Sinds 15 augustus 2026 geldt in Nederland de Cyberbeveiligingswet (Cbw), de Nederlandse uitwerking van de Europese NIS2-wetgeving. Wie onder de wet valt, moet zich nu registreren, zijn beveiliging op orde hebben en incidenten binnen 24 uur melden. Toch weten veel ondernemers nog steeds niet of NIS2 voor hun bedrijf geldt. Voor NIS2 in het mkb draait het om twee vragen: in welke sector werk je, en hoe groot is je bedrijf? Hieronder hebben we een korte NIS2-checklist neergezet die je helpt vragen te beantwoorden en laat zien welke tien onderdelen je moet kunnen afvinken. Val je er zelf niet onder, lees dan toch door. Grote klanten die wel onder de wet vallen, stellen dezelfde eisen steeds vaker aan hun leveranciers.
Je bedrijf valt onder NIS2 als het actief is in een van de sectoren uit de richtlijn én minimaal middelgroot is: 50 medewerkers of meer, of een jaaromzet én balanstotaal van meer dan €10 miljoen. Voor een paar diensten, zoals DNS-diensten en waterschappen, geldt de wet ongeacht de grootte.
Volgens het NCSC gaat het in Nederland om ongeveer 8.000 organisaties. Of jij erbij hoort, moet je zelf vaststellen. De overheid controleert dat niet vooraf voor je. Op de pagina van de NCTV over welke organisaties onder de Cyberbeveiligingswet vallen kun je het nagaan.
Kom je tot de conclusie dat je eronder valt? Dan is de eerste verplichting simpel: registreer je bedrijf. Dat doe je in het entiteitenregister via MijnNCSC, met eHerkenning.
En dan is er de route die veel mkb-bedrijven onderschatten. Lever je IT-diensten, software of onderdelen aan een ziekenhuis, een energiebedrijf of een transportbedrijf, dan moet die klant de beveiliging van zijn leveranciers beoordelen. Dat is geen wettelijke plicht voor jou, maar het komt wel bij jou terecht: als vragenlijst, als contracteis of als voorwaarde bij de volgende aanbesteding. Wees hier dus op voorbereid.
De richtlijn noemt 18 sectoren, verdeeld over twee bijlagen.
Zeer kritieke sectoren (bijlage I):
Andere kritieke sectoren (bijlage II):
Die tweede lijst verrast ondernemers vaak. Een machinebouwer met 80 medewerkers of een voedselproducent met 60 man personeel denkt al snel dat NIS2 iets is voor energiebedrijven en ziekenhuizen. Maar ook zij kunnen eronder vallen.
Voor NIS2 in het mkb is grootte vaak de doorslaggevende factor. Bedrijven met minder dan 50 medewerkers en maximaal €10 miljoen omzet of balanstotaal, vallen er in de regel buiten. Behalve als je als mkb opereert in een van de bovenstaande sectoren.
Daarboven maakt de wet onderscheid tussen twee soorten organisaties:
Dat onderscheid heeft gevolgen. Bij een essentiële entiteit kan de toezichthouder op eigen initiatief langskomen, ook als er niets aan de hand is. Een belangrijke entiteit krijgt toezicht achteraf, bijvoorbeeld na een incident of een klacht. De verplichtingen zelf zijn grotendeels gelijk. De boetes niet, daarover verderop meer.
Deze NIS2-checklist volgt de vier kernverplichtingen uit de wet: je registreert je bedrijf bij het NCSC, je voert een risicoanalyse uit en neemt passende maatregelen (de zorgplicht). Je meldt significante incidenten binnen 24 uur, met vervolgens meer info na 72 uur en een eindrapport na een maand (de meldplicht). En de directie keurt de maatregelen goed, houdt toezicht en volgt zelf een training.
Let wel, als je de onderstaande checklist volgt ben je niet automatisch NIS2 gereed. Je kunt het gebruiken als leidraad om met je bedrijf de juiste stappen te zetten en uiteindelijk te voldoen aan de NIS2. We hebben de 10 zorgmaatregelen geprobeerd zo eenvoudig en compact mogelijk op te schrijven.
Alles begint met een risicoanalyse. Het NCSC formuleert het zo: je voert een risicoanalyse uit en neemt op basis daarvan "passende en evenredige maatregelen" voor de beveiliging van je netwerk- en informatiesystemen.
Passend en evenredig. Dat betekent dat een loodgietersbedrijf met 55 medewerkers niet hetzelfde hoeft te doen als een ziekenhuis. Maar het betekent wel dat je moet kunnen uitleggen waarom je iets wel of niet doet. Bekijk nu alvast de risico's van je domein met de gratis cybersecurity scan.
Begin met de vraag: welke systemen en gegevens heb je nodig om te kunnen werken? Denk aan je ERP, de mailomgeving, de planning, de klantgegevens. Wat gebeurt er als dat systeem een week plat ligt? En als de data op straat komt te liggen? Die antwoorden bepalen waar je maatregelen het hardst nodig zijn. Back-ups die je ook echt hebt teruggezet horen daarbij, net als een plan om na een storing weer op te starten.
Het is dinsdagochtend, 07:40 uur. Een medewerker belt: niemand kan inloggen en op de fileserver staan alleen nog versleutelde bestanden. Wie neemt nu de beslissingen? Wie haalt systemen van het netwerk? Wie belt de klanten en wie meldt het incident bij de toezichthouder?
Als je die antwoorden op het moment zelf nog moet bedenken ben je te laat. Een incident response plan legt ze van tevoren vast: de rollen, de eerste stappen (isoleren, onderzoeken, herstellen), de contactgegevens van je IT-partner en verzekeraar, en wie de meldplicht uitvoert. Zonder plan moet je heel snel gaan schakelen om de meldplicht van 24 uur te halen.
Een plan dat in een map staat is een begin. Een plan dat je één keer hebt geoefend is nog beter. Belangrijk is dus om je organisatie niet alleen voor te bereiden op een incident, maar ook te laten oefenen.
De meldplicht voor cybersecurity-incidenten kent drie momenten:
Het melden van een incident kan bij CSIRT (het Computer Security Incident Response Team voor jouw sector) en bij het centrale meldpunt NCSC. Een incident is significant als het je dienstverlening ernstig verstoort, tot flinke financiële schade leidt of anderen raakt.
De klok begint te lopen bij de ontdekking. En daar zit het echte probleem voor veel mkb-bedrijven. Een verdachte inlog op vrijdagavond die pas maandagochtend wordt gezien, is maandagochtend al 60 uur oud.
De meeste inbraken beginnen met een gestolen wachtwoord. Multifactorauthenticatie (MFA), waarbij je naast je wachtwoord ook een code of melding op je telefoon nodig hebt, maakt een gestolen wachtwoord minder effectief. Zet het als eerste aan op e-mail, toegang op afstand (VPN, remote desktop) en alle beheerdersaccounts, maar zorg uiteindelijk dat elke applicatie/account MFA heeft.
Daarnaast geef je medewerkers en leveranciers alleen toegang tot wat ze echt nodig hebben. Gebruik aparte accounts voor beheer en trek toegang in op de dag dat iemand vertrekt, niet een maand later. Kortom, zorg dat je processen inricht hoe je veilig omgaat met accounts, leverancierstoegang en authenticatie.
Een phishingmail die er echt uitziet als een factuur van je vaste leverancier, komt vroeg of laat bij iemand binnen. Techniek vangt veel af, maar niet alles. Medewerkers die een verdachte mail herkennen en melden in combinatie met de juiste tools is een sterke digitale verdediging voor je bedrijf.
NIS2 vraagt expliciet om training en niet alleen voor medewerkers. Ook bestuurders moeten een training volgen, zodat ze de risico's begrijpen die ze goedkeuren. Oefenen met nep-phishingmails en de resultaten bespreken werkt daarom goed.
Je beveiliging is zo sterk als die van je IT-partner, je cloudaanbieder en de softwareleverancier met toegang op afstand. Onder NIS2 moet je die ketenrisico's beoordelen: welke leveranciers zijn kritiek en wat hebben jullie afgesproken over beveiliging?
Het werkt ook andersom. Val je zelf niet onder de wet, maar lever je aan een organisatie die dat wel doet, dan krijg je vragenlijsten over precies deze checklist. Wie dan al antwoorden klaar heeft liggen, heeft een voorsprong op concurrenten die nog moeten beginnen. En je komt als leverancier sterk en overtuigend over richting je bestaande klanten.
Een back-up die je nooit hebt teruggezet, is een aanname. Pas als je hebt geprobeerd om een server of mailbox echt te herstellen, weet je hoe lang dat duurt en of het werkt. NIS2 vraagt om meer dan back-ups alleen. Je moet ook een plan hebben om na een aanval of storing weer op te starten en een aanpak voor de crisis zelf: wie neemt de leiding, hoe informeer je medewerkers en klanten en wat doe je als e-mail en telefoon ook plat liggen? Dit hangt samen met het hebben van een incident response plan.
Bepaal per kritiek systeem hoe lang het maximaal mag uitvallen en hoeveel data je maximaal kwijt mag raken. Die twee getallen bepalen hoe vaak je een back-up maakt en hoe snel je moet kunnen herstellen. Bewaar minimaal één back-up offline of onveranderbaar, zodat ransomware er niet bij kan.
Elk systeem dat je aanschaft of laat bouwen, is ook een mogelijke ingang voor aanvallers. De wet vraagt daarom dat je beveiliging meeneemt vanaf de aankoop tot het moment dat een systeem de deur uit gaat. In de praktijk gaat het vooral om onderhoud. De meeste aanvallen misbruiken kwetsbaarheden die allang geüpdate kunnen worden. In de praktijk is dat niet altijd even makkelijk, maar er moet dan nog steeds adequaat op gehandeld worden.
Stel een vaste termijn voor updates en een update nog sneller voor kritieke kwetsbaarheden. Wees op de hoogte van welke bedrijfssystemen geen updates meer (kunnen) krijgen, zoals een oude Windows-server of een firewall zonder ondersteuning en maak een plan om ze te vervangen. Zorg dat bij de aanschaf van nieuwe software of een nieuwe leverancier beveiligingseisen in de offerteaanvraag staan.
Een laptop die in de trein blijft liggen, is vervelend. Een laptop zonder versleutelde schijf, met klantgegevens erop, is een datalek. Met encryptie maak je gegevens onleesbaar voor iemand die de sleutel niet heeft. NIS2 vraagt om beleid voor het gebruik ervan: waar versleutel je, met welke methode, en wie beheert de sleutels?
Voor de meeste mkb-bedrijven begint het bij drie dingen: versleutelde schijven op laptops en telefoons, versleutelde verbindingen (HTTPS, VPN) en versleutelde back-ups. Daarnaast vraagt de wet om beveiligde communicatie.
Maatregelen op papier zeggen weinig over wat ze in de praktijk doen. De wet vraagt daarom om beleid en procedures waarmee je de effectiviteit van je maatregelen beoordeelt. Staat MFA echt aan op alle accounts, of zijn er drie uitzonderingen die niemand meer weet? Worden de back-ups nog steeds gemaakt sinds de laatste wijziging?
Plan vaste controlemomenten. Een interne of externe audit, bijvoorbeeld aan de hand van ISO 27001, laat zien of je beleid en de praktijk overeenkomen. Leg de uitkomsten vast, zodat je kunt aantonen aan de toezichthouder en klanten dat je de zorgplicht serieus neemt.
De NIS2-wetgeving heeft een stevig boeteregime. Voor essentiële entiteiten gaat het om maximaal €10 miljoen of 2% van de wereldwijde jaaromzet. Voor belangrijke entiteiten is dat maximaal €7 miljoen of 1,4%. Het hoogste bedrag van de twee geldt.
Ook de directie loopt risico. Bestuurders moeten de maatregelen goedkeuren en toezicht houden op de uitvoering en kunnen aansprakelijk worden gesteld als ze dat niet doen. Bij essentiële entiteiten kan een bestuurder zelfs tijdelijk uit de functie worden gezet.
Allereerst is het zo dat wij geen volledige NIS2-trajecten plannen en uitvoeren. Daar zijn andere bedrijven gespecialiseerd in. Daarbij ligt de juridische toets of je onder de wet valt, het beleid en de bestuursbesluiten bij jou. Zoek je volledige begeleiding bij de implementatie, dan verwijzen we je graag door naar partners met wie we samenwerken.
Waar we wel helpen, is het deel van de checklist dat het lastigst zelf te regelen is: incidenten op tijd zien en erop reageren.
Wil je precies weten hoe detectie en respons bijdragen aan de eisen uit de wet? Lees dan hoe MDR helpt bij NIS2.
