NIS2 en de Cyber­be­vei­li­gingswet voor het mkb

NIS2 is een term die je steeds vaker hoort, soms met een waarschuwende ondertoon: “Bent u er al klaar voor?” Voor de meeste kleine ondernemers is het eerlijke antwoord: de wet geldt waarschijnlijk niet rechtstreeks voor jou. Maar er is een goede kans dat je er toch mee te maken krijgt.

In dit artikel lees je wat NIS2 is, voor wie het geldt, hoe het via klanten bij kleine bedrijven terechtkomt en waar je verstandig mee begint. Het is praktische uitleg, geen juridisch advies.

Wat is NIS2?

NIS2 is een Europese richtlijn over de digitale weerbaarheid van organisaties die belangrijk zijn voor de samenleving en de economie. Het is de opvolger van een eerdere richtlijn (NIS), maar geldt voor veel meer sectoren en organisaties.

Nederland heeft NIS2 omgezet in eigen wetgeving: de Cyberbeveiligingswet (Cbw). Die geldt sinds 15 augustus 2026. De Europese deadline voor de omzetting lag in oktober 2024; Nederland was later. Organisaties die onder de wet vallen, moeten zich registreren bij het Nationaal Cyber Security Centrum (NCSC).

Wat vraagt de wet?

Organisaties die eronder vallen, krijgen drie soorten verplichtingen:

1. Zorgplicht: risico’s in kaart brengen en passende maatregelen nemen. De richtlijn noemt onder meer beleid voor risicoanalyse, incidentafhandeling, bedrijfscontinuïteit en back-ups, beveiliging van de toeleveringsketen, tweestapsverificatie, versleuteling, toegangsbeheer en bewustwording.
2. Meldplicht: ernstige incidenten snel melden, met een eerste waarschuwing binnen 24 uur.
3. Bestuurdersverantwoordelijkheid: het bestuur moet de maatregelen goedkeuren, erop toezien en zich laten scholen.

Er is toezicht, per sector door een aangewezen toezichthouder, met de mogelijkheid van boetes.

Voor wie geldt het?

De wet kijkt naar twee dingen: je sector en je omvang.

Sectoren zijn onder meer energie, vervoer, bankwezen, zorg, drinkwater en afvalwater, digitale infrastructuur, beheer van ICT-diensten voor andere organisaties, overheid, post- en koeriersdiensten, afvalbeheer, chemie, levensmiddelen, bepaalde maakindustrie en digitale aanbieders zoals online marktplaatsen en zoekmachines.

Omvang: in principe vallen alleen middelgrote en grote organisaties eronder. Middelgroot is grofweg vanaf vijftig medewerkers, of een jaaromzet én balanstotaal boven de tien miljoen euro. Voor een paar soorten diensten, zoals bepaalde DNS- en vertrouwensdiensten, geldt de wet ongeacht de omvang.

Twijfel je? De overheid biedt een online zelfevaluatie waarmee je in een paar vragen ziet of je waarschijnlijk onder de wet valt.

Waarom kleine bedrijven er toch mee te maken krijgen

Hier zit voor het mkb de echte impact. Organisaties die onder NIS2 vallen, moeten ook de risico’s in hun toeleveringsketen beheersen. Dat betekent dat ze eisen gaan stellen aan hun leveranciers. Ben je installateur voor een zorginstelling, IT-leverancier voor een vervoerder of onderaannemer in de voedingsmiddelenindustrie, dan kun je in contracten of vragenlijsten dingen tegenkomen als:

• gebruik je tweestapsverificatie op alle accounts?
• hoe maak je back-ups, en test je het terugzetten?
• hoe snel meld je een beveiligingsincident aan ons?
• wie heeft toegang tot onze gegevens, en hoe wordt dat ingetrokken?

Wie die vragen goed kan beantwoorden, blijft een aantrekkelijke leverancier.

Waar je nu al mee begint

Of je nu onder de wet valt of niet, deze maatregelen zijn de basis van wat NIS2 vraagt, en ze beschermen je sowieso:

1. Tweestapsverificatie op mail, Microsoft 365 en alle toegang van buitenaf. Zie MFA en Conditional Access voor het mkb.
2. Updates op alle apparaten en systemen, en een overzicht van welke apparaten er zijn.
3. Back-ups die los staan van je netwerk en die je regelmatig terugzet. Zie back-up van Microsoft 365.
4. Toegangsbeheer: iedereen heeft alleen toegang tot wat hij nodig heeft, en bij vertrek wordt alles ingetrokken. Zie IT-checklist bij in- en uitdiensttreding.
5. Een incidentplan: wie doet wat bij een aanval, en wie meld je wat. Zie ransomware: wat doe je dan.
6. Bewustwording: korte, regelmatige training over phishing.
7. Leveranciers: weet welke partijen toegang hebben tot je systemen en gegevens, ook je IT-partij. Zie ICT-beheer uitbesteden: waar let je op.

Leg vast wat je doet. Bij een vraag van een klant of een toezichthouder is “we hebben het geregeld” minder waard dan een document waarin staat wat, hoe en sinds wanneer.

Hoe SEBA Connect hierbij helpt

Bij de moderne werkplek en Microsoft 365-beheer regelen we een groot deel van de technische basis: tweestapsverificatie, apparaatbeheer, updates, Microsoft Defender en toegangsbeheer, met maandelijkse rapportage in het klantportal. Die rapportage helpt als een klant vraagt hoe je beveiliging is geregeld. Of je onder de wet valt en wat je juridisch moet doen, bepaal je met de zelfevaluatie of een adviseur. Stel je vraag.