NIS2 Richtlijn: Complete Gids voor Nederlandse MKB-Bedrijven

De Europese Unie heeft de digitale weerbaarheid van organisaties hoog op de agenda gezet. Met de NIS2-richtlijn (Network and Information Systems Directive 2) worden de cybersecurity-eisen voor bedrijven flink aangescherpt. Voor veel Nederlandse MKB-bedrijven betekent dit nieuwe verplichtingen, strengere controles en de noodzaak om cybersecurity serieus te nemen. In deze gids leggen we uit wat NIS2 precies inhoudt, wie eronder valt en hoe je jouw organisatie tijdig voorbereidt.

Kernpunten (TL;DR)

• NIS2 wordt verwacht in Q2 2026 van kracht in Nederland via de Cyberbeveiligingswet
• Boetes tot €10 miljoen of 2% van wereldwijde omzet bij niet-naleving
• 18 sectoren vallen onder NIS2, van energie tot maakindustrie en IT-dienstverleners
• Supply chain-effect: ook MKB dat levert aan NIS2-bedrijven moet compliance aantonen
• 10 verplichte maatregelen: van risicoanalyse tot incident response en MFA
• Begin nu met voorbereiden - compliance kost tijd en de deadline nadert

Wat is de NIS2-richtlijn?

NIS2 is de opvolger van de oorspronkelijke NIS-richtlijn uit 2016. Waar de eerste versie zich vooral richtte op grote bedrijven in kritieke sectoren, breidt NIS2 de reikwijdte aanzienlijk uit. De richtlijn is ontworpen om de digitale weerbaarheid van de Europese Unie te versterken tegen de groeiende dreiging van cyberaanvallen.

In Nederland wordt NIS2 geïmplementeerd via de Cyberbeveiligingswet (Cbw). Deze wet gaat naar verwachting in het tweede kwartaal van 2026 in werking, maar organisaties doen er goed aan om nu al te beginnen met voorbereidingen. De wet geldt niet alleen voor grote ondernemingen; ook veel MKB-bedrijven vallen onder de nieuwe regels.

Kernprincipes van NIS2

De richtlijn is gebouwd op drie pijlers die samen een robuust cybersecurityframework vormen:

Wie valt onder NIS2?

Een van de grootste veranderingen ten opzichte van de oorspronkelijke richtlijn is de uitbreiding van sectoren en organisaties die eronder vallen. NIS2 maakt onderscheid tussen essentiële en belangrijke entiteiten.

Essentiële entiteiten

Dit zijn organisaties in sectoren die cruciaal zijn voor het functioneren van de samenleving:

• Energie (elektriciteit, olie, gas, waterstof)
• Transport (luchtvaart, spoor, water, weg)
• Bankwezen en financiële markten
• Gezondheidszorg
• Drinkwater en afvalwater
• Digitale infrastructuur en ICT-dienstverleners
• Overheidsdiensten

Belangrijke entiteiten

Hieronder vallen bedrijven in aanvullende sectoren:

• Post- en koeriersdiensten
• Afvalbeheer
• Chemie en voedselproductie
• Maakindustrie
• Digitale dienstverleners
• Onderzoek en onderwijs

Drempelwaarden

Niet elk bedrijf in deze sectoren valt automatisch onder NIS2. Er gelden drempelwaarden:

• Middelgroot: 50-250 werknemers of €10-50 miljoen omzet
• Groot: meer dan 250 werknemers of meer dan €50 miljoen omzet

Maar let op: ook kleinere bedrijven kunnen eronder vallen als ze kritieke diensten leveren aan organisaties die wel onder NIS2 vallen. Dit is het zogeheten supply chain-effect.

Het supply chain-effect: waarom ook jouw MKB geraakt wordt

Hier zit een belangrijke nuance. Zelfs als jouw bedrijf niet direct onder NIS2 valt, kun je indirect geraakt worden. Organisaties die wel onder de richtlijn vallen, zijn verplicht om de cybersecurity in hun hele toeleveringsketen te waarborgen.

Lever jij IT-diensten, software, cloud-oplossingen of andere digitale diensten aan bedrijven die onder NIS2 vallen? Dan zullen zij eisen stellen aan jouw beveiligingsniveau. Kun je niet aantonen dat je cybersecurity op orde is? Dan loop je het risico klanten te verliezen.

Dit betekent dat veel MKB-bedrijven die technisch gezien niet onder NIS2 vallen, toch hun IT-beveiliging moeten opschroeven om commercieel relevant te blijven.

De tien verplichte beveiligingsmaatregelen

NIS2 schrijft minimaal tien categorieën van beveiligingsmaatregelen voor. Deze vormen de basis voor een gedegen cybersecuritybeleid:

1. Risicoanalyse en beveiligingsbeleid

Organisaties moeten een actueel overzicht hebben van alle cyberrisico's en een beleid dat beschrijft hoe deze worden aangepakt. Dit is geen eenmalige exercitie maar een doorlopend proces.

2. Incidentafhandeling

Er moet een procedure zijn voor het detecteren, melden en afhandelen van beveiligingsincidenten. Een Security Operations Center (SOC) of Managed Detection & Response dienst kan hierbij helpen.

3. Bedrijfscontinuïteit en crisisbeheer

Wat doe je als je getroffen wordt door ransomware? Back-up management, disaster recovery en crisisplannen moeten op orde zijn om snel te kunnen herstellen.

4. Beveiliging van de toeleveringsketen

Zoals eerder genoemd: je bent verantwoordelijk voor de beveiliging van je hele keten. Dit vereist contractuele afspraken en controles bij leveranciers.

5. Beveiliging bij verwerving, ontwikkeling en onderhoud

Systemen moeten veilig worden aangeschaft, ontwikkeld en onderhouden. Dit omvat vulnerability management en patching.

6. Evaluatie van effectiviteit

Regelmatig testen of je maatregelen werken, bijvoorbeeld via penetratietesten en security audits.

7. Cyberhygiëne en training

Medewerkers zijn vaak de zwakste schakel. Training en bewustwordingsprogramma's zijn verplicht.

8. Cryptografie en encryptie

Gevoelige data moet versleuteld worden, zowel in rust als tijdens transport.

9. Toegangsbeheer

Wie heeft toegang tot wat? Multi-factor authenticatie en het principe van least privilege zijn essentieel.

10. Beveiligde communicatie

Gebruik van beveiligde communicatiemiddelen, vooral in noodsituaties.

Meldplicht: binnen 24 uur rapporteren

Een van de meest ingrijpende verplichtingen is de meldplicht. Bij een significant cyberincident moet je binnen 24 uur een eerste melding doen bij het Nationaal Cyber Security Centrum (NCSC) of de sectorale toezichthouder. Binnen 72 uur volgt een uitgebreidere rapportage met analyse en impactbeoordeling.

Wat geldt als significant incident?

• Ernstige operationele verstoring
• Financiële schade
• Aanzienlijke materiële of immateriële schade voor anderen

Dit vereist dat je 24/7 monitoring en detectiecapaciteiten hebt, anders merk je het incident mogelijk niet eens binnen die 24 uur.

Sancties en persoonlijke aansprakelijkheid

NIS2 heeft tanden. De sancties zijn aanzienlijk zwaarder dan bij de vorige richtlijn:

Nog opvallender is de persoonlijke aansprakelijkheid voor bestuurders. Als directie of bestuur kun je persoonlijk aansprakelijk worden gesteld voor het niet naleven van de cybersecurityverplichtingen. Dit maakt NIS2-compliance een boardroom-issue.

Stappenplan: zo bereid je jouw MKB voor

Wachten tot de wet van kracht is, is geen optie. Het opbouwen van een robuust cybersecurityprogramma kost tijd. Hier is een praktisch stappenplan:

Stap 1: Bepaal of je onder NIS2 valt

Gebruik de NIS2 zelfevaluatietool van de overheid op regelhulpenvoorbedrijven.nl. Check ook of je leverancier bent van organisaties die wel onder NIS2 vallen.

Stap 2: Voer een nulmeting uit

Waar sta je nu? Welke van de tien maatregelen heb je al (deels) geïmplementeerd? Een security assessment geeft inzicht in je huidige situatie.

Stap 3: Identificeer de gaps

Vergelijk je huidige situatie met de NIS2-vereisten. Waar zitten de grootste hiaten? Prioriteer op basis van risico en impact.

Stap 4: Maak een implementatieplan

Definieer concrete acties, verantwoordelijken en deadlines. Begin met de basis: multi-factor authenticatie, endpoint protection en back-ups.

Stap 5: Implementeer en documenteer

Voer de maatregelen uit en zorg voor goede documentatie. NIS2 vereist dat je kunt aantonen dat je compliant bent.

Stap 6: Train je medewerkers

Investeer in security awareness training. Phishing blijft de meest gebruikte aanvalsvector.

Stap 7: Test en evalueer

Voer regelmatig tests uit, zoals penetratietesten en tabletop-oefeningen. Pas je maatregelen aan op basis van de resultaten.

Uitbesteden of zelf doen?

Voor veel MKB-bedrijven is de vraag: kunnen we dit zelf of hebben we hulp nodig? Het antwoord hangt af van je omvang, complexiteit en beschikbare expertise.

Voordelen van uitbesteden aan een MSSP

Een Managed Security Service Provider kan veel van de NIS2-vereisten voor je invullen:

• 24/7 monitoring en incident response
• Expertise die intern moeilijk te vinden is
• Voorspelbare maandelijkse kosten
• Snellere implementatie van maatregelen
• Ondersteuning bij compliance-documentatie

Wat houd je intern?

Zelfs bij uitbesteding blijf je als organisatie verantwoordelijk. Je hebt intern nodig:

• Een security officer of aanspreekpunt
• Regie over het securitybeleid
• Medewerking van management
• Budget en mandaat voor maatregelen

De relatie met andere regelgeving

NIS2 staat niet op zichzelf. Er is overlap en samenhang met andere regelgeving:

• AVG/GDPR: Privacy en security raken elkaar. Een datalek is vaak ook een security-incident.
• DORA: Voor financiële instellingen geldt de Digital Operational Resilience Act.
• ISO 27001: Het certificaat voor informatiebeveiliging sluit goed aan bij NIS2-vereisten.

Organisaties die al ISO 27001-gecertificeerd zijn, hebben een voorsprong. Veel maatregelen overlappen.

Begin vandaag

De NIS2-richtlijn is geen papieren tijger. Met substantiële boetes, persoonlijke aansprakelijkheid en strenge toezichtbevoegdheden dwingt de Europese Unie organisaties om cybersecurity serieus te nemen.

Voor Nederlandse MKB-bedrijven betekent dit actie ondernemen. Of je nu direct onder de richtlijn valt of via de supply chain geraakt wordt: professioneel IT-beheer en degelijke cybersecurity zijn geen luxe meer, maar noodzaak.

Wil je weten hoe jouw organisatie ervoor staat? Neem contact op voor een vrijblijvend gesprek over NIS2-compliance en hoe je je optimaal kunt voorbereiden. Bel 085 303 5869 of vraag een gratis security scan aan.

Veelgestelde vragen over NIS2

Wanneer gaat NIS2 in Nederland in?

De Cyberbeveiligingswet gaat naar verwachting in het tweede kwartaal van 2026 in werking. Begin nu met voorbereiden om tijdig compliant te zijn.

Valt mijn MKB-bedrijf onder NIS2?

Dat hangt af van je sector, omvang en of je diensten levert aan organisaties die wel onder NIS2 vallen. Gebruik de zelfevaluatietool of vraag advies.

Wat als ik niet compliant ben?

Dan riskeer je boetes tot €10 miljoen of 2% van je omzet. Daarnaast kunnen bestuurders persoonlijk aansprakelijk worden gesteld.

Kan ik NIS2-compliance uitbesteden?

De uitvoering van maatregelen kun je uitbesteden aan een MSSP. De eindverantwoordelijkheid blijft echter bij jouw organisatie.

Hoe verhoudt NIS2 zich tot ISO 27001?

Er is veel overlap. ISO 27001-certificering is een goede basis voor NIS2-compliance, al dekt het niet alle vereisten.