NIS2-richtlijn: Wat betekent de nieuwe cybersecuritywetgeving voor jouw organisatie?

De Europese NIS2-richtlijn (Network and Information Security Directive 2) verandert vanaf oktober 2025 het speelveld van cybersecurity in Nederland. Waar eerdere wetgeving zich vooral richtte op grote vitale organisaties, geldt NIS2 straks ook voor kleinere bedrijven én hun leveranciers.

Wat betekent dit voor jou? En hoe zorg je dat je klaar bent voor deze nieuwe verplichtingen?

Van richtlijn naar wet: waarom NIS2 zo belangrijk is

NIS2 is een Europese richtlijn die lidstaten verplicht om strengere cybersecuritywetgeving op te stellen. In Nederland wordt dit vertaald naar nationale wetgeving. De deadline hiervoor is oktober 2025.

Het verschil met de oude NIS-richtlijn is groot: waar die nauwelijks werd gehandhaafd, brengt NIS2 serieuze consequenties met zich mee. Denk aan boetes, sancties en zelfs het schorsen van bestuurders bij onvoldoende naleving.

Voor wie geldt NIS2?

NIS2 maakt onderscheid tussen twee soorten organisaties:

• Essentiële entiteiten: o.a. energiebedrijven, ziekenhuizen, datacenters en overheidsdiensten.
• Belangrijke entiteiten: o.a. voedselproducenten, postbedrijven, afvalverwerking en digitale dienstverleners.

Heb jij meer dan 50 medewerkers en val je binnen een van deze sectoren? Dan moet je voldoen aan de NIS2-wetgeving. Maar ook als leverancier van zo’n organisatie krijg je ermee te maken: je moet aantoonbaar laten zien dat jouw cybersecurity op orde is.

Kortom: óók wanneer je zelf niet rechtstreeks onder NIS2 valt, kan het indirect grote impact hebben op jouw business.

De drie kernverplichtingen van NIS2

Val je onder NIS2, dan moet je voldoen aan drie belangrijke verplichtingen:

1. Registratieplicht

Je organisatie moet zich officieel registreren bij het Nationaal Cyber Security Centrum (NCSC).

2. Zorgplicht

• Je moet minimaal tien beveiligingsmaatregelen implementeren. Denk aan:
• Risicoanalyses van bedrijfsprocessen
• Toegangsbeheer en personeelsbeleid
• Technische maatregelen zoals multifactor-authenticatie
• Back-up- en herstelstrategieën
• Trainingen en bewustwording bij medewerkers en bestuur

3. Meldplicht

Ernstige cyberincidenten moeten binnen 24 uur gemeld worden. Binnen 72 uur volgt een volledige rapportage.

Waarom leveranciers ook geraakt worden

Veel organisaties beseffen nog niet dat NIS2 ook hun supply chain raakt. Lever jij diensten of software aan een NIS2-organisatie, dan zijn zij verplicht jouw beveiligingsmaatregelen te controleren.

Is je beveiliging niet aantoonbaar op orde? Dan loop je het risico dat klanten afhaken en kiezen voor een leverancier die wél compliant is.

Een bekend voorbeeld: een gemeente werd gehackt via een leverancier zonder multifactor-authenticatie. De schade kwam bij de gemeente te liggen, maar was te voorkomen geweest als de leverancier de juiste basismaatregelen had genomen.

Waarom veel organisaties nog niet klaar zijn

Veel bedrijven voelen zich veilig, maar hebben het niet aantoonbaar geregeld. In de praktijk zien we vaak dat:

• Er geen vastgelegd cybersecuritybeleid is.
• Risicoanalyses ontbreken.
• Jaarlijkse controles en documentatie niet worden uitgevoerd.

Cybersecurity mag niet gebaseerd zijn op gevoel. Het moet aantoonbaar en meetbaar zijn – en dat is precies waar NIS2 op inzet.

Wat kun jij nu al doen?

Wil jij niet wachten tot de deadline? Dit kun je vandaag al oppakken:

1. Bepaal of je onder NIS2 valt
   Check of je een essentiële of belangrijke entiteit bent of leverancier van een partij die dat is.
2. Voer een risicoanalyse uit
   Breng in kaart welke systemen cruciaal zijn en welke risico’s je loopt.
3. Documenteer beleid en maatregelen
   Van onboarding tot toegangsbeheer en incidentrespons – leg het zwart-op-wit vast.
4. Train en betrek medewerkers
   Mensen zijn vaak de zwakste schakel. Awareness-trainingen en phishing-simulaties helpen om risico’s te verkleinen.
5. Laat je begeleiden door experts
   Met een NIS2-scan of audit krijg je inzicht in je huidige situatie en advies over vervolgstappen.

NIS2 komt eraan – ben jij voorbereid?

De klok tikt: vanaf oktober 2025 wordt NIS2 realiteit. Wacht niet tot het te laat is. Door nu actie te ondernemen, zorg je dat je voldoet aan de nieuwe wetgeving én dat je een betrouwbare partner blijft voor jouw klanten.

Hands on ICT helpt je met een NIS2 Gap Analyse: inzicht in jouw risico’s, advies op maat en een concreet actieplan. Zo ben jij klaar voor de toekomst.

📞 Neem vandaag nog contact op met Hands on ICT voor een vrijblijvend adviesgesprek.