NIS2-compliance voor het MKB: sectoren, eisen en aanpak

De Wet beveiliging netwerk- en informatiesystemen 2 (Wbni2), de Nederlandse implementatie van de Europese NIS2-richtlijn, is per 16 oktober 2024 van kracht. Ze verplicht bedrijven in 18 sectoren tot aantoonbare cybersecuritymaatregelen, incidentmelding binnen 24 uur en bestuurlijke verantwoordelijkheid.

Twee groepen zijn verplicht: essentiële entiteiten (grote organisaties in kritieke sectoren) en belangrijke entiteiten (middelgrote organisaties in dezelfde sectoren). De verplichtingen zijn inhoudelijk vergelijkbaar, het toezicht is strenger voor de essentiële categorie.

Wie valt onder NIS2: drempelwaarden

De 18 NIS2-sectoren

Verplichte maatregelen NIS2 (art. 21 Wbni2)

Compliance-kosten: twee scenario's

Artikelen in dit dossier

Registratieplicht: bij wie meld je je?

Essentiële en belangrijke entiteiten zijn verplicht zich te registreren bij de bevoegde nationale toezichthouder zodra ze weten dat ze onder NIS2 vallen.

NIS2 en de supply chain: ook als je zelf niet verplicht bent

Zelfs als jouw bedrijf niet rechtstreeks onder NIS2 valt, kun je indirect worden geraakt. Essentiële entiteiten zijn verplicht hun leveranciersketen te beveiligen. Dat betekent dat zij aan hun leveranciers, ook aan jou, beveiligingseisen mogen en zullen stellen als inkoopvoorwaarde.

Een IT-dienstverlener met 45 medewerkers (onder de drempel) die levert aan een ziekenhuis (essentiële entiteit) krijgt van dat ziekenhuis NIS2-gerelateerde eisen te verwerken: aantoonbare beveiliging, verwerkersovereenkomst met beveiligingsclausules, incidentmelding aan de klant.

Schatting: circa 40% van de Nederlandse MKB-leveranciers van essentiële entiteiten ontvangt in 2025-2026 extra beveiligingseisen van klanten als gevolg van NIS2, ook zonder directe verplichting.

De samenhang tussen NIS2, AVG en ISO 27001

NIS2-compliance is geen losstaand traject. Er is aanzienlijke overlap met AVG (beveiligingsmaatregelen en datalekmelding) en ISO 27001 (informatiebeveiligingsmanagement). Organisaties die al aan één van deze kaders voldoen, zijn al deels klaar voor de andere.

Een organisatie met een actuele AVG-basis heeft al 40-60% van de NIS2-documentatie op orde. ISO 27001-gecertificeerde organisaties voldoen aan circa 70-80% van de NIS2-vereisten.

Veelgestelde vragen

Wanneer moet ik NIS2-compliant zijn?

De Wbni2 is per 16 oktober 2024 van kracht. Toezichthouders starten in 2025 met formele handhaving. Bedrijven die nu nog niet compliant zijn lopen risico bij een incident of bij een gerichte toezichtscontrole in hun sector.

Wat als ik twijfel of mijn bedrijf eronder valt?

Gebruik de NCSC-zelfscan op ncsc.nl/nis2 (15 minuten). Bij aanhoudende twijfel: meld je aan bij de relevante toezichthouder. Aanmelding heeft geen automatische handhavingsgevolgen.

Wat is de relatie tussen NIS2 en de AVG?

Beide zijn Europese verplichtingen met overlappende beveiligingseisen (encryptie, toegangsbeheer, incidentmelding). NIS2 gaat verder op het gebied van netwerk- en systeembeveiliging. Bedrijven die AVG-compliant zijn hebben al een deel van de NIS2-basis op orde.

---

Wat NIS2 betekent voor bestuurders persoonlijk

NIS2 legt de verantwoordelijkheid voor cybersecurity expliciet bij het bestuur van de organisatie. Dit is een wezenlijk verschil met eerdere wetgeving waarbij de organisatie als geheel verantwoordelijk was.

Concreet: het bestuur moet het beveiligingsbeleid goedkeuren, kennis hebben van cybersecurityrisico's (aantoonbaar door opleiding), toezicht houden op de uitvoering en rapporteren aan de relevante toezichthouder.

Bij ernstige nalatigheid kan een toezichthouder een bestuursverbod opleggen, de bestuurder mag tijdelijk geen managementfunctie meer uitoefenen. Dit is een nieuw instrument dat niet in de AVG stond.

NIS2 als kans: onderscheid in de markt

Voor MKB-bedrijven die leverancier zijn van essentiële entiteiten, creëert NIS2 een kans. Klanten in sectoren als zorg, energie, transport en financiën moeten hun leveranciers screenen op cybersecurity-volwassenheid. Wie aantoonbaar voldoet aan NIS2-niveau, onderscheidt zich in inkooptrajecten.

Bedrijven die vrijwillig investeren in NIS2-niveau beveiliging rapporteren:

• 10-25% lagere cyberverzekeringspremie bij verlenging
• Snellere onboarding bij nieuwe zakelijke klanten (minder vragenlijsten)
• 35% lagere gemiddelde schade bij een incident doordat systemen beter zijn ingericht

Zie NIS2 technische maatregelen voor de specifieke tools en configuraties per maatregel.

NIS2-compliance in de praktijk: de nulmeting

Voordat je begint, is het nuttig te weten waar je staat. Een NIS2-nulmeting duurt 4-8 uur en geeft een overzicht van de gaps. Je beoordeelt elk van de tien vereiste maatregelengebieden op naleving.

De meeste MKB-bedrijven beginnen op 25-40% compliance bij een eerste meting. De artikelen in dit dossier helpen je systematisch naar 80%+ te werken. De resterende 20% zijn typisch de complexere onderdelen: formele risicoanalyse, supply chain-clausules en externe audits.

De tien maatregelengebieden van NIS2:

1. Risicobeheer en -beoordeling
2. Incident-response-procedure (inclusief meldingsprocedure)
3. Bedrijfscontinuïteit (BCP + DRP)
4. Leveranciersveiligheid en supply chain
5. Beveiliging bij aankoop, ontwikkeling en onderhoud van systemen
6. Toegangsbeheer en identiteitsbeheer
7. Encryptie en cryptografie
8. Patchmanagement en kwetsbaarhedenbeheer
9. Security monitoring en logging
10. Bewustzijnstraining en HR-beveiliging

Elk van de vijf artikelen in dit dossier behandelt één of meerdere van deze gebieden in detail, met concrete maatregelen, tools en kosten.

Kleine stappen werken: de 80-20 aanpak

80% van het NIS2-compliance-niveau is haalbaar met 20% van de maximale investering. De maatregelen met de hoogste impact per euro zijn ook de meest toegankelijke:

MFA activeren (€0 extra bij Business Premium, 2-4 uur), DMARC instellen (€0, 4 uur), immutable back-up inrichten (€85-€200/maand, 1 dag), beveiligingsbeleid documenteren (intern 8-16 uur of extern €1.500-€3.000) en jaarlijkse medewerkerstraining plannen (€25-€50 per medewerker via eLearning).

Totale investering voor deze vijf maatregelen bij Business Premium al actief: €2.000-€5.000 eenmalig en €1.500-€3.600 per jaar doorlopend. Samen leveren ze een compliance-niveau op van 60-70%, voldoende als startpunt voor toezichthoudercontact en als signaal richting klanten.

De overige 30-40%, formele risicoanalyse, supply chain-clausules, monitoring en logging, zijn zinvoller aan te pakken nadat de basis staat. Wie alles tegelijk wil doen, raakt overbelast en doet niets goed.

NIS2: de meest gestelde vragen van bestuurders

Vallen wij er onder? Gebruik de zelfscan van het NCSC op ncsc.nl/nis2 of raadpleeg de sectorbijlagen van de Wbni2. Bij twijfel: juridisch advies (€500-€2.000) geeft zekerheid. Aanmelding bij de toezichthouder heeft geen automatische handhavingsgevolgen.

Wat kost het? Bij een goed startpunt (Business Premium actief): €5.000-€12.000 jaar 1, €5.000-€10.000 per jaar daarna. Bij een slecht startpunt: €15.000-€35.000 jaar 1. De meeste kosten zitten niet in tooling maar in beleid, training en externe audit.

Wanneer worden we gehandhaafd? Formele handhaving start in 2025. Bij een incident met aantoonbaar beveiligingstekort kan de toezichthouder direct een boete opleggen van maximaal €7 miljoen of 1,4% van de wereldwijde omzet voor belangrijke entiteiten, en €10 miljoen of 2% voor essentiële entiteiten.

Wat als ik niet compliant ben bij een incident? De toezichthouder weegt meewerkende houding, aantoonbare inspanning en de ernst van de tekortkoming. Wie al stappen had gezet maar nog niet volledig klaar was, staat sterker dan wie niets had gedaan.

*Zie ook: Cybersecurity MKB | Zero Trust Microsoft 365 | Microsoft 365 beveiligen | AVG checklist | Identiteitsbeheer MKB | Endpoint beveiliging*