Cyberaanvallen zijn allang niet meer alleen een probleem voor banken, overheden en grote multinationals. Ook middelgrote bedrijven, IT-dienstverleners, productiebedrijven en organisaties die onderdeel zijn van belangrijke toeleveringsketens kunnen met cyberincidenten te maken krijgen.
Om de digitale weerbaarheid van organisaties te verbeteren, heeft de Europese Unie de NIS2-richtlijn ingevoerd. In Nederland is deze richtlijn uitgewerkt in de Cyberbeveiligingswet (Cbw).
Maar moet jouw bedrijf eigenlijk voldoen aan NIS2? Dat hangt onder andere af van de omvang van je organisatie, de sector waarin je actief bent en de diensten die je levert.
Daarbij is het belangrijk om onderscheid te maken tussen organisaties die rechtstreeks onder de Cyberbeveiligingswet vallen en bedrijven die er indirect mee te maken krijgen doordat bijvoorbeeld een grote klant of opdrachtgever strengere beveiligingseisen stelt.
In dit artikel leggen we uit hoe je bepaalt of NIS2 en de Cyberbeveiligingswet voor jouw organisatie gelden, welke verplichtingen daarbij horen en wat je kunt doen om je bedrijf voor te bereiden.
Wat is NIS2?
NIS2 staat voor Network and Information Security Directive 2. Het is een Europese richtlijn die bedoeld is om het niveau van cyberbeveiliging binnen de Europese Unie te verhogen.
NIS2 is de opvolger van de oorspronkelijke NIS-richtlijn.
Een belangrijk verschil is dat NIS2 betrekking heeft op aanzienlijk meer sectoren en organisaties. Bovendien worden hogere eisen gesteld aan onder andere risicobeheer, incidenten, bedrijfscontinuïteit en beveiliging van leveranciers.
Voor ondernemers in Nederland is vooral de Cyberbeveiligingswet belangrijk. Daarmee is de Europese NIS2-richtlijn in Nederlandse wetgeving omgezet.
De Cyberbeveiligingswet is op 15 augustus 2026 in werking getreden.
Geldt NIS2 inmiddels in Nederland?
Ja.
Hierover bestaat online nog behoorlijk wat verwarring, omdat veel artikelen zijn geschreven in de periode waarin Nederland de NIS2-richtlijn nog in nationale wetgeving moest omzetten.
Die situatie is inmiddels veranderd.
Sinds 15 augustus 2026 geldt de Cyberbeveiligingswet. Deze wet vervangt de voormalige Wet beveiliging netwerk- en informatiesystemen (Wbni).
Als jouw organisatie onder de Cyberbeveiligingswet valt, zijn de bijbehorende verplichtingen dus niet meer iets waarop je je alleen hoeft voor te bereiden. Je moet eraan voldoen.
Moet mijn bedrijf voldoen aan NIS2?
Dat is niet met één simpele ja of nee te beantwoorden.
Of jouw organisatie onder de Cyberbeveiligingswet valt, wordt onder andere bepaald door:
- de sector waarin je organisatie actief is;
- de diensten die je levert;
- de omvang van je organisatie;
- het aantal medewerkers;
- omzet en balanstotaal;
- eventuele bijzondere aanwijzing van je organisatie;
- de positie van je bedrijf binnen bepaalde essentiële of belangrijke diensten.
Je moet dus zowel naar je activiteiten als naar de omvang van je organisatie kijken.
Alleen zeggen dat NIS2 voor “grote bedrijven” geldt, is te kort door de bocht.
Welke bedrijven vallen onder NIS2?
De Cyberbeveiligingswet richt zich op organisaties die actief zijn in sectoren die belangrijk zijn voor het functioneren van de maatschappij en economie.
Daarbij gaat het onder andere om organisaties binnen gebieden zoals:
- energie;
- vervoer;
- bankwezen en bepaalde financiële infrastructuur;
- gezondheidszorg;
- drinkwater en afvalwater;
- digitale infrastructuur;
- beheer van ICT-diensten;
- overheid;
- ruimtevaart;
- post- en koeriersdiensten;
- afvalstoffenbeheer;
- vervaardiging van bepaalde producten;
- digitale aanbieders;
- onderzoek.
De precieze indeling is belangrijk. Het feit dat je bijvoorbeeld een productiebedrijf hebt, betekent niet automatisch dat iedere fabrikant onder dezelfde verplichtingen valt.
Controleer daarom altijd welke wettelijke categorie op jouw organisatie van toepassing is.
Hoe groot moet een bedrijf zijn voor NIS2?
De omvang van de organisatie speelt bij veel categorieën een belangrijke rol.
Als algemene indicatie wordt bij de Cyberbeveiligingswet onder andere gekeken naar organisaties met 50 of meer medewerkers of een jaaromzet en/of balanstotaal van meer dan 10 miljoen euro.
Maar je kunt deze cijfers niet gebruiken als een universele vrijstelling.
Er bestaan uitzonderingen en bijzondere situaties waarbij organisaties ongeacht hun omvang onder de wet kunnen vallen. Ook verschilt de toepassing per soort organisatie en sector.
Daarom is de redenering:
“Wij hebben minder dan 50 werknemers, dus NIS2 geldt niet voor ons”
niet altijd juist.
Gebruik de omvangscriteria dus als onderdeel van de beoordeling en niet als enige toets.
Geldt NIS2 voor zzp’ers en kleine bedrijven?
Voor de meeste kleine ondernemingen en zzp’ers zal de Cyberbeveiligingswet niet rechtstreeks gelden.
Een zelfstandig tekstschrijver, plaatselijke kapper of klein adviesbureau zal bijvoorbeeld normaal gesproken niet ineens een NIS2-plichtige organisatie worden uitsluitend omdat het bedrijf digitale systemen gebruikt.
Toch kunnen kleinere bedrijven wel degelijk met NIS2 te maken krijgen.
Dat heeft vooral te maken met de toeleveringsketen.
NIS2 kan ook indirect gevolgen hebben voor kleine bedrijven
Dit is voor mkb’ers waarschijnlijk een van de belangrijkste onderdelen van NIS2.
Organisaties die onder de Cyberbeveiligingswet vallen, moeten namelijk niet alleen kijken naar hun eigen digitale beveiliging. Ook risico’s binnen hun toeleveringsketen zijn relevant.
Stel dat jouw kleine IT-bedrijf diensten levert aan een grote organisatie die onder de Cyberbeveiligingswet valt.
Die klant kan afhankelijk zijn van jouw:
- software;
- cloudomgeving;
- gegevensverwerking;
- IT-beheer;
- netwerkdiensten;
- hosting;
- apparatuur;
- beveiliging.
Een kwetsbaarheid bij jouw onderneming kan daardoor ook een risico voor de klant vormen.
De klant kan vervolgens strengere cybersecurity-eisen opnemen in een overeenkomst, aanbesteding of leveranciersbeoordeling.
Je bedrijf valt dan misschien niet rechtstreeks onder de Cyberbeveiligingswet, maar merkt in de praktijk wel de gevolgen van NIS2.
Wat is het verschil tussen een essentiële en belangrijke entiteit?
Binnen de Cyberbeveiligingswet wordt onderscheid gemaakt tussen essentiële en belangrijke entiteiten.
Welke classificatie voor jouw organisatie geldt, hangt onder meer samen met het type organisatie, de sector en omvang.
Beide categorieën moeten aan verplichtingen uit de Cyberbeveiligingswet voldoen.
Het onderscheid is onder andere relevant voor de wijze waarop toezicht wordt gehouden.
Het is daarom niet voldoende om alleen vast te stellen dát je organisatie onder de wet valt. Je wilt ook weten hoe jouw organisatie wordt geclassificeerd.
Welke verplichtingen gelden als mijn bedrijf onder NIS2 valt?
Valt je organisatie onder de Cyberbeveiligingswet, dan krijg je met verschillende verplichtingen te maken.
Drie belangrijke onderdelen zijn:
- de zorgplicht;
- de meldplicht;
- de registratieplicht.
Daarnaast speelt de verantwoordelijkheid van het bestuur een belangrijke rol.
1. Zorgplicht
De zorgplicht betekent dat je passende en evenredige maatregelen moet treffen om risico’s voor de beveiliging van netwerk- en informatiesystemen te beheersen.
Het gaat daarbij niet simpelweg om het installeren van antivirussoftware.
Cybersecurity moet onderdeel worden van de bedrijfsvoering.
Denk bijvoorbeeld aan onderwerpen zoals:
- risicoanalyse;
- incidentenbeheer;
- bedrijfscontinuïteit;
- back-ups;
- herstel na incidenten;
- crisismanagement;
- beveiliging van leveranciers;
- toegangsbeheer;
- beveiliging bij aanschaf en ontwikkeling van systemen;
- beoordeling van de effectiviteit van beveiligingsmaatregelen;
- cyberhygiëne;
- training van medewerkers;
- cryptografie en versleuteling;
- authenticatie en veilige communicatie.
De exacte maatregelen die passend zijn, hangen af van de risico’s en situatie van je organisatie.
Begin met een risicoanalyse
Je kunt digitale beveiliging moeilijk verbeteren wanneer je niet weet wat je probeert te beschermen.
Breng daarom eerst je belangrijkste systemen, gegevens en processen in kaart.
Stel bijvoorbeeld vragen als:
Welke systemen zijn essentieel voor onze bedrijfsvoering?
Wat gebeurt er wanneer ons netwerk twee dagen uitvalt?
Welke gegevens mogen absoluut niet op straat komen te liggen?
Welke leveranciers hebben toegang tot onze systemen?
Welke medewerkers hebben toegang tot gevoelige informatie?
Hoe herstellen we onze systemen na ransomware?
Zo’n risicoanalyse vormt een belangrijke basis voor verdere beveiligingsmaatregelen.
Wanneer je voor een IT-project vooraf technische en organisatorische eisen wilt vastleggen, kan een programma van eisen daarbij eveneens helpen.
Zorg voor goede back-ups
Back-ups zijn een belangrijk onderdeel van bedrijfscontinuïteit.
Wanneer ransomware bestanden versleutelt of systemen beschadigd raken, wil je belangrijke bedrijfsinformatie kunnen herstellen.
Alleen een back-up maken is echter niet voldoende.
Je moet onder andere nadenken over:
- welke informatie wordt geback-upt;
- hoe vaak dit gebeurt;
- waar back-ups worden opgeslagen;
- wie toegang heeft;
- of back-ups voldoende zijn afgeschermd;
- hoe snel systemen kunnen worden hersteld;
- of herstelprocedures daadwerkelijk worden getest.
Op Flexondernemen lees je meer over het nut van een back-up maken voor jouw bedrijf.
Beperk toegangsrechten
Niet iedere medewerker hoeft toegang te hebben tot alle systemen en informatie.
Een medewerker van de marketingafdeling heeft bijvoorbeeld meestal geen volledige beheerdersrechten op de financiële administratie nodig.
Werk daarom volgens het principe dat medewerkers alleen toegang krijgen tot wat zij voor hun functie nodig hebben.
Denk daarnaast aan sterke authenticatie, veilige wachtwoorden en waar passend multifactorauthenticatie.
Vergeet ook niet om toegangsrechten snel in te trekken wanneer iemand uit dienst gaat of van functie verandert.
Vergeet oude gegevensdragers niet
Digitale veiligheid stopt niet zodra een laptop, harde schijf of server buiten gebruik wordt gesteld.
Op oude apparatuur kan nog gevoelige bedrijfs- of klantinformatie staan.
Simpelweg bestanden verwijderen of een apparaat weggooien kan daarom risico’s opleveren.
Lees hierover ook ons artikel over veilige datavernietiging.
Maak een incidentresponsplan
Wat doe je wanneer je morgen ontdekt dat een aanvaller toegang heeft gekregen tot je netwerk?
Dat is niet het ideale moment om voor het eerst te bedenken wie er verantwoordelijk is.
Maak daarom vooraf een incidentresponsplan.
Leg bijvoorbeeld vast:
- wie intern verantwoordelijk is;
- wie technische beslissingen neemt;
- wanneer het management wordt geïnformeerd;
- wanneer externe IT- of securityspecialisten worden ingeschakeld;
- hoe systemen worden geïsoleerd;
- hoe bewijs en logbestanden worden bewaard;
- welke klanten of andere partijen moeten worden geïnformeerd;
- wanneer een incident gemeld moet worden.
Zorg bovendien dat betrokken medewerkers weten dat het plan bestaat.
2. Meldplicht bij significante incidenten
Organisaties die onder de Cyberbeveiligingswet vallen, hebben ook een meldplicht voor significante incidenten.
Daarbij gelden korte termijnen.
Een significante gebeurtenis moet in beginsel binnen 24 uur worden gemeld. Daarna kunnen aanvullende meldmomenten en informatieverplichtingen volgen.
Dat betekent dat je organisatie incidenten snel moet kunnen:
detecteren → beoordelen → escaleren → melden.
Wanneer niemand weet wie een mogelijke cyberaanval moet beoordelen, kan kostbare tijd verloren gaan.
Het incidentresponsproces moet daarom niet alleen technisch, maar ook organisatorisch goed zijn ingericht.
3. Registratieplicht
Organisaties die onder de Cyberbeveiligingswet vallen, hebben daarnaast een registratieplicht.
Sinds de inwerkingtreding van de wet op 15 augustus 2026 moeten betrokken organisaties zich registreren in het nationale entiteitenregister.
Registratie verloopt via Mijn.NCSC.nl.
Daarbij worden onder andere basisgegevens over de organisatie, sector, contactgegevens en relevante dienstverlening geregistreerd.
Bestuurders krijgen nadrukkelijk een rol
Cybersecurity is door NIS2 niet meer uitsluitend iets van “de IT-afdeling”.
Het bestuur en management van een organisatie moeten betrokken zijn bij het beheersen van digitale risico’s.
Dat is een belangrijke verandering in de manier waarop organisaties naar cyberveiligheid moeten kijken.
Een directie kan dus niet simpelweg zeggen:
“Onze IT-leverancier regelt de beveiliging.”
Je kunt technische werkzaamheden uitbesteden, maar cybersecurity moet ook onderdeel zijn van risicomanagement, beleid en besluitvorming binnen de organisatie.
Ben je NIS2-compliant als je ISO 27001 hebt?
Niet automatisch.
Een informatiebeveiligingsnorm zoals ISO 27001 kan een organisatie wel helpen om informatiebeveiliging gestructureerd te organiseren.
Maar het hebben van een certificering betekent niet automatisch dat aan iedere verplichting uit de Cyberbeveiligingswet wordt voldaan.
Andersom betekent NIS2-compliance ook niet automatisch dat je ISO 27001-gecertificeerd moet zijn.
Bekijk dus altijd afzonderlijk welke wettelijke verplichtingen voor jouw organisatie gelden.
Is NIS2 hetzelfde als de AVG?
Nee.
De AVG en NIS2/Cyberbeveiligingswet hebben raakvlakken, maar hebben een ander doel.
De AVG draait om de bescherming van persoonsgegevens.
De Cyberbeveiligingswet richt zich breder op de beveiliging van netwerk- en informatiesystemen en de continuïteit en weerbaarheid van organisaties.
Eén cyberincident kan overigens met beide regimes te maken hebben.
Wanneer een aanvaller bijvoorbeeld een bedrijfsnetwerk binnendringt en daarbij persoonsgegevens buitmaakt, kan sprake zijn van zowel een beveiligingsincident als een datalek.
Je moet dan afzonderlijk beoordelen welke wettelijke meldverplichtingen van toepassing zijn.
Geldt NIS2 ook voor leveranciers?
Hier moet je onderscheid maken tussen rechtstreekse wettelijke verplichtingen en contractuele eisen vanuit een klant.
Een leverancier kan door zijn eigen activiteiten en omvang rechtstreeks onder de Cyberbeveiligingswet vallen.
Maar ook wanneer dat niet zo is, kan een NIS2-plichtige opdrachtgever eisen stellen aan de cybersecurity van leveranciers.
Dat komt doordat beveiliging van de toeleveringsketen onderdeel is van het risicobeheer.
Lever je bijvoorbeeld IT-diensten aan grotere bedrijven? Dan kun je daarom vragen verwachten over onderwerpen als:
- informatiebeveiligingsbeleid;
- toegangsbeheer;
- incidentmanagement;
- back-ups;
- kwetsbaarheden;
- continuïteitsplannen;
- onderaannemers;
- encryptie;
- beveiligingsupdates;
- meldprocedures.
Voor kleinere ondernemingen kan dit uiteindelijk een van de meest merkbare gevolgen van NIS2 zijn.
Hoe weet ik zeker of mijn bedrijf onder NIS2 valt?
Omdat de precieze toepasselijkheid afhankelijk is van verschillende criteria, kun je beter niet alleen afgaan op een algemeen artikel of een eenvoudige checklist.
De Rijksinspectie Digitale Infrastructuur (RDI) heeft hiervoor een officiële NIS2-Zelfevaluatie beschikbaar.
Daarmee kun je beoordelen of je organisatie waarschijnlijk onder de Cyberbeveiligingswet valt en of je organisatie als belangrijk of essentieel wordt aangemerkt.
Let wel: zo’n zelfevaluatie is een hulpmiddel. Bij ingewikkelde bedrijfsstructuren, meerdere activiteiten of twijfel over de juridische kwalificatie kan aanvullend juridisch of gespecialiseerd advies verstandig zijn.
NIS2-checklist voor bedrijven
Wil je snel beoordelen of je hier verder mee aan de slag moet? Loop dan in ieder geval deze punten na:
- Bepaal in welke sector je bedrijf actief is.
Kijk niet alleen naar je KvK-omschrijving, maar vooral naar de diensten die je daadwerkelijk levert. - Controleer de omvang van je onderneming.
Bekijk het aantal medewerkers, de omzet en het balanstotaal en controleer hoe de omvangscriteria in jouw situatie moeten worden toegepast. - Controleer uitzonderingen.
Ga er niet automatisch vanuit dat een kleine onderneming buiten de wet valt. - Doe de officiële zelfevaluatie.
Gebruik de hulpmiddelen van de RDI om een eerste beoordeling te maken. - Breng je belangrijkste IT-systemen in kaart.
Welke systemen zijn essentieel om je bedrijf draaiende te houden? - Voer een cyberrisicoanalyse uit.
Onderzoek mogelijke dreigingen, kwetsbaarheden en gevolgen. - Controleer je leveranciers.
Kijk welke externe partijen toegang hebben tot belangrijke systemen of gegevens. - Controleer back-ups en herstelprocedures.
Een back-up die nooit is getest, geeft minder zekerheid dan je misschien denkt. - Maak een incidentresponsplan.
Leg vast wie wat doet wanneer zich een cyberincident voordoet. - Betrek directie en management.
Digitale veiligheid moet onderdeel zijn van de bedrijfsvoering en niet alleen van IT. - Controleer de registratieplicht.
Valt je organisatie onder de Cyberbeveiligingswet, zorg dan dat de verplichte registratie correct is geregeld. - Leg maatregelen vast.
Zorg dat je niet alleen maatregelen neemt, maar ook kunt aantonen hoe je cyberrisico’s beheerst.
Wat als mijn bedrijf niet onder NIS2 valt?
Ook dan is het onverstandig om NIS2 volledig te negeren.
Veel maatregelen die van organisaties worden verwacht, zijn namelijk gewoon verstandige bedrijfsvoering.
Denk aan:
- regelmatig back-ups maken;
- software tijdig bijwerken;
- multifactorauthenticatie gebruiken;
- medewerkers bewust maken van phishing;
- toegangsrechten beperken;
- een incidentprocedure hebben;
- leveranciers beoordelen;
- belangrijke gegevens versleutelen;
- systemen en gegevens kunnen herstellen.
Een cyberaanvaller maakt immers geen onderscheid tussen een bedrijf dat wettelijk onder NIS2 valt en een onderneming waarvoor dat niet geldt.
Daarnaast kunnen klanten, verzekeraars, aanbestedende diensten en ketenpartners steeds hogere eisen aan digitale veiligheid stellen.
Veelgestelde vragen over NIS2
Nee. Niet iedere onderneming valt rechtstreeks onder de Cyberbeveiligingswet. Sector, activiteiten, omvang en eventuele uitzonderingen bepalen of de wet van toepassing is.
Ja, een deel van het mkb kan rechtstreeks onder de Cyberbeveiligingswet vallen. Daarnaast kunnen kleinere bedrijven indirect met NIS2-eisen te maken krijgen als leverancier van organisaties die wel onder de wet vallen.
Een bedrijf met minder dan 50 medewerkers valt niet automatisch buiten de Cyberbeveiligingswet. Er bestaan situaties waarin andere criteria of uitzonderingen relevant zijn. Controleer daarom altijd de toepasselijke regels voor jouw organisatie.
Ja. De Nederlandse Cyberbeveiligingswet is op 15 augustus 2026 in werking getreden.
Begin met het vaststellen van de toepasselijke verplichtingen, registreer je organisatie wanneer dat vereist is, voer een risicoanalyse uit en controleer of je technische, organisatorische en operationele beveiligingsmaatregelen voldoen. Zorg daarnaast dat incidentmelding, bedrijfscontinuïteit, leveranciersrisico’s en bestuurlijke verantwoordelijkheid goed zijn georganiseerd.
Als je organisatie onder de registratieplicht van de Cyberbeveiligingswet valt, moet je je organisatie registreren in het nationale entiteitenregister via Mijn.NCSC.nl.
Gebruik daarvoor in eerste instantie de officiële NIS2-Zelfevaluatie van de Rijksinspectie Digitale Infrastructuur. Die is specifiek ontwikkeld om organisaties te helpen bepalen of zij onder de Cyberbeveiligingswet vallen.
NIS2 is meer dan alleen een IT-vraagstuk
De vraag “Moet mijn bedrijf voldoen aan NIS2?” begint bij je sector, activiteiten en bedrijfsomvang, maar eindigt daar niet.
Val je onder de Cyberbeveiligingswet, dan gaat het uiteindelijk om de manier waarop je organisatie digitale risico’s beheerst. Van bestuur en medewerkers tot IT-systemen, leveranciers, back-ups en incidentprocedures: cybersecurity wordt daarmee een onderdeel van de normale bedrijfsvoering.
En ook als je onderneming niet rechtstreeks onder de wet valt, kan NIS2 invloed hebben. Vooral bedrijven die diensten leveren aan grotere of essentiële organisaties kunnen merken dat opdrachtgevers hogere eisen stellen aan digitale veiligheid.
Controleer daarom eerst of de Cyberbeveiligingswet voor jouw organisatie geldt. Weet je dat eenmaal, dan kun je veel gerichter bepalen welke maatregelen nodig zijn.
Officiële bronnen:
NIS2/Cyberbeveiligingswet – Rijksinspectie Digitale Infrastructuur
Cyberbeveiligingswet – NCTV
