke maatregel nodig is en welke kosten mogelijk meetellen.

1. Controleer je bedrijf en regel toegang. Loop de bedrijfsvoorwaarden, eerdere subsidies en eventuele verbonden ondernemingen na. Controleer bij RVO of aanvragen nog mogelijk is. Voor zelf indienen heb je eHerkenning nodig op minimaal niveau 2+, met de juiste machtiging voor RVO-diensten.
2. Doe de CyberVeilig Check. Ga via de subsidiepagina van het NCSC naar de officiële CyberVeilig Check en bewaar je persoonlijke actielijst als PDF. Gebruik de uitkomst als vertrekpunt voor je investering. Je hoeft niet alle aanbevelingen uit te voeren.
3. Kies je maatregel en vraag een gespecificeerde offerte. Bespreek met je IT-verantwoordelijke welke verbetering nodig is. Laat vooraf toetsen of de gekozen kosten binnen de regeling vallen en houd regulier beheer apart. Beoordeel ook of je de investering zonder subsidie kunt dragen.
4. Laat uitvoeren en betaal volledig. De aanvraag volgt pas nadat de maatregelen zijn afgenomen, ingevoerd en betaald. Maatregelen die vóór 7 september 2026 zijn afgenomen, ingevoerd of betaald, komen niet in aanmerking. Plan uitvoering en betaling ruim vóór het einde van de aanvraagperiode.
5. Maak je dossier compleet. Verzamel de PDF met je actielijst, facturen en bankafschriften. De factuur moet onder meer de betrokken partijen, werkzaamheden, bedragen inclusief en exclusief btw en betaaldatum vermelden. Zorg dat het bankafschrift de betaling herleidbaar maakt.
6. Dien in en volg aanvullende vragen op. Doe dit zelf of via een intermediair die niet je leverancier is. Bij een onvolledige aanvraag verschuift de ontvangstdatum naar het moment waarop de aanvraag compleet is. Reageer daarom snel op verzoeken om ontbrekende informatie; alleen alvast een formulier insturen stelt je plek niet veilig.

Begin deze week met de CyberVeilig Check en bespreek de actielijst met je IT-verantwoordelijke. Voor hulp bij het afbakenen van een passende verbetering kun je terecht bij AASHQ voor beveiliging en back-up.

Veelgestelde vragen

Komt mijn bedrijf in aanmerking voor Mijn Cyberweerbare Zaak 2026?

De gepubliceerde voorwaarden noemen een KVK-inschrijving, maximaal 50 werknemers en minder dan €10 miljoen omzet in het afgelopen boekjaar. Bij precies €10 miljoen omzet is het verstandig eerst bevestiging van RVO te vragen, omdat overheidsbronnen de grens verschillend formuleren. Daarnaast gelden uitsluitingen voor bepaalde bedrijfsactiviteiten en voorwaarden rond eerdere subsidies en verbonden ondernemingen.

Welke cybersecuritymaatregelen worden vergoed?

De acht categorieën zijn veilige netwerktoegang of wifi, wachtwoordmanagers, twee- of multifactorauthenticatie, structureel patchmanagement, antivirussoftware, back-ups instellen en testen, een digitale risico-inventarisatie en bewustwordingstrainingen. Het moet gaan om nieuwe of aanvullende maatregelen die ook aan de overige voorwaarden voldoen. Alleen binnen een categorie vallen is dus niet voldoende voor toekenning.

Kan ik subsidie krijgen voor mijn Microsoft 365-abonnement?

Nee, algemene abonnementen zoals Microsoft 365 Premium zijn uitgesloten. Een afzonderlijke nieuwe of aanvullende beveiligingsmaatregel kan mogelijk wel passen, maar alleen als de kosten aan de regeling voldoen. Laat dit vooraf controleren; bestaande licenties en regulier beheer worden niet subsidiabel door ze anders te omschrijven.

Hoeveel moet ik zelf betalen bij deze cybersecuritysubsidie?

Je betaalt eerst de volledige investering en ontvangt bij toekenning 50% van de subsidiabele kosten terug, tot maximaal €1.250. Bij €2.500 aan goedgekeurde subsidiabele kosten blijft daardoor €1.250 voor eigen rekening; bij €4.000 is dat €2.750. Kosten die buiten de regeling vallen, betaal je zelf en toekenning is niet gegarandeerd.

Hoe vraag ik Mijn Cyberweerbare Zaak aan en welke documenten heb ik nodig?

Je vraagt bij RVO aan nadat de maatregelen zijn afgenomen, ingevoerd en volledig betaald. Verzamel de persoonlijke actielijst uit de CyberVeilig Check als PDF, gespecificeerde facturen en bankafschriften waarmee de betalingen te herleiden zijn. Voor zelf indienen heb je eHerkenning op minimaal niveau 2+ met de juiste RVO-machtiging nodig. Een intermediair mag de aanvraag indienen, maar mag niet tevens de leverancier zijn.

Bronnen

1. ondernemersplein.overheid.nl (ondernemersplein.overheid.nl, geraadpleegd op 25 september 2026)
2. Subsidieregeling Mijn Cyberweerbare Zaak | NCSC (ncsc.nl, geraadpleegd op 25 september 2026)
3. Mijn Cyberweerbare Zaak in het kort | NCSC (ncsc.nl, geraadpleegd op 25 september 2026)
4. zoek.officielebekendmakingen.nl (zoek.officielebekendmakingen.nl, geraadpleegd op 25 september 2026)
5. Mijn cyberweerbare zaak (MCZ) | RVO.nl (rvo.nl, geraadpleegd op 25 september 2026)
6. Subsidie voor cyberweerbaarheid – Het CCV (hetccv.nl, geraadpleegd op 25 september 2026)
7. Staatscourant 2025, 23785 | Overheid.nl > Officiële bekendmakingen (zoek.officielebekendmakingen.nl, geraadpleegd op 25 september 2026)