Subsidie Mijn Cyberweerbare Zaak: wat het is en hoe je tot € 1.250 terugkrijgt

Een firewall in plaats van het kastje van de provider. Een NAS waar elke nacht een back-up op komt. Veel kleine bedrijven hebben zulke maatregelen al een tijd op hun lijstje staan en schuiven ze steeds door.

Tot en met 30 november 2026 betaalt de overheid er de helft van. Met de subsidie Mijn Cyberweerbare Zaak krijgt een bedrijf met minder dan 50 mensen 50% van de kosten terug, tot € 1.250. Je vraagt het aan nadat je hebt gekocht en betaald. Er is € 1 miljoen voor heel Nederland, en RVO behandelt de aanvragen in de volgorde waarin ze binnenkomen.

Mijn Cyberweerbare Zaak

€ 1.250

Komt in aanmerking

Het maximum per bedrijf

Minder dan 50 fteJaaromzet onder € 10 miljoenAankoop vanaf 7 september

Kosten excl. btw€ 2.500 of meer

Mijn Cyberweerbare Zaak

Vraag 1 van 3

€ 1.250

Komt in aanmerking

Het maximum per bedrijf. Bij minder dan 50 fte, jaaromzet onder € 10 miljoen, aankoop vanaf 7 september.

Werken er minder dan 50 mensen (fte) in je bedrijf?

JaNee

Is je jaaromzet lager dan € 10 miljoen?

JaNee

Vorige vraag

Koop je de maatregelen op of na 7 september 2026?

JaNee

Vorige vraag

€ 0

Komt niet in aanmerking

Opnieuw beginnen

Wat ga je uitgeven, excl. btw?€ 2.500 of meer

€ 1.250

Komt in aanmerking

Het maximum per bedrijf

Opnieuw beginnen

Wat is Mijn Cyberweerbare Zaak?

Mijn Cyberweerbare Zaak (MCZ) is een subsidie van het Ministerie van Economische Zaken en Klimaat voor zzp’ers en kleine bedrijven. Volgens het ministerie zien kleine ondernemingen de kosten als drempel om beveiligingsmaatregelen te nemen. De subsidie moet die drempel verlagen.

Het ministerie maakt de regels en de Rijksdienst voor Ondernemend Nederland (RVO) handelt de aanvragen af. Het Nationaal Cyber Security Centrum (NCSC) beheert de CyberVeilig Check, de vragenlijst waar elke aanvraag mee begint.

Dit is de vierde ronde. Na een proef in 2023 ging de regeling ook in 2024 en 2025 open, beide keren met € 1 miljoen. De ronde van 2026 loopt van 7 september, 9.00 uur, tot en met 30 november, 17.00 uur. De regels staan in titel 3.18a van de Regeling nationale EZ-, LVVN- en KGG-subsidies, en RVO zet ze op een rij op de pagina van de subsidie.

Kom je in aanmerking?

Je kunt aanvragen als al het volgende klopt:

• Je bent zzp’er of een klein bedrijf. Er werken minder dan 50 mensen, gerekend in fte, en je jaaromzet over het laatste afgesloten boekjaar blijft onder € 10 miljoen.
• Je bedrijf staat ingeschreven bij de KVK.
• Je levert zelf geen cybermaatregelen. Is dat vooral wat je bedrijf doet, dan val je buiten de regeling.
• Je zit niet in de primaire landbouw, visserij of aquacultuur.
• Wat je koopt is nieuw. Afgenomen, ingevoerd en betaald vanaf 7 september 2026. Heb je in augustus een aanbetaling gedaan, dan telt die aankoop niet mee.
• Je kreeg niet eerder subsidie voor dezelfde categorie. Wie in 2025 een router vergoed kreeg, krijgt in 2026 niets voor een firewall, want die vallen in dezelfde categorie. Een andere categorie, zoals back-ups, kan wel. Tot vorig jaar kon je maar één keer meedoen. Die regel is vervallen.

RVO schrijft op zijn site “maximaal 50 werknemers”. De regeling zelf gebruikt de Europese definitie van een kleine onderneming, en daarin is het minder dan 50, met eigenaren en meewerkende vennoten meegeteld. Zit je precies op 50, of ligt je omzet boven de € 10 miljoen en je balanstotaal eronder, vraag het dan eerst na bij RVO. Hoort je bedrijf bij een groep, dan tellen de verbonden bedrijven mee en doet de groep samen één aanvraag.

Waar je de subsidie voor kunt gebruiken

De regeling kent acht categorieën, en het gaat om kosten die je bij een leverancier maakt. Per categorie staat hieronder de toelichting van RVO.

• Veilige netwerktoegang en wifi: hardwarematige firewalls, access points en routers.
• Wachtwoordmanager: voor maximaal een jaar.
• Tweefactor- en multifactorauthenticatie (2FA en MFA): voor interne applicaties.
• Patchmanagement: tools of diensten die beveiligingsupdates vast bijhouden en uitvoeren. Een losse update telt niet.
• Antivirussoftware: licentie- en installatiekosten voor maximaal een jaar.
• Back-ups instellen en testen: inclusief hardware, zoals een kant-en-klare NAS met schijven. Een zelfgebouwde NAS, of een pc die als NAS dient, telt niet.
• Risico-inventarisatie en -evaluatie (RI&E): behalve als die deel is van een certificeringstraject zoals ISO 27001.
• Cyber awareness-trainingen: om je personeel bewust te maken van cyberrisico’s.

In 2025 ging een kwart van de aanvragen naar netwerk en wifi (26%), gevolgd door back-ups (19%) en antivirus (11%), meldt het NCSC.

Dit valt er niet onder:

• abonnementen waar beveiliging een onderdeel van is, zoals Microsoft 365 Premium en Google Workspace;
• maatregelen voor websites, webshops, online platformen, betaalsystemen en cloudwerkplekken, want de regeling gaat over je interne systemen;
• abonnementen en licenties die je al had, want alleen nieuwe of extra maatregelen tellen;
• meer accounts of licenties dan er mensen in je bedrijf werken;
• certificering zoals ISO 27001, en juridisch advies daarbij;
• updates voor software die niet meer wordt ondersteund, en gewoon IT-beheer zonder vaste aanpak voor updates.

Loopt een licentie meerdere jaren, dan telt één jaar. Bij een abonnement van drie jaar deel je de kosten door drie.

Hoeveel krijg je terug?

De subsidie is 50% van de kosten die meetellen, met een maximum van € 1.250 per bedrijf. Dat maximum haal je bij € 2.500 aan kosten. Onder de € 400 wijst RVO de aanvraag af, dus de kleinste subsidie is € 200.

Kun je de btw verrekenen, zoals de meeste bedrijven, dan reken je met bedragen exclusief btw. Alleen als je de btw niet kunt aftrekken, telt die mee.

Heb je meerdere facturen, bijvoorbeeld een firewall bij de ene leverancier en een training bij de andere, dan zet je ze samen in één aanvraag. Per bedrijf doe je één aanvraag per ronde. En krijg je voor dezelfde kosten al subsidie van bijvoorbeeld je gemeente, dan kan het niet allebei.

Geef je € 1.800 uit, dan krijg je € 900 terug. Bij € 3.000 blijft het € 1.250.

Zo vraag je de subsidie aan

Je koopt eerst en vraagt daarna aan.

Hier gaat het in de praktijk mis:

• Een te vage factuur. RVO wil op de factuur je naam en adres zien en die van de leverancier, wat je precies hebt afgenomen, de factuurdatum en de betaaldatum, en het bedrag inclusief en exclusief btw. Verwijst de factuur naar een offerte, voeg die dan toe.
• Het verkeerde betaalbewijs. Alleen een bankafschrift telt, met daarop je rekening en die van de leverancier. PayPal-afschriften en overzichten uit de boekhouding accepteert RVO niet. Betaal je met een creditcard, dan heb je het maandafschrift nodig, en dat kan een maand op zich laten wachten.
• Per maand betalen. De maatregel moet volledig betaald zijn als je aanvraagt. Een jaarabonnement dat je per maand betaalt, is dat in november nog niet. Kan het, betaal het jaar dan vooruit.

Waarom je beter niet tot november wacht

Er is € 1 miljoen voor heel Nederland. Krijgt iedereen het maximum, dan is dat genoeg voor 800 bedrijven.

RVO verdeelt het geld op volgorde van binnenkomst. Is het op, dan sluit de regeling, ook als het nog geen 30 november is. Komen er op de dag dat het budget opraakt meer aanvragen binnen dan er geld is, dan beslist loting.

De vraag is er. In 2024 vroegen ruim 1.300 ondernemers samen meer dan € 1,3 miljoen aan, ongeveer een derde meer dan er was. In 2025 kwamen er ruim 1.100 aanvragen binnen. Voor deze ronde rekent het ministerie op ongeveer 1.250.

Je plek in de rij is de dag waarop je aanvraag compleet is. Mist er iets, dan vraagt RVO je het aan te vullen, en telt de dag waarop je dat doet. RVO waarschuwt ook dat wie in de laatste twee weken aanvraagt, misschien geen tijd meer krijgt om een fout te herstellen.

Hoeveel er van het budget over is, publiceert RVO niet. Hoe snel eerdere rondes opgingen, staat ook nergens. Wie in september of oktober aanvraagt, zit veiliger dan wie tot de laatste weken wacht.

Zo zet je de subsidie in met Vallem

Voor veel kleine bedrijven is dit een goed moment om met beveiliging te beginnen, want de eerste stap kost de helft. Bij Vallem sluit awareness-training daar direct op aan: cyber awareness-trainingen zijn een van de acht categorieën.

All-in-One Awareness begint met een kwartaal waarin we meten hoe weerbaar je team nu is. Daarna krijgen je medewerkers elke week een videoles van vijf minuten in de Vallem Academy, met een korte toets erna, en elke maand een phishing-simulatie. Elk kwartaal bekijkt een security-specialist de resultaten met je en stelt het traject bij. Het platform is ontwikkeld in Nederland en draait in de EU.

Na dat jaar weet je waar je team staat en wat de volgende stap is, zoals EDR of een pentest.

Het moet wel om een nieuw abonnement gaan. Traint je team al bij ons, dan telt dat niet. Van een abonnement telt maximaal een jaar mee. De aanvraag doe je zelf of laat je door iemand anders doen, want wij mogen dat als leverancier niet.

Voor antivirus ligt het minder eenvoudig. Onze EDR met SentinelOne vervangt je antivirus, maar de regeling noemt EDR nergens. Of RVO het als antivirussoftware ziet, staat niet vast. Vraag het RVO voordat je het daarvoor wilt gebruiken.

Begin met de CyberVeilig Check

De CyberVeilig Check kost een paar minuten en de pdf heb je toch nodig voor de aanvraag. De actielijst laat zien welke van de acht maatregelen voor je bedrijf het meest oplevert. Koop pas daarna.

Geschreven op 21 september 2026 op basis van de regeling en de pagina’s van RVO en het NCSC. RVO beslist over je aanvraag. Twijfel je over je situatie, vraag het dan na bij RVO.