Cyberweerbaarheid subsidie MKB: regelingen en aanvraag 2026

Cyberincidenten treffen bedrijven van elke omvang. Een bedrijf met 15 tot 250 werkplekken heeft doorgaans niet de begroting van een groot concern, terwijl de risico's vergelijkbaar zijn. Om die reden bestaan er verschillende subsidies en regelingen die bijdragen aan het verhogen van de cyberweerbaarheid. Een cyberweerbare subsidie kan een deel van de kosten voor een audit, training of technische maatregel dekken, waardoor investeren in beveiliging haalbaarder wordt. Hieronder lees je welke opties er zijn, aan welke voorwaarden je moet voldoen en hoe je de aanvraag praktisch aanpakt.

Welke subsidies bestaan er voor cyberweerbaarheid in het MKB

Het aanbod aan regelingen is verdeeld over landelijke instrumenten, provinciale voucherregelingen en enkele branchespecifieke fondsen. De precieze bedragen en openstellingen wisselen per jaar en per provincie, dus controleer altijd de actuele status bij de uitvoerende instantie voordat je begint. Op onze pillarpagina over subsidies voor digitalisering vind je de bredere context waarin cyberweerbaarheid vaak is ondergebracht.

Grofweg zijn er vier typen regelingen die relevant zijn voor het MKB.

De voucherregelingen zijn voor kleinere bedrijven vaak het toegankelijkst omdat de aanvraag beperkt is en de doorlooptijd meestal 4 tot 8 weken bedraagt. Landelijke regelingen bieden hogere bedragen maar stellen zwaardere eisen aan de onderbouwing. Fiscale regelingen werken achteraf via de aangifte en vragen dus geen aparte aanvraag vooraf.

Een overzicht van bredere financieringsmogelijkheden voor komend jaar vind je in ons subsidieoverzicht voor het MKB in 2026. Dat helpt om cyberweerbaarheid te plaatsen naast andere digitaliseringsdoelen.

Voorwaarden en doelgroep per regeling

Elke regeling hanteert eigen drempels. De meeste richten zich op ondernemingen die als MKB kwalificeren, wat in de praktijk neerkomt op minder dan 250 medewerkers en een jaaromzet onder de 50 miljoen euro. Daarbinnen wisselen de voorwaarden sterk.

Een veelvoorkomende eis is dat de werkzaamheden worden uitgevoerd door een gecertificeerde of geregistreerde adviseur. Zelf uren declareren van eigen personeel is bij de meeste voucherregelingen niet toegestaan. Ook geldt vaak dat je pas mag starten nadat de aanvraag is goedgekeurd; kosten die je eerder maakt komen dan niet in aanmerking.

Bedrijven die onder de NIS2-richtlijn vallen, hebben te maken met aanvullende verplichtingen die los staan van subsidie. De kosten daarvan lopen op en verdienen een eigen begroting. In ons artikel over de kosten van NIS2 voor het MKB lees je welke posten je kunt verwachten en hoe subsidie daar een deel van kan opvangen.

Let op dat de doelgroep per provincie kan verschillen. Sommige regelingen sluiten bepaalde sectoren uit, zoals landbouw of financiele dienstverlening, vanwege Europese staatssteunregels. De zogeheten de-minimissteun is doorgaans begrensd op 300.000 euro over een periode van 3 jaar. Als je in die periode al andere steun hebt ontvangen, telt dat mee voor het plafond.

Wat kun je financieren: van audit tot maatregelen

De reikwijdte van een cyberweerbare subsidie loopt uiteen. Sommige regelingen dekken alleen advies, andere ook de uitvoering van maatregelen. In grote lijnen zijn er drie categorieen kosten die vaak subsidiabel zijn.

De eerste categorie is analyse en advies. Denk aan een risicoanalyse, een nulmeting of een penetratietest. Een basisaudit voor een bedrijf met 20 medewerkers kost al snel 2.000 tot 5.000 euro, afhankelijk van de diepgang. Met een voucher die 50 procent vergoedt, halveer je die uitgave.

De tweede categorie is training en bewustwording. Phishingsimulaties en awarenessprogramma's voor personeel kosten grofweg 25 tot 75 euro per medewerker per jaar. Voor een organisatie met 50 medewerkers komt dat neer op een jaarbudget van 1.250 tot 3.750 euro. Veel regelingen zien dit als een geldige besteding omdat de menselijke factor bij een groot deel van de incidenten een rol speelt.

De derde categorie betreft technische maatregelen. Hierbij is het beeld gemengd: advies over maatregelen wordt vaak vergoed, maar de aanschaf van hardware of licenties valt regelmatig buiten de regeling.

Voordat je begint met een aanvraag, is het verstandig om eerst je eigen situatie in kaart te brengen. Onze checklist voor MKB-cybersecurity helpt je te bepalen welke maatregelen prioriteit hebben, zodat je de subsidie inzet op de plek waar die het meeste effect heeft.

Een praktisch aandachtspunt: reken niet met de btw als je die kunt verrekenen. Subsidies worden vrijwel altijd berekend over het bedrag exclusief btw. Bij een offerte van 4.000 euro exclusief btw is de subsidiabele basis dus 4.000 euro, niet het bedrag inclusief 21 procent btw.

Stappenplan voor de aanvraag

Een aanvraag verloopt bij de meeste regelingen volgens een vaste volgorde. Reken van orientatie tot beschikking op een doorlooptijd van 6 tot 12 weken, afhankelijk van de regeling en de drukte bij de uitvoerder.

Stap 1: bepaal je doel en scope

Begin met een concrete vraag. Wil je weten waar je kwetsbaarheden zitten, of wil je personeel trainen? Hoe scherper de scope, hoe eenvoudiger de onderbouwing. Reserveer hiervoor ongeveer 4 uur aan intern overleg.

Stap 2: kies de juiste regeling

Vergelijk minstens 2 regelingen op bijdrage, voorwaarden en openstelling. Let op de deadline: sommige voucherregelingen sluiten zodra het budget op is, soms al binnen 2 weken na openstelling.

Stap 3: vraag offertes op

De meeste regelingen vragen om een gespecificeerde offerte van een externe partij. Vraag er 2 of 3 op zodat je kunt vergelijken en de gekozen partij kunt onderbouwen.

Stap 4: stel de aanvraag samen

Verzamel de vereiste documenten. Onderstaande tabel geeft een indicatie van wat je vaak nodig hebt.

Stap 5: dien in en bewaak de status

Dien de aanvraag digitaal in en bewaar de bevestiging. Na indiening volgt meestal binnen 4 tot 8 weken een beslissing. Start de werkzaamheden pas na goedkeuring, tenzij de regeling uitdrukkelijk anders bepaalt.

Stap 6: voer uit en verantwoord

Na afronding lever je een korte verantwoording aan met facturen en betaalbewijzen. Houd hiervoor rekening met 2 tot 3 uur administratie. De uitbetaling volgt doorgaans binnen 4 tot 6 weken na goedkeuring van de verantwoording.

Meer achtergrond over financiering en innovatie vind je in onze categorie subsidies en innovatie, waar aanverwante regelingen worden besproken.

Veelgemaakte fouten die de aanvraag laten stranden

Een afwijzing komt zelden door de inhoud van je plan en vaak door formele details. De onderstaande fouten zorgen ervoor dat een aanvraag afvalt voordat die inhoudelijk wordt beoordeeld.

Een eerste veelvoorkomende fout is te vroeg starten. Als je de opdracht al hebt verstrekt of de factuur al hebt betaald voordat de beschikking binnen is, vervalt bij veel regelingen het recht op vergoeding. Wacht dus tot de goedkeuring er is.

Een tweede fout is een onvolledige onderbouwing van de kosten. Een offerte met alleen een totaalbedrag van bijvoorbeeld 6.000 euro zonder specificatie wordt vaak afgekeurd. Vraag om een uitsplitsing per activiteit.

Een derde fout is het over het hoofd zien van het de-minimisplafond. Wie in de afgelopen 3 jaar al 280.000 euro aan steun heeft ontvangen, kan bij het plafond van 300.000 euro nog maar beperkt ruimte hebben.

Een vierde valkuil is het onderschatten van de doorlooptijd. Bedrijven die een audit nodig hebben voor een klantcontract met een deadline over 3 weken, komen in de knel omdat de beoordeling alleen al langer duurt. Plan een aanvraag daarom minstens 8 tot 12 weken voordat je de resultaten echt nodig hebt.

Tot slot loont het om de slagingskans realistisch in te schatten. Bij voucherregelingen die op volgorde van binnenkomst worden toegekend, ligt de kans hoog zolang er budget is, soms boven de 80 procent voor complete aanvragen. Bij tenderregelingen waar aanvragen onderling worden vergeleken, kan het toekenningspercentage lager liggen, bijvoorbeeld rond de 40 procent, omdat de kwaliteit van de onderbouwing dan doorslaggevend is.

Veelgestelde vragen

Kan ik een cyberweerbare subsidie combineren met andere regelingen?

Combineren kan soms, maar je mag dezelfde kosten niet twee keer laten vergoeden. Bovendien telt alle ontvangen staatssteun mee voor het de-minimisplafond van 300.000 euro over 3 jaar. Controleer per regeling of stapeling is toegestaan en houd een overzicht bij van eerder ontvangen steun.

Moet ik de subsidie terugbetalen als het project niet slaagt?

Bij de meeste regelingen krijg je uitbetaald op basis van gemaakte en aangetoonde kosten. Als je de werkzaamheden niet uitvoert, wordt er ook niets uitbetaald. Heb je een voorschot ontvangen en de afspraken niet nagekomen, dan kan de uitvoerder een deel terugvorderen. Lees daarom de verplichtingen in de beschikking goed door.

Hoe lang duurt het voordat ik het geld op mijn rekening heb?

Reken vanaf indiening op 4 tot 8 weken tot de beslissing en na afronding en verantwoording nog eens 4 tot 6 weken tot uitbetaling. In totaal kan het traject dus enkele maanden beslaan. Plan je liquiditeit hierop, want je schiet de kosten in de tussentijd zelf voor.

Kom ik in aanmerking als ik minder dan 15 medewerkers heb?

Veel voucherregelingen kennen geen ondergrens en staan open vanaf 1 medewerker, dus kleinere bedrijven kunnen doorgaans meedoen. De doelgroep in dit artikel loopt tot 250 medewerkers, maar de precieze grenzen verschillen per regeling. Controleer altijd de specifieke voorwaarden bij de uitvoerende instantie.

Wat als het budget van een regeling al op is?

Bij regelingen op volgorde van binnenkomst sluit het loket zodra het budget is uitgeput, soms binnen 2 weken. Kijk of er een volgende openstelling gepland staat of of er een alternatieve provinciale regeling beschikbaar is. Een tijdige orientatie en een aanvraag direct bij opening vergroten je kans.

Dit artikel is informatief van aard en biedt geen advies dat is toegesneden op jouw specifieke situatie. Regelingen, bedragen en voorwaarden veranderen regelmatig. Overleg voor een concrete aanvraag met een subsidieadviseur of de betreffende uitvoerende instantie, zodat je beslissingen baseert op de actuele regels.