Digitalisering biedt organisaties enorm veel kansen, maar brengt ook zakelijke en technische risico’s met zich mee. Met de komst van de NIS2 wetgeving, in Nederland verankerd in de Cyberbeveiligingswet (Cbw), is cybersecurity niet langer alleen een feestje van de IT-afdeling. Het is een directe verantwoordelijkheid geworden voor de voltallige directie en het management.
Of je nu een CEO, CISO, MKB-ondernemer of IT-manager bent: de impact van deze wetgeving op jouw bedrijfsvoering is groot. In deze gids duiken we helder en praktisch in de NIS2-richtlijn. We geven antwoord op de meest gestelde vragen, zodat je precies weet wat de wet eist, welke risico’s je loopt en welke stappen jouw organisatie vandaag al moet zetten.
Snelle samenvatting: NIS2 in het kort
- Wat is het? Strengere Europese cybersecuritywetgeving gericht op de continuïteit van de organisatie en de beveiliging van de toeleveringsketen.
- Nederlandse wet: De richtlijn is vertaald naar de Nederlandse Cyberbeveiligingswet (Cbw).
- Ingangsdatum: De Cyberbeveiligingswet treedt officieel in werking op 15 augustus 2026.
- Voor wie: Ongeveer 8.000 Nederlandse bedrijven in essentiële en belangrijke sectoren én indirect voor duizenden toeleveranciers.
Wat is NIS2 en waar staat de afkorting voor?
De afkorting NIS staat voor Network and Information Security (Netwerk- en Informatiebeveiliging). Waar de eerste NIS-richtlijn uit 2016 zich vooral richtte op een selecte groep hele grote, vitale infrastructuren (zoals de landelijke netbeheerders en grote banken), trekt NIS2 de cirkel veel breder.
Het landschap is simpelweg veranderd. Aanvallers richten zich tegenwoordig zelden rechtstreeks op de best beveiligde vesting; ze zoeken de zwakste schakel in de keten. NIS2 dwingt organisaties daarom om niet alleen de eigen voordeur op slot te doen, maar ook te controleren wat er bij leveranciers en partners gebeurt.
De eerste NIS-richtlijn (NIS1) uit 2016 gold slechts voor een klein aantal vitale infrastructuren. De NIS2 wetgeving vervangt deze en breidt de verplichtingen drastisch uit. Waar cybersecurity voorheen vaak werd gezien als ‘vrijblijvende IT-kosten’, maakt NIS2 beveiliging, risicobeheer en ketenveiligheid tot een wettelijke verplichting op directieniveau.
| Onderdeel | NIS1 | NIS2 wetgeving (Cyberbeveiligingswet) |
| Reikwijdte | Beperkt tot grote, vitale spelers | Ruim 8.000 bedrijven in 18+ sectoren |
| Ketenbeveiliging | Vrijblijvend / niet expliciet | Verplicht risicobeheer over de toeleveringsketen |
| Bestuur | Beperkte verantwoordelijkheid | Directie is verplicht opgeleid en aansprakelijk |
| Meldplicht | Binnen 72 uur (globaal) | Vroege waarschuwing binnen 24 uur |
Wanneer wordt de NIS2-richtlijn van toepassing? (Wanneer gaat NIS2 in?)
Een vraag die we in de praktijk veel horen van ondernemers: wanneer moeten we hier nu exact klaar voor zijn?
De Nederlandse wetgeving krijgt vorm via de Cyberbeveiligingswet (Cbw). Maar wie denkt dat hij kan wachten tot het moment dat de wet officieel van kracht is, komt bedrogen uit.
In de praktijk kost het inrichten van een NIS2-conform managementsysteem (zoals ISO 27001 of de BIO), het uitvoeren van een leveranciersaudit en het opstellen van incidentenprotocollen gemiddeld 6 tot 12 maanden. Bedrijven die pas op het allerlaatste moment starten, lopen een aanzienlijk risico op het niet tijdig behalen van compliance.
Welke bedrijven zijn controleplichtig?
De wet maakt onderscheid tussen Essentiële Entiteiten (EE) en Belangrijke Entiteiten (BE). De categorisering hangt af van de sector, de omvang van het bedrijf (aantal medewerkers en omzet) en de impact die het stilvallen van het bedrijf heeft op de maatschappij.
Als vuistregel geldt: je valt onder de wet als je organisatie actief is in een van de aangewezen sectoren én minimaal 50 medewerkers telt of een jaaromzet/balanstotaal van meer dan € 10 miljoen heeft.
1. Essentiële Entiteiten (EE)
Dit zijn organisaties waar uitval direct ontwrichtend is:
-
Energie & Transport: Elektriciteit, gas, warmtenetten, luchtvaart, spoor, scheepvaart en wegbeheer.
-
Zorg & Financiën: Ziekenhuizen, zorginstellingen, farmacie, banken en beursinfrastructuren.
-
Drink- en afvalwater: Drinkwaterbedrijven en rioleringsbeheer.
-
Digitale Infrastructuur & Overheid: Datacenters, cloud providers, telecom, DNS-diensten en overheidsinstanties.
2. Belangrijke Entiteiten (BE)
Sectoren die belangrijk zijn voor de economische continuïteit:
-
Afvalbeheer, post- en koeriersdiensten.
-
Chemie & Voedselketen: Grootschalige productie, verwerking en distributie.
-
Maakindustrie: Vervaardiging van medische hulpmiddelen, machines, apparatuur en transportmiddelen.
-
Digitale aanbieders: Online marktplaatsen, zoekmachines en webhosting.
De ‘verborgen’ impact op het MKB (Ketenwerking)
Ben je een MKB-bedrijf met minder dan 50 medewerkers? Juich niet te snel. Grote organisaties die onder de NIS2 vallen, zijn wettelijk verplicht om hun toeleveringsketen te beveiligen. Zij zullen hun IT-dienstverleners, softwareleveranciers en toeleveranciers contractueel verplichten om aan dezelfde strenge beveiligingseisen te voldoen. Doe je dit niet, dan loop je de kans dat klanten overstappen naar een concurrent die dit wél op orde heeft.
Wat moet ik doen voor NIS2?
In de praktijk vereist de wetgeving actie op drie concrete niveaus:
1. Zorgplicht (Techniek & Organisatie)
Het is niet voldoende om te zeggen dat “de firewall aan staat”. Je moet aantoonbaar risicobeheer voeren. Dat betekent:
-
Risicoanalyses: Breng continu kwetsbaarheden in kaart.
-
Continuïteitsplannen (BCP): Weet wat je doet als de stroom uitvalt of als een ransomware-aanval de systemen versleutelt. Hoe snel ben je weer online?
-
Toegangsbeveiliging: Verplichte Multi-Factor Authenticatie (MFA), strikt beheer van accounts en versleuteling van gevoelige data.
-
Ketenbeveiliging: Breng de veiligheid van je IT-leveranciers in kaart en leg afspraken vast in SLA’s.
2. Meldplicht (Incidenten)
Mocht het ondanks alle maatregelen toch misgaan en heeft een incident grote impact op je dienstverlening? Dan geldt een strak schema:
-
Binnen 24 uur: Een vroege waarschuwing indienen bij het Computer Security Incident Response Team (CSIRT) en de toezichthouder.
-
Binnen 72 uur: Een update van de melding met een eerste inhoudelijke beoordeling van het incident.
-
Binnen 1 maand: Een uitgebreid eindrapport inclusief de oorzaak en de genomen herstelmaatregelen.
3. Bestuurlijke verantwoordelijkheid
Dit is misschien wel de grootste cultuuromslag: cybersecurity is wettelijk verankerd als een directietaak. Leden van het bestuur zijn verplicht om aantoonbaar training te volgen op het gebied van cyberrisico’s. Je kunt het beheer van de risico’s niet meer simpelweg afschuiven op de IT-afdeling of een externe leverancier.
Wie controleert de NIS2?
Het toezicht in Nederland is belegd bij verschillende specifieke toezichthouders, afhankelijk van de sector waarin je actief bent:
-
Rijksdienst voor Digitale Infrastructuur (RDI): Toezichthouder voor digitale diensten, telecom, datacenters en internetinfrastructuur.
-
Sectorale toezichthouders: Instanties zoals de Autoriteit Persoonsgegevens (AP), De Nederlandsche Bank (DNB) (financiën), de Inspectie Gezondheidszorg en Jeugd (IGJ) (zorg) en de Inspectie Leefomgeving en Transport (ILT).
Hoe werkt het toezicht?
-
Bij Essentiële Entiteiten: Toezichthouders controleren proactief (ex-ante). Ze kunnen onaangekondigd audits eisen, documenten opvragen en inspecties uitvoeren.
-
Bij Belangrijke Entiteiten: Toezichthouders controleren reactief (ex-post). Ze grijpen in als er duidelijke aanwijzingen zijn van verwaarlozing of na het melden van een ernstig incident.
Wat als je niet voldoet aan NIS2?
Het niet-naleven van de Cyberbeveiligingswet is niet vrijblijvend. Naast het risico dat een cyberaanval de bedrijfsvoering weken stillegt, zijn de wettelijke sancties niet milt:
-
Essentiële Entiteiten: Boetes tot maximaal € 10.000.000 of 2% van de wereldwijde jaaromzet (waarbij het hoogste bedrag geldt).
-
Belangrijke Entiteiten: Boetes tot maximaal € 7.000.000 of 1,4% van de wereldwijde jaaromzet.
Naast de financiële boetes kent de wet ook bestuurlijke sancties. Denk aan het openbaar maken van overtredingen (met flinke reputatieschade tot gevolg) of in het uiterste geval een tijdelijk beroepsverbod voor bestuurders die hun zorgplicht ernstig hebben verwaarloosd.
