31 maart, 2026
De NIS2-wet (Cyberbeveiligingswet) wordt naar verwachting per 1 juli 2026 van kracht in Nederland. MKB-bedrijven met minder dan 50 medewerkers vallen er vaak niet direct onder, maar wel indirect via hun klanten.
In dit artikel lees je precies wat NIS2 betekent voor jouw organisatie: of je eronder valt, welke maatregelen verplicht zijn, wat de risico’s zijn als je niets doet en hoe je begint.
Meer weten over hoe wij MKB-bedrijven begeleiden bij NIS2? Bekijk onze NIS2-aanpak.
De NIS2-richtlijn geldt direct voor middelgrote en grote organisaties in kritieke sectoren: energie, transport, gezondheidszorg, drinkwater en digitale infrastructuur. De drempelwaarden zijn minimaal 50 medewerkers of een jaaromzet en balanstotaal boven de 10 miljoen euro.
Kleinere bedrijven vallen er indirect onder via hun klanten. Grote organisaties die wél direct onder NIS2 vallen, mogen eisen stellen aan de beveiliging van hun leveranciers en daar ook op controleren. Naar verwachting raakt dit meer dan 50.000 extra MKB-bedrijven in Nederland.
Lever jij aan zo’n organisatie? Dan kun jij worden gevraagd om aan te tonen dat jouw digitale beveiliging op orde is.
De NIS2-verplichtingen voor MKB-bedrijven zijn opgedeeld in vier onderdelen.
Je moet minimaal tien beveiligingsmaatregelen invoeren. Denk aan een risicoanalyse, een plan voor als er iets misgaat, toegangsbeheer en multifactorauthenticatie (MFA). Dit zijn de basismaatregelen die het NCSC voor alle organisaties aanbeveelt.
Een ernstig incident, waarbij systemen uitvallen of data op straat ligt, moet je binnen 24 uur melden via het centrale meldportaal van het NCSC. Niet melden vergroot de schade voor jouw keten.
Organisaties die direct onder de Cyberbeveiligingswet vallen, melden zich aan via het NCSC-portaal (mijn.ncsc.nl). Dit is de eerste formele stap in het NIS2 compliance-traject.
Grote klanten mogen jouw beveiliging controleren en eisen stellen. Jij kunt hetzelfde doen bij jouw eigen leveranciers. Informatiebeveiliging in de keten is een gedeelde verantwoordelijkheid.
De maximale boete onder de Cyberbeveiligingswet is 10 miljoen euro of 2% van de wereldwijde jaaromzet. Bestuurders kunnen persoonlijk aansprakelijk worden gesteld bij grove nalatigheid.
Het praktische risico voor MKB-bedrijven is minstens zo groot: aantoonbaar goede beveiliging wordt een vereiste in contracten en inkoopvoorwaarden. Wie dat niet op orde heeft, verliest opdrachten aan concurrenten die dat wél doen.
Implementatie van de NIS2-maatregelen duurt gemiddeld zes maanden (bron: NCSC, 2024). Als alle bedrijven tegelijk beginnen na inwerkingtreding, is er te weinig capaciteit bij specialisten.
Wie nu begint, heeft de tijd om het goed te doen. Wie wacht, staat achteraan.
Niet direct, maar wel indirect. De Cyberbeveiligingswet geldt rechtstreeks voor organisaties met minimaal 50 medewerkers of meer dan 10 miljoen euro omzet in kritieke sectoren zoals energie, transport en gezondheidszorg. Kleinere bedrijven vallen er niet automatisch onder. Maar als jij levert aan een bedrijf dat er wél onder valt, kan die klant eisen stellen aan jouw beveiliging. Naar verwachting raakt NIS2 daardoor meer dan 50.000 extra MKB-bedrijven indirect (bron: Rijksoverheid, 2024).
De Nederlandse implementatie van de NIS2-richtlijn, de Cyberbeveiligingswet, ligt bij de Tweede Kamer en wordt naar verwachting per 1 juli 2026 van kracht. Implementatie duurt gemiddeld zes maanden. Wie nu nog niet begonnen is, haalt die deadline waarschijnlijk niet.
De NIS2-zorgplicht verplicht minimaal tien maatregelen: risicoanalyse, een plan voor als er iets misgaat, toegangsbeheer, multifactorauthenticatie (MFA), beveiliging van leveranciers, encryptie, medewerkerstraining en actueel houden van systemen. De exacte invulling hangt af van de omvang en het risicoprofiel van je organisatie.
Onder NIS2 ben je verplicht een ernstig incident binnen 24 uur te melden bij het NCSC (Nationaal Cyber Security Centrum). Doe je dat niet, dan riskeer je een boete. Bovendien vergroot niet melden de schade: hoe sneller een incident gemeld is, hoe sneller andere organisaties in dezelfde keten gewaarschuwd kunnen worden.
Ja. De Cyberbeveiligingswet maakt bestuurders persoonlijk verantwoordelijk voor de naleving van de beveiligingsverplichtingen. Bij grove nalatigheid kunnen zij persoonlijk aansprakelijk worden gesteld, ook als de overtreding door de organisatie als geheel is begaan. Dit is een bewuste keuze van de wetgever om informatiebeveiliging hoger op de bestuurstafel te krijgen.
Begin met een nulmeting om te weten waar je staat. Daarna prioriteer je op basis van je risicoprofiel. Veel kleine bedrijven schakelen hiervoor een externe beveiligingsadviseur in via een CISO-as-a-Service constructie: een of enkele dagen per maand, zonder fulltime aanstelling. Zo heb je de kennis in huis zonder vaste overhead.
Wij doen een gratis NIS2-nulmeting voor MKB-bedrijven. Je krijgt een eerlijk beeld van wat je nu doet, wat je mist en wat prioriteit heeft. Geen wollige complianceverhalen, wel grip op je informatiebeveiliging.
