Definitie
NIS2 (Network and Information Security Directive 2) is een Europese richtlijn die per oktober 2024 in nationale wetgeving moet zijn omgezet en strengere cyberveiligheid-eisen stelt aan organisaties in zogenaamde “kritieke” en “belangrijke” sectoren. Het breidt de eerdere NIS-richtlijn uit naar meer sectoren en stelt zwaardere eisen.
Onder kritieke sectoren vallen energie, transport, banken, gezondheidszorg, drinkwater en digitale infrastructuur. Belangrijke sectoren omvatten onder meer post, afval, voedselverwerking, productie van bepaalde goederen en digitale dienstverleners. Veel MKB-organisaties in deze sectoren krijgen voor het eerst formele cybersecurity-verplichtingen.
Waarom het ertoe doet voor MKB
Voor MKB in een NIS2-sector zijn de implicaties concreet: een risico-analyse moet opgesteld zijn, incidenten moeten binnen 24 uur gemeld worden, bestuurders zijn persoonlijk aansprakelijk, en boetes kunnen oplopen tot 10 miljoen euro of 2% van de jaaromzet.
Voor jouw bedrijf is de eerste vraag: vallen wij eronder? Dat hangt af van sector en omvang (vaak vanaf 50 medewerkers of 10 miljoen omzet). Een snelle check bij Digital Trust Center of branchevereniging maakt dat helder. Buiten de scope is NIS2 vooral een baseline voor goede cybersecurity-praktijken.
Concreet voorbeeld
Een drinkwaterbedrijf met 120 medewerkers stond onder NIS1 al onder toezicht, maar onder NIS2 worden de eisen aangescherpt: risico-analyse jaarlijks geactualiseerd, incident-response plan getest, en specifieke maatregelen rond toegangscontrole, beveiligde back-ups en supply chain-risico’s.
De implementatie kostte een gestructureerd traject van 6 maanden: een externe cybersecurity-partner werd ingeschakeld voor de risico-analyse, interne IT’ers werden opgeleid in incident-response, en leveranciersafspraken werden herzien. Investering rond 60.000 euro, met als opbrengst niet alleen compliance maar ook duidelijk verminderd risico op uitval bij cyberincidenten.
Misverstanden en valkuilen
- “NIS2 is alleen voor grote bedrijven.” Onjuist. Veel MKB in betrokken sectoren valt eronder. De omvanggrenzen liggen relatief laag (50 medewerkers / 10 miljoen omzet).
- “Een ISO 27001-certificering is genoeg.” Helpt sterk, maar NIS2 heeft specifieke eisen (zoals 24-uurs meldplicht) die los van ISO geregeld moeten zijn.
- “NIS2 = AVG.” Verschillende doelen. AVG gaat over privacy van persoonsgegevens; NIS2 over continuïteit en veiligheid van diensten. Vaak overlappen ze, maar het zijn verschillende compliance-trajecten.
- “Bestuurders kunnen het delegeren.” Niet helemaal. Onder NIS2 zijn bestuurders persoonlijk aansprakelijk en moeten ze cybersecurity-training volgen.
Wanneer moet je hier wakker liggen, wanneer niet
Wakker liggen: als je in een NIS2-sector valt en nog geen serieuze cybersecurity-praktijk hebt. De boetes zijn fors, en de tijdslijnen krap. Een ondernemer die zegt “we doen wel ons best” zonder gedocumenteerde aanpak loopt risico.
Niet wakker liggen: als je niet onder NIS2 valt qua sector of omvang. Wel: de NIS2-baseline (toegangscontrole, back-ups, incident-response) is goede praktijk voor elk MKB.
Gerelateerde termen
- AVG: parallel compliance-traject voor privacy.
- 2FA: vrijwel verplichte basismaatregel onder NIS2.
- Penetration testing: vaak onderdeel van NIS2-compliance.
- Encryption: belangrijke maatregel voor NIS2-verplichtingen.