NIS2-richtlijn: wat betekent het voor MKB?

NIS2 raakt niet alleen grote bedrijven

De NIS2-richtlijn (Network and Information Security Directive 2) is de opvolger van de oorspronkelijke NIS-richtlijn uit 2016 en brengt ingrijpende veranderingen voor de digitale beveiliging van Europese organisaties. Waar de eerste versie vooral gericht was op grote infrastructuurbedrijven, trekt NIS2 de reikwijdte fors open: ook middelgrote en kleinere organisaties vallen nu onder de verplichtingen.

In Nederland is het NCSC (Nationaal Cyber Security Centrum) aangewezen als coördinerend orgaan. De richtlijn wordt via de Cyberbeveiligingswet omgezet in nationale wetgeving. Voor MKB-bedrijven die actief zijn in bepaalde sectoren of diensten leveren aan kritieke organisaties, betekent dit concrete actie.

Wie valt er onder NIS2?

NIS2 maakt onderscheid tussen essentiële entiteiten en belangrijke entiteiten. Het criterium is niet alleen de sector, maar ook de omvang van uw organisatie:

• Essentiële entiteiten: organisaties met meer dan 250 medewerkers of een omzet boven 50 miljoen euro in kritieke sectoren (energie, transport, gezondheidszorg, digitale infrastructuur).
• Belangrijke entiteiten: organisaties met meer dan 50 medewerkers of een omzet boven 10 miljoen euro in aanvullende sectoren (post- en koeriersdiensten, afvalbeheer, voedsel, chemie, digitale dienstverleners).

Let op: ook kleinere bedrijven die als toeleverancier werken voor essentiële entiteiten kunnen indirect onder de richtlijn vallen via contractuele eisen.

De 10 kernverplichtingen voor MKB

NIS2 legt een reeks beveiligingsmaatregelen op. Als MKB-ondernemer moet u minimaal het volgende regelen:

1. Risicoanalyse en beveiligingsbeleid

Stel een formeel informatiebeveiligingsbeleid op, gebaseerd op een actuele risicoanalyse. Dit is geen eenmalige exercitie — het beleid moet regelmatig worden herzien.

2. Incidentafhandeling

Implementeer procedures voor het detecteren, melden en afhandelen van beveiligingsincidenten. Significante incidenten moeten binnen 24 uur worden gemeld bij de bevoegde autoriteit.

3. Bedrijfscontinuïteit

Zorg voor back-upbeheer, disaster recovery en crisismanagement. Uw organisatie moet na een cyberincident snel weer operationeel kunnen zijn.

4. Beveiliging van de toeleveringsketen

Beoordeel de cybersecurity-risico's van uw leveranciers en partners. Dit geldt ook voor softwareleveranciers en cloudproviders.

5. Beveiligingsmaatregelen bij aanschaf en ontwikkeling

Neem beveiliging mee in het ontwerp en de aanschaf van IT-systemen. Security by design is niet langer optioneel.

6. Beoordeling van de effectiviteit

Test regelmatig of uw beveiligingsmaatregelen daadwerkelijk werken. Denk aan penetratietesten, audits en vulnerability assessments.

7. Cyberhygiëne en bewustwording

Train medewerkers in basisbeveiligingspraktijken. Phishing-bewustzijn, sterk wachtwoordbeleid en software-updates horen bij de basis.

8. Cryptografie en versleuteling

Gebruik versleuteling voor gevoelige data, zowel in opslag als tijdens transport.

9. Toegangsbeheer

Implementeer strikte toegangscontrole op basis van het least-privilege-principe. Multi-factor authenticatie (MFA) is een must.

10. Beveiligde communicatie

Zorg voor beveiligde communicatiekanalen, inclusief noodcommunicatie bij incidenten.

Tijdlijn en deadlines

| Datum | Mijlpaal | |---|---| | 17 oktober 2024 | Uiterste omzettingsdatum EU-lidstaten | | 2025 | Nederlandse Cyberbeveiligingswet van kracht | | Doorlopend | Jaarlijkse compliance-audits vereist |

Het NCSC adviseert organisaties om nu te starten met de voorbereidingen, ook als de nationale wetgeving nog niet volledig is geïmplementeerd. De richtlijn werkt namelijk al als referentiekader bij toezicht en aansprakelijkheid.

Wat kost niet-naleving?

De boetes onder NIS2 zijn aanzienlijk:

• Essentiële entiteiten: tot 10 miljoen euro of 2% van de wereldwijde omzet
• Belangrijke entiteiten: tot 7 miljoen euro of 1,4% van de wereldwijde omzet

Daarnaast kan het bestuur persoonlijk aansprakelijk worden gesteld. Directeuren en bestuurders moeten aantoonbaar betrokken zijn bij cybersecuritybeslissingen.

Praktische eerste stappen

1. Bepaal of uw organisatie onder NIS2 valt — check de NCSC-zelfevaluatietool
2. Voer een gap-analyse uit — vergelijk uw huidige beveiligingsniveau met de NIS2-eisen
3. Stel een actieplan op — prioriteer op basis van risico
4. Wijs verantwoordelijkheden toe — benoem een CISO of security officer
5. Scan uw digitale aanwezigheid — identificeer kwetsbaarheden in websites en applicaties

De Nederlandse Cyberbeveiligingswet

In Nederland wordt NIS2 geïmplementeerd via de Cyberbeveiligingswet, die de bestaande Wet beveiliging netwerk- en informatiesystemen (Wbni) vervangt. De wet breidt het toepassingsgebied aanzienlijk uit en introduceert strengere verplichtingen en hogere boetes.

Het NCSC en het Digital Trust Center (DTC) spelen een centrale rol bij de ondersteuning van organisaties. Het DTC richt zich specifiek op het MKB en biedt gratis tools, adviezen en dreigingsinformatie. Maak gebruik van de DTC-beveiligingsscan om een eerste beeld te krijgen van uw digitale weerbaarheid.

Praktische hulpmiddelen voor MKB

• DTC Basisscan Cyberweerbaarheid — gratis zelfevaluatietool die uw organisatie toetst aan de vijf basisprincipes van veilig digitaal ondernemen
• NCSC-richtlijnen — technische handreikingen voor het implementeren van beveiligingsmaatregelen
• CyberVeilig Check — branchespecifieke tools voor sectoren als retail, zorg en bouw
• Cyberverzekering — overweeg een cyberverzekering als aanvulling op technische maatregelen, vooral als uw organisatie beperkte IT-capaciteit heeft

Kosten en investering

Voor MKB-bedrijven zijn de kosten van NIS2-compliance een reëel aandachtspunt. Reken op een initiële investering voor gap-analyse, beleidsdocumentatie en technische aanpassingen, gevolgd door doorlopende kosten voor monitoring, training en audits. De exacte kosten hangen af van uw huidige beveiligingsniveau en de complexiteit van uw IT-omgeving. Subsidies en fiscale regelingen zoals de WBSO kunnen een deel van deze kosten dekken.

Begin vandaag

NIS2-compliance is geen project met een einddatum — het is een doorlopend proces. Hoe eerder u begint, hoe beter uw organisatie beschermd is tegen zowel cyberdreigingen als juridische risico's.

Scan uw website gratis met WarDek — OWASP, NIS2, AVG, AI Act compliance in één scan.