5 maatregelen die je vandaag nog moet nemen voor NIS2

Patrick de Veer · 21 jul 2026

NIS2 is de Europese richtlijn voor netwerk- en informatiebeveiliging die in 2026 steeds meer tanden krijgt voor Nederlandse bedrijven. Waar de richtlijn eerder vooral grote organisaties raakte, trekt de reikwijdte zich nu ook richting het MKB. Vijf concrete maatregelen helpen je om snel en praktisch aan de slag te gaan: breng je digitale risico’s in kaart, stel een incidentresponsplan op, beveilig toegang met sterke authenticatie, train je medewerkers en controleer de beveiliging van je leveranciers. In dit artikel lopen we ze stap voor stap met je door.

Wat NIS2 betekent voor jouw bedrijf

NIS2 verplicht bedrijven in bepaalde sectoren om hun digitale beveiliging serieus te nemen en aantoonbaar te maken. Denk aan sectoren als transport, energie, gezondheidszorg, digitale infrastructuur en financiële dienstverlening. Maar ook als jouw bedrijf niet direct onder de richtlijn valt, kun je er indirect mee te maken krijgen: grote klanten of opdrachtgevers die wél onder NIS2 vallen, verwachten steeds vaker dat hun leveranciers en partners aan vergelijkbare normen voldoen.

De kern van NIS2 draait om vier thema’s: risicobeheer, incidentmelding, continuïteit en ketenbeveiliging. Het gaat er niet om dat je een perfect beveiligd bedrijf bent, maar dat je aantoonbaar nadenkt over risico’s en actie onderneemt. Voor het MKB betekent dit niet dat je een enorme IT-afdeling moet optuigen, maar wel dat je een aantal basismaatregelen op orde hebt. Hieronder vind je de vijf meest concrete stappen die je vandaag al kunt zetten.

1: Breng je digitale risico’s in kaart

Weten waar je kwetsbaar bent, is de eerste stap naar betere digitale weerbaarheid. Zonder een helder beeld van je risico’s schiet elke maatregel die je neemt in het duister. Een risicoanalyse hoeft geen technisch project te zijn: het begint met de vraag welke systemen, data en processen voor jouw bedrijf onmisbaar zijn.

Maak een lijst van de software en platforms die je dagelijks gebruikt. Denk aan je boekhoudsysteem, CRM, e-mail, cloudopslag en eventuele branchespecifieke tools. Noteer per systeem wie er toegang toe heeft, waar de data opgeslagen ligt en wat er gebeurt als dat systeem uitvalt of gehackt wordt. Let daarbij ook op je afhankelijkheid van Amerikaanse clouddiensten: de CLOUD Act geeft Amerikaanse autoriteiten het recht om data op te vragen bij Amerikaanse bedrijven, ook als die data in Europa staat. Dat is een risico dat veel MKB-bedrijven onderschatten.

Zodra je weet waar je risico’s liggen, kun je prioriteren. Niet alles hoeft tegelijk opgelost te worden. Begin bij de systemen die het meest kritiek zijn voor je bedrijfscontinuïteit en werk van daaruit verder.

2: Stel een incidentresponsplan op

Een incidentresponsplan beschrijft wat je doet als er iets misgaat. Denk aan een ransomware-aanval, een datalek of een langdurige storing bij een leverancier. Zonder plan verlies je bij een incident kostbare tijd en maak je fouten die de schade vergroten.

Een goed plan hoeft niet lang te zijn. Het bevat in elk geval: wie beslist wat in een crisissituatie, hoe je intern communiceert, welke externe partijen je moet inschakelen (denk aan je IT-leverancier, juridisch adviseur of verzekeraar) en wanneer je een incident moet melden bij de toezichthouder. NIS2 verplicht bedrijven namelijk om ernstige incidenten binnen 24 uur te melden.

Schrijf het plan op en zorg dat de juiste mensen het kennen. Oefen het desnoods een keer, ook al is het een kort overleg van een half uur. Een plan dat in de la blijft liggen, werkt niet.

3: Beveilig toegang met sterke authenticatie

Zwakke wachtwoorden en gedeelde inloggegevens zijn nog steeds de meest voorkomende oorzaak van digitale incidenten. Sterke authenticatie is daarmee een van de meest effectieve maatregelen die je kunt nemen, en ook een van de goedkoopste.

Voer voor alle kritieke systemen tweefactorauthenticatie (2FA) in. Dit betekent dat medewerkers naast hun wachtwoord een tweede verificatiestap doorlopen, bijvoorbeeld via een app op hun telefoon. De meeste moderne softwareplatforms ondersteunen dit standaard. Zet het aan als je dat nog niet gedaan hebt.

Kijk ook naar wie toegang heeft tot welke systemen. Niet iedereen hoeft overal bij te kunnen. Het principe van “minimale toegang” houdt in dat medewerkers alleen toegang krijgen tot wat ze echt nodig hebben voor hun werk. Dit verkleint het risico aanzienlijk als een account gecompromitteerd raakt. Voor de NIS2 MKB checklist is dit een van de punten die het meest direct te implementeren zijn.

4: Train medewerkers in digitale veiligheid

De meeste digitale incidenten beginnen niet bij een technisch lek, maar bij menselijk gedrag. Een medewerker die op een phishinglink klikt, een wachtwoord deelt of een onbekende USB-stick inplugt: het zijn kleine acties met grote gevolgen. Bewustwording bij je team is daarom een van de meest waardevolle investeringen die je kunt doen.

Je hoeft geen dure cursus in te kopen. Begin met een korte bespreking tijdens een teamoverleg: wat is phishing, hoe herken je een verdachte e-mail, wat doe je als je iets verdachts ziet? Maak het concreet met voorbeelden uit jullie eigen branche. Herhaling werkt: één sessie per jaar is niet genoeg.

Zorg ook dat medewerkers weten bij wie ze terechtkunnen als ze iets verdachts tegenkomen. Een veilige meldcultuur voorkomt dat mensen een incident stilhouden uit angst voor een reprimande. Hoe sneller je weet dat er iets mis is, hoe sneller je kunt handelen.

5: Controleer de beveiliging van je leveranciers

NIS2 legt expliciet de nadruk op ketenbeveiliging. Dat betekent dat jij als bedrijf ook verantwoordelijk bent voor de digitale risico’s die je leveranciers met zich meebrengen. Een zwakke schakel in je keten kan jouw bedrijf net zo hard raken als een directe aanval.

Begin met een overzicht van je belangrijkste leveranciers en vraag jezelf af: weet ik wat zij doen aan beveiliging? Grote softwareleveranciers publiceren vaak beveiligingsbeleid en certificeringen op hun website. Kleinere leveranciers kun je direct benaderen met een paar gerichte vragen: Hebben jullie een beveiligingsbeleid? Hoe gaan jullie om met datalekken? Worden onze gegevens versleuteld opgeslagen?

Kijk ook naar de digitale afhankelijkheid van je MKB-bedrijf van specifieke leveranciers. Als één partij uitvalt, wat zijn dan de gevolgen? Zijn er alternatieven? Vendor lock-in is niet alleen een commercieel risico, maar ook een beveiligingsrisico. Hoe meer je afhankelijk bent van één partij, hoe groter de impact als er iets misgaat bij die partij.

Zo begin je vandaag nog met NIS2-compliance

NIS2-compliance hoeft niet te beginnen met een groot project of een duur adviestraject. De vijf maatregelen hierboven zijn allemaal direct uitvoerbaar, ook als je geen IT-afdeling hebt. Begin met de risicoanalyse: dat geeft je het overzicht dat je nodig hebt om de andere stappen te prioriteren.

Documenteer wat je doet. NIS2 vraagt niet alleen dat je maatregelen neemt, maar ook dat je kunt aantonen dat je ze genomen hebt. Een eenvoudig overzicht in een gedeeld document is al een goed begin. Betrek je team erbij en maak digitale veiligheid een terugkerend gespreksonderwerp in plaats van een eenmalig project.

Als je merkt dat je moeite hebt om te bepalen waar je staat op het gebied van digitale weerbaarheid, helpen wij je graag op weg. Onze Compass pre-scan geeft je in tien minuten een concreet beeld van je positie op thema’s als NIS2-verplichtingen, CLOUD Act-risico’s en digitale continuïteit, zonder dat je je ergens voor hoeft te registreren.

Benieuwd waar jouw bedrijf staat op het gebied van digitale weerbaarheid? Doe de gratis Digitale Weerbaarheid pre-scan en weet het in tien minuten. Geen registratie, direct resultaat.

Frequently Asked Questions

Val ik als MKB-bedrijf automatisch onder NIS2, en hoe weet ik dat?

NIS2 is van toepassing op bedrijven in specifieke sectoren (zoals energie, transport, gezondheidszorg en digitale infrastructuur) die voldoen aan bepaalde drempelwaarden voor omzet en personeelsomvang. Als vuistregel: bedrijven met meer dan 50 medewerkers of een jaaromzet boven de €10 miljoen in een aangewezen sector vallen hoogstwaarschijnlijk onder de richtlijn. Twijfel je? Controleer het via de zelfevaluatietool op de website van het Nationaal Cyber Security Centrum (NCSC) of raadpleeg een adviseur.

Wat zijn de gevolgen als ik niet aan NIS2 voldoe?

Bedrijven die onder NIS2 vallen en aantoonbaar nalatig zijn, kunnen rekenen op boetes die kunnen oplopen tot €10 miljoen of 2% van de wereldwijde jaaromzet, afhankelijk van welk bedrag hoger is. Maar de financiële schade van een daadwerkelijk incident — denk aan downtime, reputatieschade en herstelkosten — is in de praktijk vaak groter dan de boete zelf. Zelfs als je niet direct onder NIS2 valt, kunnen klanten of opdrachtgevers die wél onder de richtlijn vallen jou als leverancier aansprakelijk stellen voor beveiligingstekortkomingen.

Hoe stel ik een risicoanalyse op als ik geen IT-kennis heb?

Een risicoanalyse hoeft geen technisch document te zijn. Begin simpel: maak een lijst van alle digitale systemen die je gebruikt, wie er toegang toe heeft en wat er gebeurt als elk systeem een dag of een week uitvalt. Vraag jezelf per systeem af hoe groot de kans is dat er iets misgaat en hoe groot de impact zou zijn. Dat geeft je al een bruikbare prioriteitenlijst. Er zijn ook gratis templates beschikbaar, bijvoorbeeld via het Digital Trust Center (DTC) van de Rijksoverheid, speciaal ontwikkeld voor het MKB.

Hoe vaak moet ik mijn medewerkers trainen in digitale veiligheid om aan NIS2 te voldoen?

NIS2 schrijft geen vaste trainingsfrequentie voor, maar verwacht wel dat bewustwording een structureel onderdeel is van je beveiligingsbeleid — niet een eenmalige actie. Een praktische richtlijn is om minimaal twee tot vier keer per jaar aandacht te besteden aan het onderwerp, bijvoorbeeld via een kort agendapunt in een teamoverleg, een phishing-simulatie of een nieuwsbrief over actuele dreigingen. Herhaling is hierbij cruciaal: gedragsverandering ontstaat niet na één sessie.

Wat moet ik precies melden bij een incident, en bij wie?

NIS2 verplicht bedrijven om ernstige incidenten binnen 24 uur te melden bij de bevoegde toezichthouder — in Nederland is dat afhankelijk van je sector, bijvoorbeeld de Autoriteit Persoonsgegevens (bij datalekken), het NCSC of een sectorale toezichthouder. Een 'ernstig incident' is een verstoring die significante impact heeft op je dienstverlening of de veiligheid van gegevens. Zorg dat je incidentresponsplan concreet beschrijft wie binnen jouw organisatie verantwoordelijk is voor de melding en welke contactgegevens daarvoor nodig zijn.

Hoe controleer ik of mijn leveranciers veilig genoeg zijn zonder een heel audittraject op te starten?

Je hoeft geen formele audit uit te voeren om een redelijk beeld te krijgen van de beveiliging van je leveranciers. Vraag gerichte vragen: beschikken ze over een ISO 27001-certificering of een SOC 2-rapport, hebben ze een beveiligingsbeleid dat ze kunnen delen, en hoe communiceren ze bij een datalek? Grote leveranciers publiceren dit vaak op hun website. Voor kleinere partijen is een e-mail of een kort gesprek al waardevol — de manier waarop ze reageren, zegt ook iets over hoe serieus ze beveiliging nemen.

Kan ik NIS2-compliance regelen zonder een externe IT-partij in te schakelen?

Voor de basismaatregelen — risicoanalyse, incidentresponsplan, 2FA en medewerkerstraining — is externe hulp niet per se nodig. Met de juiste templates en tools (zoals die van het Digital Trust Center) kun je als MKB-bedrijf al een heel eind komen op eigen kracht. Waar externe expertise echt waarde toevoegt, is bij technisch complexere vraagstukken zoals penetratietesten, het beoordelen van je cloudarchitectuur of het opstellen van een formeel informatiebeveiligingsbeleid. Begin zelf met de basics en schakel een specialist in voor de stappen die je eigen kennis overstijgen.