De NIS2-richtlijn is een nieuwe Europese wet die oorspronkelijk vanaf oktober 2024 van kracht zou worden, maar is uitgesteld tot het derde kwartaal van 2025. Deze richtlijn verplicht organisaties in essentiële én belangrijke sectoren om hun digitale weerbaarheid structureel te verbeteren. De impact is groot — ook voor bedrijven in het midden- en kleinbedrijf.
De Cyberbeveiligingswet, officieel bekend als de Network and Information Security Directive (NIS2-richtlijn), is Europese wetgeving die is opgesteld om de digitale weerbaarheid binnen de EU te versterken. Het doel van deze richtlijn is om de cyberbeveiliging van essentiële en belangrijke diensten in Europa structureel te verbeteren.
NIS2 is een uitbreiding op de eerdere NIS-richtlijn en stelt strengere eisen aan een breder scala aan organisaties. Niet alleen overheden en grote infrastructuurbeheerders vallen eronder, maar ook bedrijven in sectoren zoals energie, gezondheidszorg, bouw, transport, digitale infrastructuur en andere essentiële diensten. Deze organisaties worden verplicht om passende technische en organisatorische maatregelen te nemen om hun systemen en gegevens te beschermen tegen cyberdreigingen.
U valt mogelijk onder NIS2 als uw organisatie:
Let op: ook als kleinere organisatie kunt u onder NIS2 vallen, bijvoorbeeld als u toeleverancier bent van een grotere partij.
Uw organisatie moet periodiek onderzoeken waar kwetsbaarheden zitten en controleren of de beveiliging nog voldoet aan de laatste eisen.
Ernstige incidenten moeten binnen 24 uur worden gemeld bij het Nationaal Cyber Security Centrum (NCSC) of de toezichthouder.
NIS2 vereist dat uw IT-omgeving technisch goed is beveiligd. Dit gaat verder dan alleen een antivirusprogramma. Denk aan maatregelen die aanvallen voorkomen, detecteren én beperken. Bijvoorbeeld:
Cybersecurity is niet alleen een IT-kwestie. Ook processen, beleid en gedrag van medewerkers spelen een cruciale rol. Deze maatregelen zorgen voor structuur, verantwoordelijkheid en bewustwording binnen uw organisatie. Bijvoorbeeld:
Onder NIS2 bent u mede verantwoordelijk voor de digitale veiligheid van uw toeleveranciers. Zorg daarom voor duidelijke afspraken en toets hun beveiligingsniveau regelmatig.
Start met een eenvoudige risico-inventarisatie. Breng in kaart welke systemen u gebruikt, welke data gevoelig is en welke processen kritisch zijn. Gebruik bestaande formats zoals de gratis Cybersecurity Checklist voor het MKB om overzicht te krijgen en begin met een interne audit – bijvoorbeeld elk kwartaal.
Ook zonder meldplicht is het verstandig om intern een procedure op te stellen voor het signaleren, registreren en opvolgen van incidenten. Wijs een verantwoordelijke aan en oefen het proces met een gesimuleerde aanval of phishingmailcampagne. Zo weet iedereen wat te doen bij een echt incident.
Controleer of uw organisatie minimaal voldoet aan de basishygiëne op het gebied van IT-beveiliging. Denk aan:
Werk samen met uw cybersecurity-partner om te controleren of deze maatregelen correct zijn geïmplementeerd.
Veel incidenten beginnen bij menselijk handelen. Organiseer daarom minimaal één keer per jaar een bewustwordingssessie met uw team over cybersecurity. Stel een intern informatiebeveiligingsbeleid op (desnoods één A4) waarin staat wie waarvoor verantwoordelijk is. Begin klein, maar documenteer alles.
Hoewel NIS2 pas in Q3 2025 formeel van kracht wordt, is nú het moment om te beginnen. De implementatie kost tijd – zeker voor kleinere bedrijven met beperkte capaciteit. Door vandaag al te starten met overzicht, prioritering en actie, voorkomt u haastwerk en verhoogt u direct de weerbaarheid van uw organisatie.