NIS2 duidelijk uitgelegd (en geldt het voor mijn bedrijf?)

Cyberaanvallen komen steeds vaker voor. Bedrijven worden getroffen door ransomware, phishing, datalekken en andere digitale dreigingen. Als wapen tegen cybercriminaliteit heeft de Europese Unie de NIS2-richtlijn ingevoerd. In Nederland wordt deze richtlijn uitgevoerd via de Cyberbeveiligingswet. Deze wet is op 15 augustus 2026 in werking getreden.

Veel ondernemers horen de term NIS2 regelmatig voorbij komen, maar weten niet precies wat het betekent. Geldt deze wet ook voor uw bedrijf? Wat moet u regelen? En hoe kunt u aantonen dat u aan de eisen voldoet?

In dit artikel leggen wij alles uit in begrijpelijke taal.

Wat is NIS2?

NIS2 staat voor Network and Information Security Directive 2. Het is een Europese richtlijn die organisaties verplicht om hun digitale beveiliging beter op orde te brengen. Het doel: belangrijke organisaties beter beschermen tegen cyberaanvallen en de gevolgen daarvan beperken.

Met deze wetgeving wil de overheid voorkomen dat een cyberaanval grote gevolgen heeft voor de samenleving. Denk bijvoorbeeld aan:

• Uitval van energievoorzieningen
• Problemen in de gezondheidszorg
• Verstoring van transport en logistiek
• Uitval van IT-dienstverleners
• Stilstand van productiebedrijven

NIS2 gaat daarom niet alleen over techniek. Niet alleen de ICT-verantwoordelijke, maar ook de directie, management en medewerkers krijgen verantwoordelijkheden. Cybersecurity wordt een onderdeel van goed ondernemerschap.

Voor welke bedrijven geldt NIS2?

Veel ondernemers denken dat NIS2 alleen geldt voor grote organisaties. Dat is niet helemaal juist. Het is niet alleen de bedrijfsgrootte die u “belangrijk” maakt.

Of NIS2 voor uw organisatie geldt, hangt vooral af van:

1. De sector waarin u actief bent.
2. De grootte van uw organisatie.

Sectoren die onder NIS2 vallen

De wet geldt onder andere voor organisaties in:

• Gezondheidszorg
• Overheid
• Energie
• Vervoer en logistiek
• Drinkwater
• Bankwezen
• Digitale infrastructuur
• ICT-dienstverlening
• Onderzoek
• Productie- en maakindustrie
• Voedingsindustrie
• Chemische industrie

U ziet, heel veel sectoren vallen er onder.

Grootte van de organisatie

In veel gevallen valt een organisatie onder NIS2 wanneer zij:

• 50 of meer medewerkers heeft, of
• een jaaromzet of balanstotaal heeft van meer dan 10 miljoen euro.

Daarnaast zijn er ook kleinere organisaties die ondanks hun geringe omvang onder de wet vallen, bijvoorbeeld bepaalde aanbieders van digitale infrastructuur en communicatiediensten.

Ook als u niet aan deze voorwaarden valt krijgt u mogelijk wel te maken met NIS2, namelijk indirect, dat leggen we hier onder uit.

Geldt NIS2 ook voor kleinere bedrijven?

Vaak wel indirect.

Steeds meer grote organisaties vragen hun leveranciers en onderaannemers om aan te tonen dat zij veilig werken. Wanneer uw klant onder NIS2 valt, kunt u vragen krijgen zoals:

• Heeft u een back-up strategie?
• Gebruikt u multifactor-authenticatie (MFA)?
• Hoe beschermt u bedrijfsgegevens?
• Heeft u een incidentenprocedure?
• Hoe gaat u om met wachtwoorden?

Ook als uw bedrijf formeel niet onder NIS2 valt, kunt u daarom alsnog met NIS2-eisen te maken krijgen.

Wat moet een organisatie regelen?

NIS2 schrijft niet exact voor welke beveiligingsproducten u moet aanschaffen. De wet verplicht organisaties om passende beveiligingsmaatregelen te nemen.

In de praktijk betekent dit meestal dat u aandacht moet besteden aan:

1. Risicoanalyse

Breng in kaart welke risico’s uw organisatie loopt.

Denk bijvoorbeeld aan:

• Ransomware
• Phishing
• Datalekken
• Uitval van systemen
• Verlies van gegevens

2. Toegangsbeveiliging

Zorg dat onbevoegden niet zomaar toegang krijgen.

Voorbeelden:

• Sterke wachtwoorden
• Multifactor-authenticatie (MFA)
• Gebruikersrechten beperken

3. Back-ups

Neem maatregelen zodat u snel weer operationeel kan.

Maak regelmatig back-ups van belangrijke gegevens en controleer of deze daadwerkelijk teruggezet kunnen worden.

4. Updates en onderhoud

Dicht de nieuwste beveiligingslekken.

Zorg dat computers, servers, firewalls en software altijd up-to-date zijn.

5. Bewustwording van medewerkers

Zorg dat uw medewerkers de gevaren zien.

Veel cyberincidenten ontstaan door menselijke fouten. Training en bewustwording zijn daarom belangrijk.

6. Incidentenprocedure

Weet wat u moet doen wanneer er toch iets misgaat.

Wie wordt geïnformeerd?
Wie neemt beslissingen?
Hoe beperkt u de schade?

7. Meldplicht

Organisaties die onder NIS2 vallen moeten ernstige incidenten binnen strikte termijnen melden aan de bevoegde instanties.

Hoe kom ik aan NIS2?

Een vraag die vaak wordt gesteld is:

“Hoe krijg ik een NIS2-certificaat?”

Het antwoord is eenvoudig:

NIS2 is geen certificering.

U kunt dus niet zomaar een certificaat kopen of behalen.

NIS2 is een wettelijke verplichting. Organisaties moeten aantonen dat zij passende maatregelen hebben genomen om hun digitale veiligheid te verbeteren.

Wel bestaan er normen en certificeringen die kunnen helpen, zoals:

• ISO 27001
• NEN 7510 (zorgsector)
• BIO (overheid)

Deze zijn echter niet verplicht voor alle organisaties.

Hoe controleert de overheid dit?

Organisaties die onder de Cyberbeveiligingswet vallen moeten zich registreren bij het NCSC (Nationaal Cyber Security Centrum). Daarnaast kunnen toezichthouders controleren of een organisatie voldoet aan de wettelijke verplichtingen.

Bestuurders krijgen hierbij nadrukkelijk een verantwoordelijkheid. Cybersecurity wordt niet langer alleen gezien als een IT-aangelegenheid.

Praktische tips voor ondernemers

Wilt u voldoen aan de NIS2 regels?

Begin dan met deze vijf stappen:

1. Activeer MFA op alle belangrijke accounts.
2. Controleer of uw back-ups werken.
3. Zorg voor actuele antivirus- en endpointbeveiliging.
4. Maak een overzicht van uw leveranciers en ICT-systemen.
5. Laat een ICT-securityscan uitvoeren.

Deze maatregelen verbeteren direct de veiligheid van uw organisatie, ongeacht of NIS2 voor u geldt.

Hoe kan Nomad IT helpen?

Voor veel ondernemers is NIS2 ingewikkelde materie. Dat is begrijpelijk. U bent ondernemer, geen cybersecurityspecialist.

Maar Nomad IT kan organisaties helpen met een praktische aanpak:

Inventarisatie

Wij bekijken of uw organisatie mogelijk onder NIS2 valt en welke risico’s aanwezig zijn.

Nulmeting

Wij brengen via een nulmeting uw huidige ICT-omgeving en beveiligingsniveau in kaart.

Advies

U ontvangt een helder overzicht van verbeterpunten, zonder ingewikkeld vakjargon.

Technische maatregelen

Wij kunnen helpen met onder andere:

• Multifactor-authenticatie (MFA)
• Microsoft 365-beveiliging
• Sophos endpointbeveiliging
• Sophos firewalls
• Back-upoplossingen
• Monitoring van systemen
• Gebruikersbeheer
• Beveiligingsbeleid

Doorlopend beheer

Cybersecurity is geen eenmalig project. Wij helpen u om uw ICT-omgeving veilig, actueel en beheersbaar te houden.

Conclusie

NIS2 is geen tijdelijk project en ook geen papieren verplichting. Het is een nieuwe standaard voor digitaal verantwoord ondernemen.

Voor organisaties die onder de wet vallen is naleving verplicht. Voor andere bedrijven is het verstandig om zich alsnog voor te bereiden, omdat klanten, leveranciers en verzekeraars steeds vaker vragen stellen over digitale veiligheid.

Door nu maatregelen te nemen verkleint u niet alleen de kans op een cyberincident, maar bent u ook beter voorbereid op toekomstige eisen van klanten, partners en overheid.

Wilt u weten of NIS2 voor uw organisatie relevant is? Neem dan contact op met Nomad IT voor een vrijblijvende inventarisatie van uw ICT-omgeving.