Veel Nederlandse IT-dienstverleners en mkb-organisaties behandelen NIS2 als een verplicht nummer: een lijst met maatregelen, een audit die gehaald moet worden, een vinkje dat gezet moet worden. Begrijpelijk — de wetgeving is complex, de deadlines voelden abstract, en “compliance” klinkt nu eenmaal niet als iets waar een ondernemer warm van wordt.
Maar die benadering is een strategische vergissing. NIS2 is niet primair een wet om aan te voldoen — het is een signaal dat informatiebeveiligingsvolwassenheid voortaan een basisvereiste is voor serieus zakendoen.
Wat NIS2 eigenlijk vraagt
De Network and Information Security Directive (NIS2) is de opvolger van de oorspronkelijke NIS-richtlijn uit 2016 en is per oktober 2024 van kracht in EU-lidstaten. In Nederland is NIS2 geïmplementeerd via de Cyberbeveiligingswet (Cbw).
De kern van de wet is eenvoudig samen te vatten: organisaties in aangewezen sectoren moeten aantoonbaar grip hebben op hun informatiebeveiligingsrisico’s, incidenten tijdig melden, en hun toeleveringsketen meenemen in die verantwoordelijkheid.
Concreet betekent dat onder andere:
- Een risicobeheersingsbeleid dat actueel en gedocumenteerd is
- Technische en organisatorische maatregelen op het gebied van toegangsbeheer, netwerksegmentatie en back-upbeheer
- Een incidentmeldingsplicht bij significante verstoringen — binnen 24 uur een eerste melding, binnen 72 uur een gedetailleerd rapport
- Aantoonbaar bestuurlijk toezicht: de directie is eindverantwoordelijk en kan persoonlijk aansprakelijk worden gesteld
Voor MSP’s is de ketenverantwoordelijkheid bijzonder relevant. Als IT-dienstverlener bent u voor veel klanten een kritieke leverancier. NIS2 verplicht organisaties om hun leveranciers te beoordelen op beveiligingsvolwassenheid — MSP’s die dat bewijs niet kunnen leveren, riskeren opdrachtverlies.
Meer informatie over de specifieke verplichtingen vindt u in de NIS2-richtlijnen van het NCSC.
De checkbox-aanpak en haar prijs
De meest voorkomende reactie op NIS2 is wat wij de checkbox-aanpak noemen: een project starten, een reeks technische maatregelen implementeren, documentatie opstellen, en de boel dan “afsluiten”. Tot de volgende audit.
Het probleem is niet dat deze aanpak verkeerd is — de maatregelen op zich zijn zinvol. Het probleem is de onderliggende logica: compliance als eindbestemming in plaats van als continu proces.
Informatiebeveiliging is geen toestand die je bereikt. Het is een capaciteit die je onderhoudt. Dreigingen veranderen, systemen veranderen, medewerkers veranderen. Een beveiligingsbeleid dat dit jaar klopt, is volgend jaar mogelijk al verouderd.
De prijs van de checkbox-aanpak wordt zichtbaar op drie momenten:
- Bij een incident — wanneer blijkt dat de papieren maatregelen in de praktijk niet werkten
- Bij een audit — wanneer een externe toezichthouder of klant doorvraagt en de antwoorden niet kloppen met de werkelijkheid
- Bij groei — wanneer de organisatie verandert maar het beveiligingsbeleid niet meegroeit
NIS2 als strategisch instrument voor MSP’s en mkb
De organisaties die NIS2 wél als strategisch instrument benutten, stellen zichzelf andere vragen. Niet: “Wat moeten we minimaal doen om compliant te zijn?” Maar: “Hoe gebruiken we dit traject om onze organisatie structureel weerbaarder en betrouwbaarder te maken?”
Voor MSP’s: van leverancier naar strategische partner
Voor IT-dienstverleners is NIS2 een unieke kans om de relatie met klanten te herdefiniëren. Een MSP die zijn eigen beveiliging aantoonbaar op orde heeft — gecertificeerd, gedocumenteerd, en regelmatig getoetst — kan dat omzetten in een propositie: wij zijn de partner die jou helpt NIS2-compliant te worden én te blijven.
MSP’s die deze positie innemen, merken ook een praktisch voordeel: klanten die bewust kiezen voor een NIS2-volwassen IT-partner, zijn loyaler, minder prijsgevoelig, en vaker bereid tot langetermijncontracten.
Voor het mkb: van kostenpost naar risicobeheer
Voor mkb-organisaties ligt de strategische waarde van NIS2 in een ander vlak: het dwingt een gesprek af dat er anders nooit zou komen. In de meeste mkb-bedrijven is informatiebeveiliging iets wat “de IT-mensen regelen”. NIS2 verandert dat — de directie is wettelijk eindverantwoordelijk en kan bij nalatigheid persoonlijk aansprakelijk worden gesteld.
Organisaties die die bestuurlijke aandacht omzetten in structureel beleid, zijn niet alleen compliant — ze zijn ook weerbaarder tegen de werkelijke dreigingen waarmee het mkb dagelijks te maken heeft.
Wat een strategische NIS2-aanpak er in de praktijk uitziet
Een strategische aanpak van NIS2 begint niet met een lijst maatregelen. Het begint met een eerlijk beeld van de huidige situatie via een risicoanalyse: welke risico’s loopt de organisatie, welke zijn acceptabel, welke niet?
Vervolgens worden maatregelen niet geïmplementeerd omdat de wet ze vereist, maar omdat ze de geïdentificeerde risico’s adresseren. “We doen dit omdat de wet het vereist” leidt tot minimale naleving. “We doen dit omdat het ons risico X reduceert” leidt tot maatregelen die ook daadwerkelijk werken.
Daarna volgt het meest onderschatte onderdeel: borging. Hoe zorg je dat het beleid levend blijft? Wie is eigenaar van welke maatregel? Hoe wordt het bestuur periodiek geïnformeerd? Dit zijn governance-vragen — en governance is precies waar de meeste organisaties tekortschieten.
De rol van de directie bij NIS2-compliance
NIS2 maakt expliciet wat in de praktijk altijd al gold: informatiebeveiliging is een bestuurlijke verantwoordelijkheid, geen technische. Dat betekent niet dat de directeur moet begrijpen hoe een firewall werkt. Het betekent dat de directeur moet begrijpen welke risico’s de organisatie loopt en welke afwegingen daarin worden gemaakt.
In de praktijk betekent dit dat bestuurders structureel geïnformeerd moeten worden: niet één keer per jaar een presentatie, maar periodieke rapportage over de staat van de beveiliging, de openstaande acties en de incidenten die zich hebben voorgedaan.
Conclusie: NIS2-compliance is de vloer, niet het plafond
NIS2 stelt een vloer in voor informatiebeveiliging in Nederland. Organisaties die aan die vloer voldoen, zijn compliant. Maar organisaties die de wet zien als aanleiding voor een bredere strategische beweging — die governance serieus nemen, risicobeheer inbedden in de bedrijfsvoering, en beveiliging omzetten in een aantoonbare propositie — bouwen iets wat verder reikt dan compliance.
De vraag is niet óf uw organisatie NIS2 serieus neemt. De vraag is of u het als verplichting ziet of als kans.
Veelgestelde vragen over NIS2
Wat is NIS2 en voor wie geldt het?
NIS2 is een Europese richtlijn die organisaties in aangewezen sectoren verplicht om aantoonbaar grip te hebben op hun informatiebeveiligingsrisico’s. In Nederland is NIS2 geïmplementeerd via de Cyberbeveiligingswet (Cbw). De wet geldt voor middelgrote en grote organisaties in kritieke sectoren — waaronder veel IT-dienstverleners en MSP’s.
Wat zijn de belangrijkste NIS2-verplichtingen voor MSP’s?
MSP’s vallen als ICT-dienstverlener onder de reikwijdte van NIS2 en moeten voldoen aan: een gedocumenteerd risicobeheersingsbeleid, technische beveiligingsmaatregelen, een incidentmeldingsplicht (binnen 24 uur eerste melding, binnen 72 uur rapport) en aantoonbaar bestuurlijk toezicht. Daarnaast zijn MSP’s verplicht hun leveranciers te beoordelen op beveiligingsvolwassenheid.
Is mijn mkb-bedrijf verplicht te voldoen aan NIS2?
Niet alle mkb-bedrijven vallen direct onder NIS2 — de wet richt zich primair op middelgrote en grote organisaties in aangewezen sectoren. Maar ook kleinere bedrijven krijgen indirect met NIS2 te maken: als leverancier van een NIS2-plichtige organisatie kunt u verplicht worden om uw beveiligingsmaatregelen aan te tonen.
Wat zijn de gevolgen als wij niet voldoen aan NIS2?
Bij niet-naleving kan de toezichthouder boetes opleggen tot 10 miljoen euro of 2% van de wereldwijde jaaromzet. Bestuurders kunnen persoonlijk aansprakelijk worden gesteld. Daarnaast riskeren organisaties reputatieschade en verlies van opdrachten bij klanten die NIS2-compliance eisen van hun leveranciers.
Vraag een vrijblijvend kennismakingsgesprek aan. Wij brengen in kaart waar de risico’s zitten en welke stappen realistisch zijn.
Doe een gratis Quickscan om uw NIS2 niveau te bepalen in 3 minuten.
Strategisch GRC-adviseur
GRC Kompas combineert diepgaande overheidservaring met de pragmatiek van de Nederlandse ondernemer. Wij helpen MSP’s en mkb-organisaties bij het vertalen van NIS2, ISO 27001 en governance-vraagstukken naar uitvoerbare strategieën — zonder hype.