NIS2: voor wie geldt het en wat moet je regelen?

5 november 2026

Steeds meer ondernemers horen de term NIS2. Een klant vraagt ernaar, of de accountant noemt het. Maar geldt het ook voor jou? En wat moet je dan doen? Hieronder lees je het in gewone taal.

Wat is NIS2?

NIS2 is een Europese richtlijn over cyberbeveiliging. Het doel is dat belangrijke bedrijven en organisaties beter beschermd zijn tegen hackers, storingen en datalekken. Elk EU-land zet de richtlijn om in een eigen wet.

In Nederland heet die wet de Cyberbeveiligingswet, kort Cbw. Kijk op de websites van de overheid voor de laatste stand, want de details en de toezichthouders kunnen per sector verschillen.

Voor wie geldt NIS2?

NIS2 geldt niet voor elk bedrijf. Twee dingen bepalen het: in welke sector je werkt en hoe groot je bent.

Val je onder de regels, dan word je ingedeeld als essentiële of als belangrijke entiteit. Voor essentiële entiteiten is het toezicht strenger.

Geldt het ook als je klein bent?

Meestal niet direct. Toch kan NIS2 je raken. Grote klanten moeten namelijk ook letten op de veiligheid van hun leveranciers. Lever je software, IT-diensten of onderdelen aan een bedrijf dat onder NIS2 valt? Dan kan die klant eisen stellen aan jouw beveiliging.

Daarom is het voor bijna elk bedrijf slim om de basis op orde te hebben, ook als de wet niet voor je geldt.

Wat vraagt NIS2 van bedrijven?

De regels gaan over vier hoofdzaken:

• Zorgplicht: je neemt passende maatregelen om je systemen en gegevens te beschermen.
• Meldplicht: een ernstig incident meld je snel bij de toezichthouder. De richtlijn noemt een eerste waarschuwing binnen 24 uur en een melding binnen 72 uur.
• Registratieplicht: je meldt je aan als organisatie die onder de wet valt.
• Rol van het bestuur: de directie is verantwoordelijk en moet zelf kennis hebben van de risico's.

NIS2 checklist: waar begin je?

Deze stappen helpen om overzicht te krijgen. Ze zijn ook nuttig als NIS2 niet voor je geldt.

1. Check of je eronder valt. Kijk naar je sector en je omvang. De overheid heeft hier een online zelftest voor.
2. Breng je systemen in kaart. Welke computers, servers, cloudpakketten en leveranciers heb je?
3. Bepaal de risico's. Wat gebeurt er als een systeem uitvalt of gegevens uitlekken?
4. Regel de basis. Denk aan updates, back-ups, inloggen in twee stappen en een goede firewall.
5. Maak een plan voor incidenten. Wie doet wat als het misgaat, en wie meldt het?
6. Train je medewerkers. Veel aanvallen beginnen met een nepmail.
7. Kijk naar leveranciers. Weet je hoe veilig je IT-partner en cloudleveranciers werken?
8. Leg het vast. Schrijf op welke maatregelen je neemt en waarom.

Hoe kan een ICT-bedrijf helpen?

Veel ICT-bedrijven helpen met de technische kant van NIS2. Ze maken een overzicht van je systemen, zetten IT beveiliging goed op en regelen back-ups en updates. Sommige bureaus doen ook een risicoanalyse of een pentest.

Vraag wel na welke ervaring een bedrijf heeft met NIS2. Niet elk ICT-bedrijf doet ook het juridische of organisatorische deel. Daar is soms een gespecialiseerd adviesbureau voor nodig.

Heb je je IT al uitbesteed? Bespreek NIS2 dan met je vaste partner voor IT beheer. Die kent je systemen al en weet waar de zwakke plekken zitten.

Wat als je niets doet?

Val je onder de wet en neem je geen maatregelen? Dan kan de toezichthouder een aanwijzing of boete geven. Belangrijker nog: zonder goede beveiliging loop je meer kans op een aanval. Een dag zonder systemen kost vaak meer dan de maatregelen zelf.

Veelgestelde vragen over NIS2

Moet ik een certificaat halen? NIS2 vraagt niet om één vast certificaat. Een norm zoals ISO 27001 kan wel helpen om aan te tonen dat je beveiliging goed geregeld is.

Is het alleen een IT-zaak? Nee. Het gaat ook om afspraken, verantwoordelijkheid van de directie en training van medewerkers.

Vind een ICT-bedrijf bij jou in de buurt

Wil je weten waar je staat met NIS2 en je beveiliging? Op de homepage zie je welke ICT-bedrijven bij jou in de buurt zitten. Vraag gratis en vrijblijvend een paar offertes aan en vergelijk wat ze bieden.