NIS2 voor het mkb: moet jouw bedrijf hier iets mee?
Cybersecurity klinkt voor veel mkb-bedrijven nog steeds als iets voor banken, ziekenhuizen, overheden en grote organisaties. Maar die tijd is voorbij. Steeds meer gewone bedrijven zijn afhankelijk van digitale systemen, online toegang, cloudopslag, e-mail, klantdata en gekoppelde software.
En precies daarom is er NIS2.
De NIS2-richtlijn is een Europese cybersecurityrichtlijn die organisaties weerbaarder moet maken tegen digitale dreigingen. In Nederland wordt deze richtlijn omgezet in de Cyberbeveiligingswet. Die wet treedt naar verwachting rond 1 juli 2026 in werking. Organisaties die onder de wet vallen, krijgen te maken met onder andere een zorgplicht, meldplicht en registratieplicht.
Maar wat betekent dat nu concreet voor jouw bedrijf? En moet je als mkb’er in Geldermalsen, de Betuwe of daarbuiten al iets doen?
Het korte antwoord: waarschijnlijk wel. Ook als je niet rechtstreeks onder NIS2 valt.
Wat is NIS2?
NIS2 staat voor Network and Information Security Directive 2. Het is de opvolger van de eerdere NIS-richtlijn en heeft als doel om de digitale weerbaarheid binnen Europa te verbeteren.
De richtlijn richt zich op organisaties die belangrijk zijn voor onze samenleving en economie. Denk aan sectoren zoals energie, transport, zorg, drinkwater, digitale infrastructuur, afvalbeheer, levensmiddelen, chemie, financiële dienstverlening en bepaalde zakelijke dienstverleners.
De Europese Commissie beschrijft NIS2 als een raamwerk voor cybersecurity in 18 kritieke sectoren binnen de EU.
Toch is NIS2 niet alleen relevant voor grote organisaties. Ook kleinere bedrijven kunnen ermee te maken krijgen. Bijvoorbeeld omdat ze leverancier zijn van een organisatie die wél onder NIS2 valt.
Waarom is NIS2 ook relevant voor het mkb?
Veel mkb-bedrijven denken: “Wij zijn te klein, hackers richten zich niet op ons.”
Helaas werkt het in de praktijk anders. Cybercriminelen zoeken niet altijd bewust naar de grootste bedrijven. Ze zoeken naar zwakke plekken. Een slecht beveiligd e-mailaccount, een vergeten server, geen goede back-up, een medewerker die op een phishinglink klikt of een laptop zonder goede beveiliging.
Daar komt nog iets bij: grotere organisaties gaan steeds kritischer kijken naar hun leveranciers. Als jouw bedrijf IT-diensten, administratie, logistiek, productie, consultancy, onderhoud of andere diensten levert aan een NIS2-organisatie, dan kun je vragen krijgen over je eigen digitale veiligheid.
Niet omdat je ineens een grote corporate bent. Maar omdat jouw bedrijf onderdeel is van hun keten.
Valt jouw bedrijf onder NIS2?
Dat hangt af van je sector, omvang en rol in de keten. De Cyberbeveiligingswet maakt onderscheid tussen organisaties die essentieel of belangrijk zijn. Organisaties die onder de wet vallen, krijgen verplichtingen zoals registratie, risicobeheersing en het melden van ernstige incidenten. De RDI noemt daarbij specifiek de registratieplicht, meldplicht en zorgplicht.
Voor veel mkb-bedrijven geldt één van deze drie situaties:
- Je valt rechtstreeks onder NIS2
Bijvoorbeeld omdat je actief bent in een sector die onder de wet valt en voldoet aan de criteria. - Je valt niet rechtstreeks onder NIS2, maar je klanten wel
Dan kunnen klanten eisen gaan stellen aan jouw cybersecurity. - Je valt er niet onder, maar de maatregelen zijn alsnog verstandig
Want een cyberaanval, datalek of langdurige storing kan ook zonder wettelijke verplichting flinke schade veroorzaken.
Vooral die tweede groep is belangrijk. Veel mkb-bedrijven worden niet direct door de wet aangesproken, maar krijgen indirect toch met NIS2 te maken via klanten, aanbestedingen, verzekeraars of samenwerkingspartners.
Wat zijn de belangrijkste verplichtingen?
Onder de Cyberbeveiligingswet zijn er drie grote plichten: zorgplicht, meldplicht en registratieplicht.
1. Zorgplicht
De zorgplicht betekent dat je passende maatregelen neemt om je digitale risico’s te beheersen. Denk aan:
- risico’s in kaart brengen;
- systemen goed beveiligen;
- toegangsrechten beheren;
- back-ups regelen;
- incidenten kunnen herkennen;
- medewerkers bewust maken;
- leveranciersrisico’s beoordelen;
- beleid maken voor continuïteit.
De RDI adviseert organisaties om nu al met de zorgplicht aan de slag te gaan, onder andere door een eerste risicoanalyse te maken en te bekijken welke maatregelen al genomen zijn.
Voor het mkb hoeft dit niet meteen ingewikkeld te zijn. Het begint vaak met simpele vragen:
Wie kan bij welke data?
Zijn onze back-ups getest?
Gebruiken we overal MFA?
Zijn laptops en werkplekken goed beveiligd?
Weten medewerkers wat ze moeten doen bij phishing?
Hebben we een plan als systemen uitvallen?
Als je daar geen duidelijk antwoord op hebt, is dat een goed startpunt.
2. Meldplicht
De meldplicht houdt in dat ernstige cyberincidenten gemeld moeten worden. Denk aan incidenten die impact hebben op de continuïteit van je dienstverlening, de veiligheid van gegevens of de beschikbaarheid van systemen.
Voor veel bedrijven is dit nog onwennig. Want voordat je iets kunt melden, moet je eerst weten dát er iets misgaat. Dat vraagt om monitoring, duidelijke verantwoordelijkheden en een incidentprocedure.
Met andere woorden: je moet niet pas tijdens een aanval bedenken wie wat doet.
3. Registratieplicht
Organisaties die onder de Cyberbeveiligingswet vallen, moeten zich registreren in het nationale entiteitenregister. De registratieplicht geldt voor organisaties die binnen de reikwijdte van de wet vallen.
Ook hier geldt: niet ieder mkb-bedrijf hoeft zich te registreren. Maar het is wel verstandig om tijdig te onderzoeken of jouw organisatie onder de wet valt.
Wat gebeurt er als je niets doet?
Niets doen lijkt misschien makkelijk. Zeker als nog niet helemaal duidelijk is of jouw bedrijf formeel onder NIS2 valt. Maar het risico zit niet alleen in wetgeving.
De echte risico’s zijn vaak praktischer:
Een medewerker klikt op een phishingmail.
Een Microsoft 365-account wordt overgenomen.
Een gedeelde map staat open voor te veel mensen.
Een back-up blijkt niet goed terug te zetten.
Een laptop met klantgegevens raakt kwijt.
Een server draait achterstallige updates.
Een cyberverzekering keert niet uit omdat basismaatregelen ontbreken.
Een klant vraagt om beveiligingsbewijs en je hebt niets liggen.
Dat zijn situaties die we in het mkb maar al te vaak zien. Niet omdat ondernemers nalatig zijn, maar omdat IT-beveiliging vaak organisch is gegroeid. Er is ooit iets ingesteld, daarna kwam er een extra medewerker bij, een nieuwe laptop, een cloudpakket, een externe partij, nog een koppeling, nog een uitzondering.
Tot niemand meer precies weet hoe veilig het geheel eigenlijk is.
Welke maatregelen kun je nu al nemen?
Je hoeft niet te wachten tot de Cyberbeveiligingswet officieel ingaat. Sterker nog: wachten is meestal duurder. Hoe eerder je begint, hoe kleiner de kans dat je straks onder druk alles tegelijk moet regelen.
Begin met deze maatregelen.
1. Breng je IT-risico’s in kaart
Maak een overzicht van je belangrijkste systemen, accounts, data en leveranciers. Kijk daarna waar de grootste risico’s zitten.
Denk aan vragen zoals:
Welke systemen mogen niet uitvallen?
Waar staat klantdata opgeslagen?
Wie heeft beheerrechten?
Welke software is bedrijfskritisch?
Welke leveranciers hebben toegang tot onze omgeving?
Wat gebeurt er als e-mail één dag niet werkt?
Dit hoeft geen dik rapport te zijn. Een helder overzicht is al veel waard.
2. Zet MFA overal aan
Multi-factor authenticatie is één van de meest effectieve basismaatregelen. Zeker voor Microsoft 365, e-mail, boekhoudsoftware, CRM-systemen, VPN-toegang en beheeraccounts.
Alleen een wachtwoord is niet meer genoeg. Zeker niet als medewerkers wachtwoorden hergebruiken of inloggen vanaf verschillende locaties.
3. Controleer je back-ups
Een back-up hebben is mooi. Maar een back-up die niet getest is, blijft een aanname.
Controleer daarom:
Of er automatisch back-ups worden gemaakt.
Waar de back-ups staan.
Wie erbij kan.
Hoe snel je kunt herstellen.
Of je back-up beschermd is tegen ransomware.
Wanneer voor het laatst een hersteltest is gedaan.
Voor veel bedrijven is dit een eyeopener. Ze denken dat alles geregeld is, tot blijkt dat de back-up onvolledig is of veel te lang duurt om terug te zetten.
4. Beperk rechten van gebruikers
Niet iedereen hoeft overal bij te kunnen. Toch zien we in de praktijk vaak dat medewerkers te veel rechten hebben. Soms omdat dat makkelijk was. Soms omdat niemand het ooit heeft opgeschoond.
Werk met het principe: alleen toegang als het nodig is.
Dat verkleint de schade als een account wordt misbruikt.
5. Zorg voor updates en patchbeheer
Verouderde software is een bekend risico. Zorg daarom dat werkplekken, servers, firewalls, routers, plug-ins en applicaties regelmatig worden bijgewerkt.
Niet alleen wanneer iemand eraan denkt, maar volgens een vast proces.
6. Maak medewerkers bewust
Veel incidenten beginnen niet met een ingewikkelde hack, maar met een menselijke fout. Een phishingmail. Een valse factuur. Een nepverzoek van een leidinggevende. Een link die er betrouwbaar uitziet.
Bewustwording hoeft niet zwaar te zijn. Een korte training, herkenbare voorbeelden en duidelijke afspraken maken al verschil.
7. Leg vast wat je doet bij een incident
Wie bel je als systemen platliggen?
Wie beslist of klanten geïnformeerd worden?
Wie schakelt de IT-partner in?
Wie controleert of data gelekt is?
Wie communiceert intern?
Als je dit pas bedenkt tijdens een incident, ben je te laat. Een simpel incidentplan geeft rust en voorkomt paniek.
NIS2 draait niet alleen om techniek
Een belangrijk misverstand: NIS2 gaat niet alleen over firewalls, antivirus en back-ups. Het gaat ook over verantwoordelijkheid.
Bestuurders en ondernemers moeten kunnen laten zien dat ze digitale risico’s serieus nemen. Dat betekent niet dat je alles zelf technisch hoeft te begrijpen. Maar je moet wel weten of de basis op orde is.
Zie het als brandveiligheid. Je hoeft zelf geen brandweerman te zijn, maar je wilt wel weten of er rookmelders hangen, vluchtroutes zijn en iemand weet wat te doen bij nood.
Met cybersecurity is dat niet anders.
Wat betekent dit voor bedrijven in Geldermalsen en de Betuwe?
Voor lokale ondernemers is IT vaak heel praktisch. Het moet werken. Medewerkers moeten kunnen inloggen. Klanten moeten geholpen worden. Facturen moeten eruit. Productie, planning, administratie en communicatie moeten doorgaan.
Maar juist omdat IT zo verweven is met de dagelijkse operatie, is digitale weerbaarheid belangrijker dan ooit.
Een cyberincident raakt niet alleen je computer. Het raakt je planning, klantenservice, omzet, reputatie en nachtrust.
Voor bedrijven in Geldermalsen, Tiel, Culemborg, Zaltbommel en de rest van de Betuwe is het daarom slim om NIS2 niet te zien als “weer een wet”, maar als aanleiding om de IT-basis goed neer te zetten.
Hoe weet je waar je staat?
De makkelijkste eerste stap is een praktische IT- en cybersecuritycheck. Niet vanuit angst, maar vanuit overzicht.
Daarbij kijk je bijvoorbeeld naar:
- Microsoft 365-beveiliging;
- MFA en toegangsbeheer;
- back-ups en herstelmogelijkheden;
- antivirus en endpoint-beveiliging;
- patchbeheer;
- netwerkbeveiliging;
- beheerrechten;
- leveranciers en koppelingen;
- incidentprocedure;
- bewustwording van medewerkers.
Na zo’n check weet je waar je staat, welke risico’s prioriteit hebben en welke maatregelen het meeste effect hebben.
Klaar zijn voor NIS2 begint met overzicht
NIS2 hoeft niet ingewikkeld te beginnen. Je hoeft niet morgen een compleet cybersecurityprogramma te hebben. Maar je moet wél weten waar je staat.
Voor veel mkb-bedrijven is dit het juiste moment om de basis op orde te brengen. Niet omdat het moet van Europa, maar omdat je bedrijf afhankelijk is van IT.
Een veilige IT-omgeving geeft rust. Je weet dat je data beter beschermd is, dat medewerkers veiliger werken en dat je sneller kunt schakelen als er iets misgaat.
Wil je weten of jouw bedrijf klaar is voor NIS2 of waar de grootste risico’s zitten? Dan helpt IT’s Sunday je graag met een praktische check van je IT-omgeving. Gewoon duidelijk, begrijpelijk en gericht op wat jouw organisatie echt nodig heeft.
Veelgestelde vragen over NIS2 voor het mkb
Wat is NIS2 in het kort?
NIS2 is een Europese cybersecurityrichtlijn die organisaties verplicht om hun digitale weerbaarheid te verbeteren. In Nederland wordt NIS2 omgezet in de Cyberbeveiligingswet. Die wet richt zich op organisaties in belangrijke en essentiële sectoren.
Geldt NIS2 ook voor kleine bedrijven?
Niet ieder klein bedrijf valt rechtstreeks onder NIS2. Toch kan NIS2 ook voor kleinere bedrijven relevant zijn, bijvoorbeeld als zij leverancier zijn van een organisatie die wél onder de wet valt. Daarnaast zijn veel maatregelen sowieso verstandig om cyberrisico’s te verkleinen.
Wanneer gaat NIS2 in Nederland in?
De Nederlandse Cyberbeveiligingswet treedt naar verwachting rond 1 juli 2026 in werking.
Wat zijn de belangrijkste verplichtingen onder NIS2?
De belangrijkste verplichtingen zijn de zorgplicht, meldplicht en registratieplicht. Dit betekent dat organisaties risico’s moeten beheersen, ernstige incidenten moeten melden en zich moeten registreren als ze onder de wet vallen.
Wat is de zorgplicht bij NIS2?
De zorgplicht betekent dat je passende maatregelen neemt om digitale risico’s te beperken. Denk aan risicoanalyses, toegangsbeheer, back-ups, beveiliging van systemen, incidentprocedures en bewustwording van medewerkers.
Moet ik als mkb’er nu al actie ondernemen?
Ja, dat is verstandig. Ook als je nog niet zeker weet of je onder NIS2 valt. Veel maatregelen, zoals MFA, goede back-ups, updates en duidelijke toegangsrechten, verkleinen direct je risico op cyberincidenten.
Kan IT’s Sunday helpen met NIS2?
Ja. IT’s Sunday kan helpen om inzicht te krijgen in je huidige IT-beveiliging, risico’s te bepalen en praktische verbeteringen door te voeren. Denk aan Microsoft 365-beveiliging, back-ups, toegangsbeheer, werkplekbeveiliging en een helder incidentplan.
