Nieuws

Ontdek wat de NIS2-richtlijn inhoudt, waarom ook mkb‑bedrijven ermee te maken krijgen en hoe je jouw organisatie NIS2‑proof maakt.

Cybercriminaliteit neemt toe en de Europese Unie reageert met strengere regels. De NIS2-richtlijn (Network and Information Systems Directive) is bedoeld om de digitale weerbaarheid van organisaties te vergroten. In Nederland wordt deze richtlijn vertaald naar de Cyberbeveiligingswet, die volgens de rijksoverheid naar verwachting in het tweede kwartaal van 2026 van kracht gaat. Maar wachten tot die datum is geen optie: grote klanten en ketenpartners verwachten nu al actie.

Waar we het in deze blog over gaan hebben:

• Wat is NIS2?
• Waarom is dit relevant voor jouw organisatie?
• Wat zijn de verplichtingen?
• Boetes en toezicht
• Bestuursaansprakelijkheid
• Misvattingen over NIS2
• Hoe toon je compliance aan?
• Hoe maak je jouw organisatie NIS2-proof?
• Wat kan Hype voor jou betekenen?
• Klaar om jouw organisatie NIS2-proof te maken?

Wat is NIS2?

De NIS2‑richtlijn is de Europese wetgeving voor netwerk- en informatiebeveiliging. NIS2 is de opvolger van NIS1 en breidt het toepassingsgebied flink uit. Waar NIS1 vooral gold voor vitale sectoren zoals energie en telecom, geldt NIS2 voor veel meer organisaties, waaronder IT-dienstverleners, logistiek, zorg en productie.

• Essentiële organisaties: grote organisaties in kritieke sectoren (energie, drinkwater, gezondheidszorg, digitale infrastructuur).
• Belangrijke organisaties: middelgrote organisaties in sectoren zoals voedselproductie, afvalverwerking, IT-diensten en post- en koeriersdiensten.

Waarom is dit relevant voor jouw organisatie?

Zelfs als jouw organisatie niet direct onder NIS2 valt, kun je er indirect mee te maken krijgen. Grote klanten zullen eisen stellen aan jouw cybersecurity. Dit heet ketenzorgplicht: organisaties moeten aantonen dat hun leveranciers veilig werken. Voor veel mkb’ers betekent dit dat ze nu al moeten investeren in digitale veiligheid om opdrachten en relaties te behouden.

Wat zijn de verplichtingen?

NIS2 introduceert drie hoofdplichten:

• Zorgplicht: Organisaties moeten aantoonbaar passende maatregelen treffen zoals:
• risicoanalyses
• incidentresponse
• toegangsbeheer
• back‑ups
• monitoring
  Deze verplichtingen worden verder uitgewerkt in het Cyberbeveiligingsbesluit.
• Meldplicht: Cyberincidenten moeten binnen 24 uur gemeld worden bij de toezichthouder.
• Registratieplicht: Organisaties die direct onder NIS2 vallen, moeten zich registreren bij het Nationaal Cyber Security Centrum.

Boetes en toezicht

Toezicht wordt uitgevoerd door de Rijksinspectie Digitale Infrastructuur (RDI).

Niet voldoen aan NIS2 kan leiden tot forse boetes:

• Tot €10 miljoen of 2% van de wereldwijde omzet voor essentiële bedrijven.
• Minimaal €7 miljoen of 2% van de omzet voor belangrijke bedrijven.

Bestuursaansprakelijkheid: wat betekent NIS2 voor directie en bestuur?

Bestuurders worden persoonlijk verantwoordelijk gehouden. Volgens de RDI krijgen bestuurders onder de NIS2-wet nieuwe formele verplichtingen, zoals:

• Aantoonbare kennis van cyberrisico’s
• Passend risicobeheer vaststellen en goedkeuren
• Toezicht houden op uitvoering van beveiligingsmaatregelen
• Regelmatig met de CISO of security-verantwoordelijke

Daarnaast waarschuwen meerdere juridische bronnen dat bestuurders persoonlijk aansprakelijk kunnen worden gesteld bij non-compliance of nalatigheid.

Kort gezegd:

❗Als de organisatie haar cyberbeveiliging niet op orde heeft en dit leidt tot schade, kan het bestuur aansprakelijk worden gehouden.

Dit kan leiden tot:

• Persoonlijke claims
• Bestuurlijke maatregelen
• Schorsing
• Boetes (bij evidente nalatigheid)

Misvattingen en juridische aandachtspunten

NIS2 geldt niet voor mkb

Fout! Door de ketenzorgplicht moeten ook kleinere organisaties aantoonbaar veilige processen hebben. Grote klanten zullen dit eisen in contracten.

ISO-certificering is verplicht

Nee, een ISO-certificaat is niet verplicht. Wel moet je aantoonbare maatregelen treffen, zoals een risicoanalyse, incidentenresponsplan en awareness-trainingen.

Compliance is niet zichtbaar

Er bestaan initiatieven zoals het NIS2 Supply Chain certificering, een kwaliteitslabel waarmee organisaties kunnen laten zien dat ze voldoen aan de richtlijn. Dit kan een concurrentievoordeel opleveren.

Hoe toon je compliance aan?

De naam NIS2 Quality Mark is op 6 januari 2026 officieel gewijzigd naar NIS2 Supply Chain. Volgens Stichting Kwaliteitsinnovatie is de nieuwe naam gekozen omdat deze duidelijker maakt dat het certificaat draait om bewijs van veilige cybersecurity in de hele keten. Aan inhoud, trajecten en werkwijze verandert verder niets.

Zoals net genoemd bestaan er initiatieven zoals het NIS2 Supply Chain, waarmee organisaties kunnen aantonen dat ze voldoen aan de richtlijn. Dit label kent verschillende niveaus:

• Supply Chain 10: Voor de meeste mkb-organisaties voldoende om te laten zien dat de basis op orde is.
• Supply Chain 20 : Geschikt voor organisaties die ICT- of OT-diensten leveren. Het vereiste niveau hangt af van het risico en de impact op BIV (Beschikbaarheid, Integriteit, Vertrouwelijkheid).
• Supply Chain 30: Voor organisaties die direct onder NIS2 vallen en registratie plichtig zijn. Aanvullende certificeringen zoals ISO27001, NEN7510 of IEC 62443 zijn hierbij sterk aanbevolen.

Hoe maak je jouw organisatie NIS2-proof?

NIS2 vraagt om aantoonbare digitale weerbaarheid. Het gaat om structurele maatregelen die je kunt onderbouwen. Denk aan:

• Strategisch plan: Stel een helder cybersecuritybeleid op dat past bij jouw bedrijfsrisico’s
• Technische basis op orde: Multi-factor authenticatie, sterke wachtwoorden, back-ups en monitoring zijn geen luxe, maar een noodzaak
• Incidentmanagement: Weet wat je doet bij een aanval. Leg rollen, stappen en communicatie vast in een incidentresponsplan
• Menselijke factor: Train medewerkers. Bewustwording voorkomt dat één klik jouw bedrijf platlegt.
• Ketenverantwoordelijkheid: Controleer leveranciers. Grote klanten eisen dat jij veilig werkt, en dat jouw partners dat ook doen.
• Bewijsvoering: Documenteer alles. Niet om een ISO-certificaat te halen, maar om te kunnen aantonen dat je compliant bent.

Wat kan Hype voor jou betekenen?

We begrijpen dat NIS2 veel vragen oproept. Nieuwe regels, technische termen, verplichtingen… het komt allemaal tegelijk op je af. Maar het goede nieuws is: je hoeft dit niet alleen te doen!

Bij Hype kijken we samen met jou naar de huidige situatie. Vaak ben je op sommige vlakken al goed bezig, en dat is een prima startpunt. Wij helpen je om:

• Inzicht te krijgen: Waar sta je nu? Welke onderdelen voldoen al aan NIS2?
• Prioriteiten te stellen: Niet alles hoeft tegelijk. We maken een plan dat past bij jouw organisatie.
• Maatregelen te implementeren: Van technische oplossingen tot beleid en awareness-trainingen.
• Compliance aantoonbaar te maken: Zodat je niet alleen veilig bent, maar dit ook kunt bewijzen richting klanten en toezichthouders.

Ons doel? Praktische, haalbare stappen om jouw organisatie NIS2 compliant te maken!

Klaar om jouw organisatie NIS2-proof te maken?  

We vertellen je graag hoe jouw organisatie praktisch en betaalbaar aan NIS2 kan voldoen.
Je bent welkom voor een kop koffie of thee bij ons op kantoor!