Cybersubsidie voor zzp en klein mkb: wat je koopt en waarop je aanvraag strandt

Op 7 september om negen uur gaat het loket van Mijn cyberweerbare zaak open, en op dat moment kun je nog niets aanvragen. Dat is geen weeffout in de regeling maar de kern ervan: je koopt eerst, je betaalt eerst, en pas daarna dien je in. Wie die ochtend inlogt om de pot voor te zijn, komt uit bij een formulier dat om een factuur en een bankafschrift vraagt die nog niet bestaan.

Deze gids is voor de eigenaar van een zzp- of klein mkb-bedrijf zonder IT-afdeling die de regeling al kent en nu twee dingen wil beslissen: welke twee of drie van de acht maatregelen hij koopt, en waarop zijn aanvraag alsnog strandt. De kale kalender is snel verteld. Mijn cyberweerbare zaak opent op 7 september 2026 om 9.00 uur met een budget van 1 miljoen euro en sluit op 30 november om 17.00 uur.

Mijn cyberweerbare zaak is de subsidie waarmee RVO zzp'ers en bedrijven tot 50 werknemers de helft terugbetaalt van wat ze uitgeven aan acht cyberweerbaarheidsmaatregelen voor hun interne systemen, tot een maximum van 1.250 euro en met een ondergrens van 400 euro aan subsidiabele kosten. Je vraagt achteraf aan: eerst kopen, invoeren en volledig betalen, dan pas indienen.

Wat je nodig hebt

Eerst de toegangstoets: je onderneming staat ingeschreven bij de KVK, heeft ten hoogste 50 werknemers, draaide in het afgelopen boekjaar minder dan 10 miljoen euro omzet en behoort niet tot de primaire productie van landbouwproducten en de visserij- en aquacultuursector. Die vierde voorwaarde haalt geen enkele samenvatting en zet precies de lezer buitenspel die anders de hele werkstroom voor niets doorloopt: een loonbedrijf, een kweker of een viskotter valt af hoe compleet zijn dossier ook is.

Daarna kosten drie dingen tijd die je op de dag zelf niet meer hebt. Je eHerkenning moet op minimaal niveau eH2+ staan mét machtiging voor RVO-diensten, en dat is een aanvraag bij een leverancier, geen vinkje. Het persoonlijke advies uit de CyberVeilig Check van het NCSC moet als pdf op je schijf staan, want zonder dat document wordt je aanvraag afgewezen. En je leverancier moet een factuur kunnen leveren die aan de eisen voldoet, iets wat je beter vooraf vraagt dan achteraf ontdekt.

De rest is administratie die je in één map zet.

Wat je niet nodig hebt is een adviseur. De regeling is klein genoeg om zelf te doen, en uitbesteden aan de verkeerde partij kost je zelfs de hele aanvraag.

De volgorde die de meeste aanvragers omdraaien

Het budget van 1 miljoen euro wordt verdeeld op volgorde van binnenkomst, en alleen op de dag waarop dat budget wordt overschreden beslist loting welke aanvragen van díe dag nog geld krijgen. Dat maakt van deze regeling geen sprint. Vorig jaar kwamen er ruim 1.100 aanvragen binnen over de hele openstelling, en het ministerie rekent voor 2026 op ongeveer 1.250 aanvragen waarvan naar verwachting zo'n 80 procent wordt toegekend. De race gaat over weken, niet over minuten.

Compleet indienen is dus belangrijker dan snel indienen. Mist er informatie, dan stuurt RVO een bijwerkverzoek en telt niet je oorspronkelijke datum maar de dag waarop je de aanvraag volledig maakt. Dat schuift je in een drukke pot naar achteren. RVO waarschuwt zelf dat er bij veel aanvragen mogelijk geen tijd meer is om bij te werken als je tot twee weken voor de sluitingsdatum wacht.

Zo vraag je aan, stap voor stap

1. Doe de CyberVeilig Check en bewaar het advies

De CyberVeilig Check van het NCSC is een gratis zelfscan die je binnen vijf minuten doorloopt; de toelichting bij de regeling rekent op een kwartier inclusief het lezen van het advies. Aan het eind download je een persoonlijke actielijst als pdf. Dat bestand is een verplichte bijlage.

Je mag deze stap nu al doen, ook voor het loket open is. De check is namelijk geen subsidiabele maatregel, dus de datum ervan doet er niet toe. Valkuil: je hoeft níet alle maatregelen uit dat advies te hebben uitgevoerd om subsidie te krijgen. Eén maatregel is genoeg, zolang je aan de 400 euro komt.

2. Reken je plafond uit, exclusief btw

De rekensom is 50 procent van de subsidiabele kosten, met een minimum van 400 euro aan kosten en een maximum van 1.250 euro aan subsidie. Het plafond aantikken vraagt dus ongeveer 2.500 euro aan eigen uitgaven.

Hier zit een addertje dat op geen enkele samenvatting staat. De regeling valt onder het Kaderbesluit nationale EZK- en LNV-subsidies, en dat rekent kosten alleen inclusief omzetbelasting mee als de ontvanger die btw niet in aftrek kan brengen. Ben je gewoon btw-plichtig, dan tellen je subsidiabele kosten exclusief btw. Een factuur van 460 euro inclusief btw is dan 380,17 euro subsidiabele kosten, en daarmee zit je onder de drempel van 400 euro. Reken je grens dus na op het bedrag exclusief btw, niet op wat er van je rekening ging.

3. Kies de maatregelen die jouw gat dichten

Twee of drie maatregelen is de realistische orde van grootte. Welke, dat hangt af van waar je data staat en hoe je werkt; het volgende hoofdstuk is daar helemaal aan gewijd. Doe deze keuze vóór je gaat winkelen, want een factuur achteraf herschrijven kan niet.

4. Koop, voer in en betaal, allemaal na 7 september

Alle drie moeten na 7 september 2026 gebeuren: afgenomen, ingevoerd én volledig betaald. Een firewall die je in augustus bestelde valt af, ook als hij in oktober wordt geïnstalleerd. Een openstaande factuur valt af, ook als hij van oktober is.

Betaal per bank. Bij een creditcardbetaling heb je het maandafschrift nodig als betaalbewijs, en dat kan pas weken later beschikbaar zijn. Vraag je leverancier vooraf om een voorbeeldfactuur als je twijfelt of zijn systeem alle vereiste velden zet.

5. Verzamel je bijlagen

Op de factuur staan naam en adres van jou en je leverancier, een specificatie van de producten en diensten, de factuur- én betaaldatum, en het bedrag inclusief en exclusief btw. Verwijst de factuur naar een offerte, voeg die dan meteen toe. Op het bankafschrift staan de naam van de rekeninghouder, het rekeningnummer, het betaalde bedrag, de betaaldatum en het rekeningnummer van de leverancier. Bedragen die er niet bij horen mag je onleesbaar maken.

Boekhoudkundige overzichten en PayPal-afschriften worden niet geaccepteerd. Een export uit je boekhoudpakket is dus geen bewijs; het gaat om het afschrift van de bank zelf.

Heb je meerdere facturen, bundel die dan in één aanvraag. Dat mag, zolang het totaal aan subsidie onder de 1.250 euro blijft. Je krijgt maar één kans, want per onderneming mag je één aanvraag indienen en verbonden ondernemingen tellen daarbij als één onderneming.

6. Dien in met eHerkenning eH2+

Inloggen bij RVO vraagt minimaal niveau eH2+ met machtiging voor RVO-diensten. Daarna volgt binnen acht weken een beslissing en bij toekenning binnen twee weken de uitbetaling van het hele bedrag in één keer. Wie subsidie krijgt, verplicht zich om twee jaar lang mee te werken aan een evaluatie van de effecten.

Welke twee of drie van de acht koop je?

Het maximum van 1.250 euro is niet wat je krijgt. Het is wat je krijgt als je 2.500 euro uitgeeft, en voor een eenmanszaak is dat zelden realistisch. Dat is de eerlijke start van deze keuze: bepaal eerst wat je toch al had moeten doen, en kijk dan hoe ver de subsidie daarin meegaat.

Vier regels brengen je bij de juiste twee of drie.

Begin bij de laag waar je gat zit, niet bij de duurste post. Volg het advies uit je CyberVeilig Check. Dat sluit aan op de volgorde waarin een wachtwoordmanager en phishing-bestendige MFA de laag afdekken waar de meeste inbraken beginnen, gevolgd door netwerk en randapparatuur en pas daarna je herstelplan. Van de aanvragers vorig jaar baseerde 71 procent zijn keuze op de uitkomst van die check, en dat is een gezonde gewoonte.

Software alleen haalt de drempel bijna nooit. Bitwarden Teams kost 4 dollar per gebruiker per maand bij jaarlijkse betaling, de Enterprise-variant 6 dollar (tarieven 5 september 2026). Een zzp'er komt daarmee op 48 dollar per jaar, en met drie collega's erbij zit je nog altijd niet in de buurt van 400 euro. En je mag niet meer accounts of diensten opvoeren dan je werkzame personen, dus de aantallen oprekken kan ook niet.

Hardware bepaalt of je richting het plafond komt. Een kant-en-klare NAS voor je back-up is verreweg de zwaarste post: een Synology DS225+ staat vanaf 358,89 euro in de Pricewatch van Tweakers en twee WD Red Plus-schijven van 4 TB komen daar met 207,90 euro per stuk bovenop (prijzen inclusief btw, 5 september 2026). Een gateway met firewallfunctie begint rond 110 euro. Daar zat vorig jaar ook het zwaartepunt van de aanvragen: 26 procent betrof veilige netwerktoegang en wifi, 19 procent back-ups en 11 procent antivirus.

De vraag "waar staat mijn data" beslist tussen netwerk en back-up. Staan je bestanden op een pc of server op kantoor, dan is een geteste back-up de maatregel die een incident van een faillissement scheidt. Werk je volledig in de cloud en onderweg, dan koop je met een firewall vooral een doos: je verkeer loopt er nauwelijks doorheen, en cloudwerkplekmaatregelen zijn sowieso uitgesloten.

Kant-en-klaar of laten doen

Alle acht maatregelen koop je van de plank, en dat is ook de bedoeling van de regeling. Een NAS, een gateway, een licentie: daar heb je geen bouwer voor nodig, hooguit iemand die hem correct instelt. Dat instellen mag je meenemen. RVO vergoedt namelijk 50 procent van de aanschafwaarde en/of het implementeren van de technologie of dienst, en maatregel zes noemt back-ups expliciet "inclusief invoering". De uren waarmee je IT-partner die NAS inricht, de schijven spiegelt en één keer een herstel test mogen dus op dezelfde factuur en tellen gewoon mee in je subsidiabele kosten.

De streep ligt bij het moment waarop die factuur elke maand terugkomt. Sinds de wijziging van 31 augustus zijn reguliere exploitatiekosten, waaronder beheer- en onderhoudskosten, uitgesloten: de eenmalige inrichting is subsidiabel, je doorlopende beheercontract niet. Laat die installatie-uren dus als aparte regel op de aanschaffactuur zetten, en let bij het uitbesteden meteen op de tweede voorwaarde die even verderop terugkomt: wie voor je installeert, mag niet óók de intermediair zijn die namens jou indient.

Waar het anders ligt is de laag die deze subsidie juist uitsluit. Je website, je webshop, je betaalstroom en de koppelingen tussen je systemen vallen er allemaal buiten, terwijl elke koppeling tussen je tools ook een sleutel is die iemand kan misbruiken. Voor dat deel bestaat geen voucher van 1.250 euro.

Waarop je aanvraag alsnog strandt

De uitsluitingenlijst is langer dan de acht maatregelen zelf, en daar sneuvelen de meeste aanvragen. De regeling mikt uitsluitend op je interne bedrijfssystemen. Alles wat naar buiten wijst valt af: websites, webshops, online platformen, betaalsystemen en cloudwerkplekken.

• Algemene abonnementen waar beveiliging in meegebakken zit. Microsoft 365 Premium en Google Workspace worden met naam genoemd. Ook een nieuwe versie van een programma, app of besturingssysteem telt niet mee.
• Reguliere exploitatiekosten, waaronder beheer en onderhoud. Dit is nieuw in de openstelling van 2026 en het raakt precies het maandbedrag dat je IT-partner al factureert.
• Eenmalige updates en algemeen IT-beheer zonder structureel patchmanagement, en updates voor end-of-life software.
• Generieke hardware voor back-ups. Een losse externe schijf of een zelfbouwserver valt af; alleen een kant-en-klare NAS telt.
• Certificeringskosten zoals ISO 27001, inclusief juridisch advies voor een informatiebeveiligingsmanagementsysteem.
• Meer accounts of diensten dan je werkzame personen. Vijf licenties voor drie mensen is een afwijzing.
• Bestaande abonnementen of licenties. Alleen nieuwe of extra maatregelen tellen, dus een verlenging valt af.
• Producten die niet passen bij wat de leverancier normaal levert. Een firewall op de factuur van je hovenier gaat vragen oproepen.
• Een categorie waarvoor je in 2023, 2024 of 2025 al MCZ-subsidie kreeg. Kreeg je toen een router, dan is een firewall dit jaar dicht.

Twee afwijzingsgronden zijn er in de regeling van 31 augustus bijgekomen, en ze raken juist de ondernemer die het netjes wil uitbesteden. Een aanvraag wordt afgewezen als de leverancier onderdeel is van de onderneming van de aanvrager, en ook als die leverancier dezelfde partij is als de intermediair die namens jou indient. Concreet: laat je IT-partner de aanvraag voor je doen én levert diezelfde partij de firewall, dan valt de aanvraag af. Kies dus één van de twee rollen voor je IT-partner. Heb je een eigen bv die de hardware levert aan je andere bv, dan geldt hetzelfde.

Dan nog de staatssteunkant, die iedereen vergeet. Je moet onder het de-minimisplafond van 300.000 euro aan overheidssteun blijven, en RVO rekent daarvoor vanaf je aanvraagdatum 36 maanden terug. Dat is een voortschrijdende periode, geen boekjaar-optelling. Heb je de afgelopen drie jaar andere de-minimissteun gehad, tel die dan op voor je indient. Voor dezelfde kosten mag je ook geen tweede subsidie ontvangen, bijvoorbeeld van je gemeente.

Eén schemergebied verdient een waarschuwing. Maatregel drie dekt tweefactor- en multifactorauthenticatie "voor interne applicaties", terwijl cloudwerkplekken zijn uitgesloten. Koop je hardwaresleutels om je Microsoft 365-omgeving te beveiligen, dan zit je precies op die grens, en die grens trek jij niet. Laat je leverancier op de factuur specificeren om welke interne applicaties het gaat.

Rekenvoorbeeld: een installatiebedrijf met vier mensen

Neem een installatiebedrijf met vier werkzame personen, een werkplaats met een eigen netwerk, en werkbonnen en foto's die op een pc op kantoor staan. De back-up loopt naar een losse USB-schijf die nog nooit is teruggezet. De CyberVeilig Check wijst op back-up en op tweefactorauthenticatie.

De keuze wordt back-up plus netwerk plus MFA, alles gekocht en betaald in de week van 14 september (prijzen 5 september 2026):

• Synology DS225+ met twee WD Red Plus-schijven van 4 TB: 774,69 euro inclusief btw, ofwel 640,24 euro exclusief
• UniFi Cloud Gateway Ultra als firewall voor de werkplaats: 109,90 euro inclusief btw, ofwel 90,83 euro exclusief
• Vier YubiKey 5 NFC-sleutels, één per medewerker: 280,72 euro inclusief btw, ofwel 232,00 euro exclusief

Subsidiabele kosten: 963,07 euro. Subsidie: 481,53 euro. Eigen bijdrage: 481,54 euro.

Twee dingen zijn hier bewust gedaan. De tweede sleutel per persoon, die je vanuit beveiligingsoogpunt wilt hebben als reservesleutel, staat níet op deze factuur: acht sleutels voor vier werkzame personen loopt tegen de uitsluiting van meer diensten dan personen aan, en die discussie wil je niet voeren bij een aanvraag die verder klopt. Koop die reservesleutels los, buiten de subsidie om. En de facturen van de drie leveranciers gaan in één aanvraag, want een tweede aanvraag mag niet.

Om het plafond van 1.250 euro aan te tikken zou dit bedrijf nog eens ruim 1.500 euro exclusief btw moeten uitgeven, bijvoorbeeld aan een externe risico-inventarisatie en een awarenesstraject voor de vier medewerkers. Dat kan een verstandige besteding zijn, maar het is een keuze en geen automatisme: je legt er zelf bijna 770 euro naast. Uitgeven om een subsidiemaximum te halen is precies de fout die deze regeling uitlokt.

Valt je bedrijf onder de Cyberbeveiligingswet, dan is deze hele exercitie trouwens een startpunt en geen eindpunt: die wet maakt cyberbeveiliging een wettelijke verplichting met toezicht, harde meldtermijnen en boetes die tot in de miljoenen lopen, en dat gaat veel verder dan acht basismaatregelen. En wil je software láten bouwen in plaats van beveiligingsproducten kopen, dan zijn WBSO, MIT en SLIM de regelingen die daar wel op mikken.

Een pot van 1 miljoen euro dekt geen securitybeleid voor het Nederlandse kleinbedrijf, en 1.250 euro dekt het jouwe niet. Wat deze regeling wel doet, is een rekening halveren die je anders nog een jaar vooruitschuift. Of dat geld iets waard was, blijkt niet bij de toekenning maar een half jaar later: of die wachtwoordmanager nog gebruikt wordt, en of je die back-up ooit hebt teruggezet. De subsidie betaalt de helft van je basis. De helft van je veiligheid koop je er niet mee.