NIS2 checklist voor het MKB: dit moet je geregeld hebben

Patrick de Veer · 22 jul 2026

NIS2 is de Europese richtlijn voor netwerk- en informatiebeveiliging die in 2026 voor steeds meer bedrijven concreet wordt. Waar NIS2 vroeger alleen grote organisaties raakte, geldt de richtlijn nu ook voor middelgrote bedrijven in sectoren die als belangrijk worden beschouwd. Als MKB-ondernemer wil je weten of jij eronder valt, en zo ja, wat je dan precies moet regelen. Deze checklist geeft je een helder overzicht van de stappen die je moet zetten om NIS2-compliant te worden.

Wat NIS2 concreet betekent voor jouw bedrijf

NIS2 verplicht bedrijven om serieus werk te maken van digitale beveiliging. De richtlijn stelt eisen aan risicobeheer, incidentmelding, leveranciersbeveiliging en bewustwording binnen de organisatie. Voldoe je niet, dan riskeer je boetes en reputatieschade.

Voor het MKB betekent dit concreet: je hoeft geen beveiligingsexpert te worden, maar je kunt digitale risico’s ook niet langer negeren. De richtlijn vraagt om aantoonbare maatregelen, geen perfectie. Dat is een belangrijk verschil. Wat telt, is dat je weet waar je staat, welke risico’s je loopt en welke stappen je hebt gezet om die te beperken.

1: Bepaal of jouw bedrijf onder NIS2 valt

Niet elk bedrijf valt automatisch onder NIS2. De richtlijn richt zich op organisaties in sectoren die als belangrijk of zeer belangrijk worden aangemerkt, zoals transport, energie, gezondheidszorg, digitale infrastructuur en financiële dienstverlening. Bedrijven met meer dan 50 medewerkers of een jaaromzet boven 10 miljoen euro in deze sectoren vallen in de meeste gevallen onder de richtlijn.

Controleer dus eerst: in welke sector opereer jij, hoe groot is je bedrijf en lever jij diensten aan organisaties die zelf onder NIS2 vallen? Dat laatste punt is relevant voor de NIS2 MKB checklist, want ook als toeleverancier van een NIS2-plichtig bedrijf kun je indirect verplichtingen krijgen opgelegd via contracten en inkoopvereisten.

2: Stel een verantwoordelijke aan voor cyberveiligheid

NIS2 vereist dat het management aantoonbaar betrokken is bij cyberveiligheid. Dat betekent niet dat je een fulltime beveiligingsspecialist moet aannemen, maar wel dat iemand binnen de organisatie duidelijk verantwoordelijk is voor het onderwerp.

Wijs een contactpersoon aan die overzicht houdt over de beveiligingsmaatregelen, incidenten bijhoudt en zorgt dat relevante updates binnen de organisatie worden doorgevoerd. In een klein bedrijf kan dat de directeur of een senior medewerker zijn. Leg de verantwoordelijkheid vast, ook al is het maar één A4’tje in je interne documentatie.

3: Breng je risico’s en kwetsbaarheden in kaart

Voordat je maatregelen treft, moet je weten waar je kwetsbaar bent. NIS2 vraagt om een risicoanalyse: welke systemen, data en processen zijn voor jouw bedrijf het meest kritisch, en wat gebeurt er als die uitvallen of worden aangevallen?

Denk aan je digitale afhankelijkheid van cloudleveranciers, de gevoeligheid van klantdata en de continuïteit van je bedrijfsprocessen. Bedrijven die sterk afhankelijk zijn van Amerikaanse cloudproviders lopen bovendien een specifiek risico rondom de CLOUD Act, die Amerikaanse autoriteiten het recht geeft om data op te vragen bij Amerikaanse bedrijven, ook als die data in Europa is opgeslagen. Dit is een punt dat steeds vaker terugkomt in gesprekken over digitale weerbaarheid voor het MKB.

4: Implementeer basismaatregelen voor beveiliging

NIS2 schrijft geen specifieke technische oplossingen voor, maar verwacht wel dat je aantoonbare basismaatregelen hebt getroffen. Denk aan multifactorauthenticatie voor toegang tot systemen, regelmatige back-ups op een veilige locatie, patchbeheer zodat software up-to-date blijft en versleuteling van gevoelige data.

Dit zijn geen exotische maatregelen. De meeste zijn relatief eenvoudig te implementeren met bestaande tools. Wat NIS2 vraagt, is dat je ze niet alleen hebt ingericht, maar ook kunt aantonen dat ze actief worden toegepast. Documenteer daarom wat je doet, hoe vaak en wie daarvoor verantwoordelijk is.

5: Regel incidentdetectie en meldplicht

Als er iets misgaat, moet je het snel weten en snel kunnen handelen. NIS2 verplicht bedrijven om significante incidenten binnen 24 uur te melden bij de bevoegde autoriteit, met een volledig rapport binnen 72 uur. Dat lukt alleen als je een werkend systeem hebt voor het detecteren van incidenten.

Zorg dat je weet wie je moet bellen bij een datalek of cyberaanval, welke stappen je intern neemt en hoe je een incident documenteert. Oefen dit scenario minimaal één keer per jaar. Een incident response plan hoeft niet ingewikkeld te zijn, maar het moet er wel zijn voordat je het nodig hebt.

6: Zorg voor bewustwording bij medewerkers

De meeste beveiligingsincidenten beginnen bij menselijk gedrag: een phishingmail die wordt geopend, een wachtwoord dat wordt gedeeld of een USB-stick die in de verkeerde computer gaat. NIS2 vraagt daarom niet alleen om technische maatregelen, maar ook om bewustwording binnen je team.

Geef medewerkers minimaal één keer per jaar een training over digitale veiligheid. Bespreek actuele dreigingen zoals phishing en social engineering. Maak duidelijk wat medewerkers moeten doen als ze iets verdachts zien. Bewustwording is geen eenmalige actie, maar een doorlopend proces, en dat hoeft niet duur of tijdrovend te zijn.

7: Controleer de beveiliging van je toeleveranciers

Jouw beveiliging is zo sterk als de zwakste schakel in je keten. NIS2 verplicht bedrijven om ook de beveiligingsrisico’s van hun toeleveranciers en partners te beoordelen. Als een leverancier toegang heeft tot jouw systemen of data, is zijn beveiliging ook jouw verantwoordelijkheid.

Vraag leveranciers naar hun beveiligingsbeleid en vraag om bewijs, zoals certificeringen of eigen verklaringen. Neem beveiligingsvereisten op in contracten. Beoordeel ook je digitale afhankelijkheid: als één leverancier uitvalt, wat zijn dan de gevolgen voor jouw bedrijfscontinuïteit? Dit is een punt dat bij veel MKB-bedrijven nog onderbelicht is, maar dat steeds zwaarder weegt in de context van digitale afhankelijkheid voor het MKB.

Zo zet je de eerste stap naar NIS2-compliance

NIS2-compliance hoeft niet overweldigend te zijn. Begin met de eerste stap: bepaal of je eronder valt, wijs een verantwoordelijke aan en breng je risico’s in kaart. De rest bouw je stap voor stap op. Wat telt, is dat je aantoonbaar bezig bent, niet dat alles in één keer perfect is geregeld.

Wij zien bij GreenAumatic dat veel MKB-ondernemers niet weten waar ze staan op het gebied van digitale weerbaarheid. Niet omdat ze het niet belangrijk vinden, maar omdat ze geen goed startpunt hebben. Een snelle scan kan helpen om dat beeld snel helder te krijgen, zonder dat je er een dag voor hoeft uit te trekken.

Benieuwd waar jouw bedrijf staat op het gebied van digitale weerbaarheid? Doe de gratis Digitale Weerbaarheid pre-scan en weet het in tien minuten. Geen registratie, direct resultaat.

Frequently Asked Questions

Wat zijn de gevolgen als ik niet voldoe aan NIS2?

Als je niet voldoet aan de NIS2-richtlijn, riskeer je aanzienlijke boetes: voor 'belangrijke' entiteiten kan dit oplopen tot 7 miljoen euro of 1,4% van de wereldwijde jaaromzet, voor 'zeer belangrijke' entiteiten tot 10 miljoen euro of 2% van de omzet. Naast financiële sancties loop je ook reputatieschade op, wat klanten en partners kan afschrikken. Bovendien kunnen toezichthouders corrigerende maatregelen opleggen of in ernstige gevallen tijdelijk het opereren verbieden.

Ik ben een kleine toeleverancier van een NIS2-plichtig bedrijf. Wat moet ik concreet doen?

Als toeleverancier kun je indirect NIS2-verplichtingen krijgen via contractuele eisen van je opdrachtgever. Verwacht dat klanten je vragen om een eigen verklaring over je beveiligingsmaatregelen, een bewijs van certificering (zoals ISO 27001) of het invullen van een security vragenlijst. Begin dus met het documenteren van je huidige maatregelen, zodat je snel en geloofwaardig kunt antwoorden wanneer een klant hierom vraagt.

Hoe lang duurt het gemiddeld om NIS2-compliant te worden als MKB-bedrijf?

De doorlooptijd hangt sterk af van je huidige beveiligingsniveau, maar reken voor een gemiddeld MKB-bedrijf op drie tot zes maanden voor de basisimplementatie. Als je al werkt met MFA, regelmatige back-ups en een antivirusoplossing, ben je sneller klaar dan wanneer je vrijwel vanaf nul begint. De sleutel is prioriteren: start met de risicoanalyse en de basismaatregelen, en bouw de documentatie en bewustwording daarna stap voor stap uit.

Moet ik een externe cybersecurityspecialist inhuren om aan NIS2 te voldoen?

Dat is niet verplicht, maar voor veel MKB-bedrijven wel aan te raden voor de initiële inventarisatie en risicoanalyse. Een externe specialist kan snel blinde vlekken blootleggen die intern over het hoofd worden gezien. Daarna kun je het beheer van de basismaatregelen vaak zelf of met een bestaande IT-partner oppakken, mits je de verantwoordelijkheden intern goed belegt.

Welke documenten moet ik kunnen overleggen bij een controle?

Bij een controle wil de toezichthouder zien dat je aantoonbaar bezig bent met cyberveiligheid. Denk aan een gedocumenteerde risicoanalyse, een overzicht van geïmplementeerde beveiligingsmaatregelen, een incident response plan, trainingsregistraties van medewerkers en contractuele beveiligingsafspraken met leveranciers. Je hoeft geen uitgebreide rapporten te produceren, maar een gestructureerd dossier met deze elementen laat zien dat je de richtlijn serieus neemt.

Wat is de meest gemaakte fout door MKB-bedrijven bij de voorbereiding op NIS2?

De meest voorkomende fout is het uitstellen van de risicoanalyse omdat het 'te complex' lijkt, waardoor bedrijven maatregelen treffen zonder te weten welke risico's het grootst zijn. Een andere veelgemaakte fout is het verwaarlozen van documentatie: maatregelen worden wel ingevoerd, maar niet vastgelegd, waardoor je bij een controle niet kunt aantonen wat je doet. Begin daarom altijd met het in kaart brengen van je risico's en leg élke stap die je zet schriftelijk vast.

Geldt NIS2 ook voor bedrijven die voornamelijk buiten de EU opereren maar in Nederland zijn geregistreerd?

Ja, NIS2 is van toepassing op organisaties die in de EU zijn gevestigd en diensten verlenen binnen de EU, ongeacht waar hun klanten of activiteiten zich bevinden. De vestigingsplaats in Nederland is daarmee doorslaggevend. Als je bovendien gebruikmaakt van cloudinfrastructuur of leveranciers buiten de EU, zoals Amerikaanse providers, brengt dat extra aandachtspunten mee rondom datasoevereiniteit en de CLOUD Act, die je mee moet nemen in je risicoanalyse.