Laatst bijgewerkt: 16 juni 2026.
NIS2 is een Europese richtlijn voor cyberveiligheid. In Nederland wordt NIS2 uitgewerkt in de Cyberbeveiligingswet. Veel bedrijven horen de naam NIS2, maar weten niet goed wat het betekent.
Deze blog legt het uit in gewone taal. Voor kleine bedrijven, middelgrote bedrijven, grote organisaties en leveranciers.
Let op: dit artikel is algemene informatie en geen juridisch advies. Controleer altijd of jouw organisatie onder de Cyberbeveiligingswet valt.
Wat is NIS2?
NIS2 staat voor Network and Information Security 2. Het doel is dat belangrijke organisaties in Europa beter beschermd zijn tegen cyberaanvallen en digitale verstoringen.
De gedachte is logisch. Als een ziekenhuis, energieleverancier, transportbedrijf, cloudbedrijf of betaaldienst uitvalt, raakt dat niet alleen één bedrijf. Het kan ook klanten, burgers, leveranciers en de samenleving raken.
Wat is de Cyberbeveiligingswet?
De Cyberbeveiligingswet is de Nederlandse wet die NIS2 moet uitvoeren. De wet vervangt de oude Wet beveiliging netwerk- en informatiesystemen.
Op het moment van schrijven is de wetgeving in Nederland nog afhankelijk van parlementaire afronding en inwerkingtreding. De overheid adviseert organisaties wel om zich alvast voor te bereiden.
Voor wie is NIS2 belangrijk?
NIS2 is vooral belangrijk voor organisaties in essentiële en belangrijke sectoren. Of je organisatie eronder valt, hangt af van sector, grootte en soort dienst.
Voorbeelden van sectoren die geraakt kunnen worden:
- zorg;
- energie;
- transport;
- drinkwater en afvalwater;
- digitale infrastructuur;
- cloud en datacenters;
- ICT-dienstverlening;
- financiële diensten;
- overheid;
- voedsel;
- post en koeriersdiensten;
- bepaalde productiebedrijven.
Sommige organisaties kunnen ook onder de regels vallen door hun soort dienst, ook als ze kleiner zijn. Daarom is het belangrijk om niet alleen naar het aantal medewerkers te kijken.
Essentiële en belangrijke entiteiten
Onder NIS2 wordt vaak gesproken over twee groepen: essentiële entiteiten en belangrijke entiteiten.
Essentiële entiteiten zijn organisaties waarvan uitval grote gevolgen kan hebben. Zij krijgen meestal strenger toezicht.
Belangrijke entiteiten zijn ook belangrijk voor economie en samenleving, maar vallen vaak onder een andere vorm van toezicht.
Voor bedrijven is de belangrijkste les: controleer je sector en je diensten. Ga niet alleen af op de vraag of je groot of klein bent.
De drie belangrijkste verplichtingen
1. Zorgplicht
De zorgplicht betekent dat een organisatie passende maatregelen moet nemen om cyberrisico's te verkleinen. Passend betekent: maatregelen die logisch zijn voor de grootte, risico's en activiteiten van de organisatie.
Voorbeelden van maatregelen zijn:
- een risicoanalyse maken;
- beleid voor informatiebeveiliging opstellen;
- incidenten kunnen herkennen en opvolgen;
- back-ups en herstel goed regelen;
- leveranciers en ketenrisico's beoordelen;
- toegang tot systemen beperken;
- medewerkers trainen;
- basismaatregelen nemen tegen phishing, ransomware en datalekken.
De zorgplicht is geen eenmalige taak. Cyberveiligheid moet regelmatig worden bekeken en verbeterd.
2. Meldplicht
De meldplicht betekent dat ernstige cyberincidenten gemeld moeten worden bij de juiste instanties. Denk aan incidenten die grote gevolgen kunnen hebben voor dienstverlening, klanten, gegevens of continuïteit.
Daarom is een incidentplan belangrijk. Je moet snel weten wat er is gebeurd, welke systemen geraakt zijn, welke gegevens mogelijk geraakt zijn en wie binnen de organisatie beslist.
3. Registratieplicht
Organisaties die onder de Cyberbeveiligingswet vallen, moeten zich registreren. De registratie helpt de overheid en toezichthouders om te weten welke organisaties onder de wet vallen en wie benaderd moet worden bij dreigingen of incidenten.
Wat betekent NIS2 voor kleine bedrijven?
Veel kleine bedrijven vallen niet direct onder NIS2. Toch kan NIS2 wel invloed hebben. Bijvoorbeeld als je werkt voor een ziekenhuis, gemeente, productiebedrijf, cloudbedrijf of andere grotere klant.
Die klant kan vragen om bewijs dat jij veilig werkt. Bijvoorbeeld:
- hebben jullie tweestapsverificatie?
- zijn back-ups geregeld?
- is duidelijk wie toegang heeft tot klantgegevens?
- worden medewerkers getraind op phishing?
- hebben jullie een incidentprocedure?
- zijn laptops en software up-to-date?
Voor kleine bedrijven is NIS2 dus vaak geen directe wetsplicht, maar wel een zakelijke verwachting.
Wat betekent NIS2 voor middelgrote bedrijven?
Middelgrote bedrijven moeten extra goed controleren of zij onder de wet vallen. Dat geldt vooral als zij actief zijn in een sector die in de Cyberbeveiligingswet wordt genoemd.
Ook als je niet direct onder de wet valt, kan je rol als leverancier belangrijk zijn. Een middelgroot IT-bedrijf, administratiebedrijf, softwareleverancier of logistieke partner kan veel invloed hebben op de veiligheid van klanten.
Praktische stappen voor middelgrote bedrijven:
- wijs een verantwoordelijke aan voor cyberveiligheid;
- maak een overzicht van kritieke systemen;
- maak een overzicht van leveranciers;
- controleer toegang en beheeraccounts;
- maak een incidentplan;
- train medewerkers minimaal jaarlijks;
- leg maatregelen vast zodat je bewijs hebt.
Wat betekent NIS2 voor grote organisaties?
Grote organisaties moeten cyberveiligheid op bestuursniveau regelen. Dat betekent dat directie en management moeten begrijpen welke risico's er zijn en welke maatregelen nodig zijn.
Voor grote organisaties gaat het vaak om:
- bestuurlijke verantwoordelijkheid;
- rapportages over cyberrisico's;
- leveranciersbeheer;
- audits en controles;
- crisismanagement;
- oefeningen met incidenten;
- duidelijke rollen en besluitvorming;
- bewijs dat maatregelen werken.
Waarom NIS2 ook over mensen gaat
Veel cyberincidenten beginnen met menselijk gedrag. Iemand klikt op een link, gebruikt een zwak wachtwoord, deelt een bestand verkeerd of keurt een valse factuur goed.
Daarom is training belangrijk. Niet om medewerkers bang te maken, maar om ze praktische signalen te leren herkennen. Denk aan phishing, valse facturen, verdachte QR-codes, nepwebshops en vreemde inlogmeldingen.
Wat kun je nu al doen?
Je hoeft niet te wachten tot alles definitief is. Deze stappen helpen nu al:
- Controleer of jouw organisatie mogelijk onder NIS2 of de Cyberbeveiligingswet valt.
- Maak een lijst van belangrijke systemen en gegevens.
- Zet tweestapsverificatie aan op alle belangrijke accounts.
- Bescherm beheeraccounts extra goed.
- Maak back-ups en test herstel.
- Maak een korte procedure voor cyberincidenten.
- Train medewerkers op phishing en veilig werken.
- Controleer belangrijke leveranciers.
- Leg maatregelen vast, zodat je bewijs hebt.
- Herhaal deze controle regelmatig.
Veelgestelde vragen over NIS2
Geldt NIS2 automatisch voor elk MKB-bedrijf?
Nee. Dat hangt af van sector, grootte en dienst. Maar MKB-bedrijven kunnen wel indirect geraakt worden via klanten, leveranciersketens of aanbestedingen.
Is NIS2 alleen een IT-probleem?
Nee. IT is belangrijk, maar NIS2 gaat ook over bestuur, processen, leveranciers, medewerkers, continuïteit en incidenten.
Moet ik nu al iets doen?
Ja, voorbereiden is verstandig. De basismaatregelen helpen ook als je uiteindelijk niet direct onder de wet valt.
Wat is een goede eerste stap?
Maak een simpel overzicht: systemen, gegevens, toegang, leveranciers, back-ups en incidentcontacten. Daarna zie je sneller waar de grootste risico's zitten.
Conclusie
NIS2 en de Cyberbeveiligingswet maken cyberveiligheid serieuzer en zichtbaarder. Organisaties moeten weten welke risico's zij hebben en wat zij doen om die risico's te beperken.
Voor sommige bedrijven wordt dit een directe verplichting. Voor andere bedrijven wordt het vooral een eis vanuit klanten en leveranciers. In beide gevallen is voorbereiding verstandig.
Wil je weten of jouw organisatie de basis op orde heeft? IdenScan helpt met praktische controles, duidelijke uitleg en bewustwording voor teams.