Wat kost NIS2-compliance voor het MKB?

Zodra duidelijk is dat een organisatie onder NIS2 valt, komt onvermijdelijk de vraag: wat gaat dit kosten? Het antwoord hangt sterk af van waar je begint. Een bedrijf dat zijn beveiliging al redelijk op orde heeft, is vooral tijd kwijt aan vastleggen en aantonen. Een bedrijf dat van ver komt, moet eerst investeren in de basis.

Dit artikel geeft een realistisch beeld van de kostenposten, zodat je een onderbouwde inschatting kunt maken. De bedragen zijn richtbedragen voor een MKB-bedrijf; je eigen situatie kan afwijken. Of NIS2 op jou van toepassing is, bepaal je eerst met NIS2: voor welke bedrijven geldt het.

De kostenposten op een rij

NIS2-compliance is geen enkele aankoop, maar een combinatie van eenmalige en doorlopende posten. Onderstaande indeling helpt om grip te krijgen.

De grootste variatie zit in de beveiligingsmaatregelen zelf. Wie al multifactor-authenticatie, back-up en toegangsbeheer heeft, betaalt daar weinig extra voor. Wie dat nog moet opbouwen, maakt daar de grootste kosten.

Eenmalige kosten

De start kost het meest, omdat je dan de basis legt: weten waar je staat, beleid opstellen en de techniek op orde brengen.

Voor een gemiddeld MKB-bedrijf dat redelijk start, liggen de eenmalige kosten vaak tussen de 5.000 en 20.000 euro. Komt een bedrijf echt van ver, dan kan dat hoger uitvallen, vooral door de technische maatregelen. Veel van die maatregelen, zoals endpointbescherming en conditionele toegang, zitten overigens al in bestaande Microsoft 365-licenties en kosten dan weinig extra.

Jaarlijkse kosten

Compliance is geen project dat af is, maar een toestand die je onderhoudt. De doorlopende kosten zijn lager dan de start, maar wel structureel.

De jaarlijkse kosten komen voor een gemiddeld MKB-bedrijf vaak uit tussen de 5.000 en 15.000 euro, afhankelijk van of je een externe audit laat doen en hoeveel je zelf oppakt. Veel van het werk is tijd, niet geld.

De kosten afgezet tegen de risico's

Het kostenplaatje krijgt pas betekenis als je het naast de risico's legt. De boetes en de schade van een incident zijn van een heel andere orde dan de compliancekosten.

De verhouding is scheef in je voordeel: een investering in de duizenden tegenover een risico in de miljoenen. Daar komt bij dat veel maatregelen niet alleen voor NIS2 tellen, maar ook je weerbaarheid tegen ransomware en je AVG-naleving versterken. Je betaalt 1 keer en plukt er op meerdere fronten de vruchten van.

Hoe je de kosten beperkt

Je hoeft niet alles extern in te kopen. Met een slimme aanpak houd je de kosten beheersbaar.

1. Begin met een nulmeting. Weten waar je staat voorkomt dat je investeert in wat al op orde is.
2. Benut wat je al hebt. Veel beveiliging zit al in je Microsoft 365- of Google Workspace-licentie. Gebruik dat eerst.
3. Doe documentatie zelf. Beleid en procesbeschrijvingen kun je grotendeels zelf opstellen met een sjabloon, en extern laten toetsen.
4. Combineer met de AVG. Werk dat je voor de AVG doet, telt vaak mee voor NIS2. Doe het 1 keer.
5. Fasering boven perfectie. Pak eerst de grootste risico's aan. Het NIS2-stappenplan helpt bij de volgorde.

Met deze aanpak houd je de kosten dicht bij de onderkant van de genoemde marges. De grootste besparing zit in het benutten van wat je al betaalt en het combineren met andere verplichtingen.

Conclusie

NIS2-compliance kost een MKB-bedrijf realistisch gezien enkele duizenden tot enkele tienduizenden euro's eenmalig, plus een vergelijkbare jaarlijkse post voor onderhoud en toetsing. Dat is een serieus bedrag, maar het valt in het niet bij boetes tot 10 miljoen euro of de schade van een serieus incident. Bovendien versterkt het werk je veiligheid en je AVG-naleving tegelijk. De NIS2-compliance pillar en het stappenplan helpen je dit gestructureerd en kostenbewust aan te pakken.

Een rekenvoorbeeld voor een MKB-bedrijf

Om de bedragen concreet te maken, hier een voorbeeld van een productiebedrijf met 60 medewerkers dat als belangrijke entiteit onder de wet valt en zijn beveiliging redelijk op orde had.

Het bedrijf liet een nulmeting doen voor 5.000 euro en stelde met een sjabloon zelf het beleid op, met een externe toets van 2.500 euro. De technische maatregelen vielen mee, omdat veel al in de bestaande Microsoft 365-licenties zat; de extra kosten bleven beperkt tot circa 3.000 euro voor aanvullende tooling. De bestuursscholing kostte circa 500 euro per bestuurder. In totaal kwamen de eenmalige kosten uit op ongeveer 14.000 euro.

Jaarlijks reserveert het bedrijf circa 4.000 euro voor een externe toets en circa 2.000 euro voor onderhoud van beleid en documentatie, plus enkele uren directietijd per kwartaal. De jaarlijkse kosten komen daarmee op ongeveer 6.000 euro. Voor een bedrijf met deze omvang is dat minder dan 0,5 procent van wat een ernstig incident of een boete tot 7 miljoen euro zou kosten.

De grootste valkuil in de kosten

De grootste valkuil is niet te veel betalen, maar verkeerd beginnen. Bedrijven die zonder nulmeting meteen consultants inschakelen of dure tooling kopen, investeren vaak in maatregelen die ze al hadden of die niet de grootste risico's afdekken. Een gerichte nulmeting van 2.000 tot 7.500 euro verdient zichzelf terug doordat je daarna alleen investeert in wat echt ontbreekt.

Een tweede valkuil is alles tegelijk willen. NIS2-compliance is geen sprint maar een opbouw over meerdere maanden. Door te faseren spreid je de kosten en voorkom je dat je 20.000 euro in 1 kwartaal uitgeeft. Het NIS2-stappenplan helpt bij die volgorde, en door het werk te combineren met je AVG-verplichtingen haal je meer rendement uit elke euro.

De belangrijkste boodschap is dat NIS2-compliance een beheersbare investering is, geen bodemloze put. Voor een gemiddeld MKB-bedrijf praat je over enkele duizenden tot enkele tienduizenden euro's eenmalig en een vergelijkbare jaarlijkse post, waarvan een groot deel bestaat uit tijd en uit maatregelen die je toch al zou willen treffen. Afgezet tegen boetes tot 10 miljoen euro en de schade van een incident in de tienduizenden euro's, is het een verstandige uitgave die je veiligheid en je AVG-naleving tegelijk versterkt. Begin klein, benut wat je hebt en bouw gefaseerd op.

Voor de meeste MKB-bedrijven blijft het daarmee een uitgave van enkele duizenden tot enkele tienduizenden euro's, ruim binnen wat 1 serieus incident of een boete tot 10 miljoen euro zou kosten.

Veelgestelde vragen

Wat kost NIS2-compliance voor een MKB-bedrijf?

Realistisch tussen circa 5.000 en 20.000 euro eenmalig, plus circa 5.000 tot 15.000 euro per jaar voor onderhoud en toetsing. Het hangt sterk af van je uitgangssituatie.

Waar zitten de grootste kosten?

In de technische maatregelen als je van ver komt, en in een externe audit. Wie zijn beveiliging al op orde heeft, is vooral tijd kwijt aan vastleggen en aantonen.

Kan ik kosten besparen?

Ja. Benut beveiliging die al in je licenties zit, doe documentatie zelf met een sjabloon, en combineer het werk met je AVG-naleving, want veel telt voor beide.

Wegen de kosten op tegen de risico's?

De compliancekosten liggen in de duizenden, de boetes tot 10 miljoen euro of 2 procent van de omzet, en de schade van een datalek in de tienduizenden. De verhouding is in je voordeel.

Zijn deze bedragen exact?

Nee, het zijn richtbedragen voor een MKB-bedrijf. Je eigen kosten hangen af van je sector, omvang en uitgangssituatie.

Dit artikel geeft een indicatie en is geen offerte of juridisch advies. Raadpleeg voor je eigen situatie de officiele bronnen of een gespecialiseerde adviseur.