Wat is NIS2? Uitleg over de nieuwe cybersecurityrichtlijn

NIS2 is een Europese richtlijn voor netwerk- en informatiebeveiliging. De richtlijn is bedoeld om de digitale weerbaarheid van organisaties in Europa te versterken. In Nederland wordt NIS2 omgezet in de Cyberbeveiligingswet, die op 15 augustus 2026 in werking treedt.

Cybersecurity wordt daarmee voor veel organisaties belangrijker. Niet alleen grote instellingen en vitale sectoren krijgen ermee te maken. Ook bedrijven die leveren aan organisaties die onder NIS2 vallen, kunnen vaker vragen krijgen over beveiliging, toegangsbeheer, back-ups, incidenten en de inrichting van hun IT-omgeving.

Voor veel bedrijven is NIS2 daarom een goed moment om de digitale basis kritisch te bekijken. Denk aan veilige accounts, updates, netwerkbeveiliging, back-ups, rechten, monitoring en duidelijke afspraken over IT support.

NIS2 staat voor Network and Information Security Directive 2. Het is de opvolger van de eerste NIS-richtlijn en heeft als doel om de cyberbeveiliging binnen de Europese Unie verder te versterken. De samenleving en economie zijn steeds afhankelijker van digitale processen en netwerk- en informatiesystemen. Tegelijkertijd nemen cyberdreigingen toe.

NIS2 moet zorgen voor meer samenhang in de beveiligingseisen binnen de EU. Organisaties die onder de richtlijn vallen, moeten bewuster en structureler omgaan met digitale risico’s.

In Nederland wordt NIS2 geïmplementeerd via de Cyberbeveiligingswet. Organisaties die onder de wet vallen, krijgen onder meer te maken met cybersecurityeisen, een zorgplicht, meldplicht, registratieplicht en meer verantwoordelijkheid binnen de organisatie.

Kort gezegd: NIS2 verplicht bepaalde organisaties om digitale risico’s beter te beheersen en hun netwerk- en informatiesystemen beter te beveiligen.

Digitale systemen zijn onmisbaar geworden. Bedrijven gebruiken e-mail, cloudsoftware, online administratie, VoIP, WiFi, klantportalen, externe koppelingen en gedeelde bestanden. Als deze systemen uitvallen of worden misbruikt, kan dat grote gevolgen hebben.

NIS2 is ingevoerd om organisaties beter voor te bereiden op cyberincidenten. Het gaat niet alleen om het voorkomen van aanvallen, maar ook om het beperken van schade en het sneller herstellen wanneer er toch iets gebeurt.

De richtlijn draait daarom om digitale weerbaarheid. Dat betekent dat een organisatie risico’s beter herkent, passende maatregelen neemt, incidenten sneller oppakt en beter kan doorgaan wanneer systemen tijdelijk niet beschikbaar zijn.

NIS2 is strenger en breder dan de eerdere NIS-richtlijn. Er vallen meer sectoren en meer organisaties onder de nieuwe regels. Ook wordt er meer nadruk gelegd op bestuur, verantwoordelijkheid, toezicht, incidentmelding en risicobeheersing.

Belangrijke onderdelen zijn:

• zorgplicht
• meldplicht
• registratieplicht
• verantwoordelijkheid van bestuur
• toezicht en handhaving
• meer aandacht voor leveranciers en ketenpartners
• strengere eisen aan netwerk- en informatiebeveiliging

Voor bedrijven betekent dit dat cybersecurity minder vrijblijvend wordt. Organisaties moeten beter kunnen aantonen dat zij passende maatregelen nemen om digitale risico’s te beperken.

De zorgplicht betekent dat organisaties zelf risico’s moeten beoordelen en passende maatregelen moeten nemen om hun netwerk- en informatiesystemen te beveiligen.

Dat klinkt juridisch, maar in de praktijk gaat het om heel concrete vragen:

• welke systemen gebruikt de organisatie?
• welke risico’s zijn er?
• wie heeft toegang tot welke gegevens?
• zijn accounts goed beveiligd?
• zijn systemen bijgewerkt?
• zijn back-ups geregeld en getest?
• is er een plan bij incidenten?
• weten medewerkers waar zij verdachte situaties kunnen melden?

Zorgplicht betekent dus niet alleen dat er beveiligingssoftware aanwezig is. Het gaat om een bredere aanpak waarbij techniek, processen en mensen samenkomen.

De meldplicht houdt in dat organisaties die onder de Cyberbeveiligingswet vallen significante incidenten moeten melden. Een eerste melding moet zo snel mogelijk worden gedaan en in ieder geval binnen 24 uur nadat het incident is opgemerkt. Het gaat om incidenten die de dienstverlening van een organisatie aanzienlijk kunnen verstoren.

Een incident kan bijvoorbeeld gaan om een cyberaanval, ransomware, uitval van belangrijke systemen, dataverlies of een storing die grote gevolgen heeft voor de dienstverlening.

Voor bedrijven betekent dit dat het belangrijk is om incidenten snel te herkennen. Medewerkers moeten weten waar zij terechtkunnen met verdachte e-mails, onverwachte meldingen, afwijkend systeemgedrag of problemen met toegang tot bestanden.

Organisaties die onder de Cyberbeveiligingswet vallen, moeten zich registreren in het nationaal entiteitenregister via MijnNCSC. Deze registratieplicht geldt vanaf de inwerkingtreding van de Cyberbeveiligingswet op 15 augustus 2026. Registratie kan nu al worden voorbereid of uitgevoerd.

Registratie helpt toezichthouders en betrokken instanties om beter zicht te krijgen op organisaties die belangrijk zijn voor digitale en maatschappelijke weerbaarheid.

Voor bedrijven is vooral belangrijk om te weten of zij zelf onder de wet vallen, of indirect vragen kunnen krijgen van klanten, leveranciers of opdrachtgevers.

NIS2 geldt niet automatisch voor elk bedrijf. Of een organisatie onder de Cyberbeveiligingswet valt, hangt onder andere af van de sector en de omvang van de organisatie.

Sectoren die onder de richtlijn kunnen vallen zijn onder meer energie, vervoer, bankwezen, gezondheidszorg, drinkwater, afvalwater, digitale infrastructuur, beheerders van ICT-diensten, overheid, ruimtevaart, post- en koeriersdiensten, afvalstoffenbeheer, levensmiddelen, vervaardiging, digitale aanbieders en onderzoek.

Micro- en kleinbedrijven vallen in principe niet onder NIS2. Daar kunnen uitzonderingen op zijn wanneer een organisatie een cruciale rol speelt of onder een specifieke uitzondering valt.

Twijfelt een organisatie of zij onder de Cyberbeveiligingswet valt, dan is het verstandig om de officiële zelfevaluatie of branche-informatie te gebruiken en waar nodig advies in te winnen.

Binnen de Cyberbeveiligingswet wordt onderscheid gemaakt tussen essentiële entiteiten en belangrijke entiteiten. Dit onderscheid heeft te maken met de sector, de omvang en de mogelijke impact van een verstoring.

Essentiële entiteiten zijn organisaties waarvan uitval grote gevolgen kan hebben voor maatschappij, veiligheid of economie. Belangrijke entiteiten vallen ook onder de wet, maar het toezicht kan anders zijn ingericht.

Voor ondernemers is vooral belangrijk dat de indeling niet alleen afhangt van “hoe groot voelt mijn bedrijf?”, maar van een combinatie van sector, omvang, dienstverlening en mogelijke impact.

Niet elk mkb-bedrijf valt direct onder NIS2. Toch is de richtlijn ook voor veel mkb-bedrijven relevant.

Dat komt doordat veel bedrijven onderdeel zijn van een keten. Een mkb-bedrijf kan bijvoorbeeld leverancier zijn van een grotere organisatie, een zorginstelling, een overheidsorganisatie, een IT-dienstverlener of een bedrijf in een sector die wel onder NIS2 valt.

In dat geval kunnen opdrachtgevers vragen stellen over cybersecurity. Bijvoorbeeld:

• hoe zijn accounts beveiligd?
• wordt tweestapsverificatie gebruikt?
• zijn back-ups goed geregeld?
• hoe worden updates uitgevoerd?
• wie heeft toegang tot welke systemen?
• hoe worden incidenten gemeld?
• is er een aanspreekpunt voor IT en beveiliging?
• hoe is netwerk en WiFi ingericht?

Ook wanneer NIS2 niet rechtstreeks geldt, kan de richtlijn dus wel invloed hebben op de eisen die klanten of partners stellen.

Cybersecurity stopt niet bij de eigen organisatie. Veel incidenten ontstaan via leveranciers, externe accounts, gedeelde bestanden, koppelingen of slecht beheerde systemen.

Organisaties die onder NIS2 vallen, moeten hun risico’s beter beheersen. Daardoor zullen zij ook kritischer kijken naar partijen waarmee zij samenwerken. Een leverancier met zwakke beveiliging kan namelijk risico’s veroorzaken voor de hele keten.

Voor bedrijven is dit een belangrijk signaal. Digitale veiligheid wordt steeds vaker onderdeel van professioneel zakendoen. Niet alleen bij grote aanbestedingen, maar ook bij gewone klantrelaties, samenwerkingen en servicecontracten.

NIS2 gaat over cybersecurity en digitale weerbaarheid. Voor de IT-omgeving betekent dit dat vooral de basis goed moet staan.

Belangrijke onderdelen zijn:

• accounts en toegangsrechten
• tweestapsverificatie
• updates en beveiligingspatches
• back-ups en herstelmogelijkheden
• netwerkbeveiliging
• WiFi en gastnetwerken
• monitoring en meldingen
• beveiliging van e-mail
• bescherming tegen phishing
• antivirus en endpointbeveiliging
• duidelijke afspraken over support
• procedures bij incidenten

Het gaat niet om één losse maatregel. Een veilige IT-omgeving bestaat uit meerdere lagen die samen zorgen voor meer grip en minder risico.

Toegangsbeheer is een belangrijk onderdeel van cybersecurity. Medewerkers moeten toegang hebben tot wat zij nodig hebben, maar niet tot alles.

In veel organisaties groeien rechten door de jaren heen. Iemand krijgt toegang tot een projectmap, mailbox, cloudomgeving of applicatie. Wanneer functies veranderen of medewerkers uit dienst gaan, worden die rechten niet altijd aangepast.

Dat kan risico’s opleveren. Daarom is het verstandig om regelmatig te controleren:

• welke accounts actief zijn
• wie toegang heeft tot welke bestanden
• of oude accounts zijn afgesloten
• of beheerdersrechten beperkt zijn
• of tweestapsverificatie wordt gebruikt
• of externe toegang goed is ingericht

Goed toegangsbeheer maakt de IT-omgeving overzichtelijker en veiliger.

Veel cyberincidenten maken gebruik van bekende kwetsbaarheden. Daarom is het belangrijk dat systemen, software en netwerkapparatuur worden bijgewerkt.

Denk aan updates voor:

• computers en laptops
• servers
• routers en firewalls
• WiFi-apparatuur
• zakelijke software
• cloudapplicaties
• beveiligingssoftware

Updates zijn niet alleen lastig onderhoud. Ze zijn een belangrijk onderdeel van digitale veiligheid. Een organisatie die updates structureel beheert, verkleint de kans dat bekende kwetsbaarheden open blijven staan.

Back-ups zijn onmisbaar bij ransomware, menselijke fouten, defecte apparatuur of problemen met cloudbestanden. Toch is een back-up pas echt waardevol als ook duidelijk is hoe herstel werkt.

Belangrijke vragen zijn:

• welke data wordt geback-upt?
• hoe vaak wordt er een back-up gemaakt?
• waar staat de back-up?
• wie heeft toegang?
• hoe snel kan data worden teruggezet?
• is het herstel getest?
• zijn back-ups beschermd tegen ransomware?

Een goede back-upstrategie gaat niet alleen over bewaren, maar ook over herstellen. Als systemen uitvallen, moet duidelijk zijn hoe de organisatie verder kan.

Ook netwerk en WiFi spelen een rol bij cybersecurity. Een zakelijke WiFi-omgeving moet niet alleen snel zijn, maar ook stabiel, veilig en goed beheersbaar.

Denk aan:

• gescheiden netwerken voor medewerkers en gasten
• veilige toegang tot het bedrijfsnetwerk
• goed beheer van routers, switches en access points
• monitoring van opvallende netwerkproblemen
• voldoende dekking en capaciteit
• inzicht in aangesloten apparaten

Een slecht ingericht netwerk kan zorgen voor trage verbindingen, onduidelijke toegang en beveiligingsrisico’s. Een goed beheerd netwerk helpt juist om overzicht en controle te houden.

NIS2 gaat niet alleen over techniek. Medewerkers spelen ook een belangrijke rol. Veel incidenten beginnen met een verdachte e-mail, een nepbericht, een verkeerd gedeeld bestand of een onveilige link.

Daarom is bewustwording belangrijk. Medewerkers hoeven geen cybersecurityspecialist te worden, maar moeten wel weten wanneer iets verdacht is en waar zij dit kunnen melden.

Voorbeelden zijn:

• vreemde e-mails of bijlagen
• verzoeken om snel geld over te maken
• links naar onbekende inlogpagina’s
• onverwachte MFA-meldingen
• berichten die druk zetten
• afwijkende verzoeken via telefoon of chat

Een duidelijke meldroute helpt om sneller te reageren en schade te beperken.

NIS2 hoeft niet te betekenen dat alles in één keer anders moet. Voor veel bedrijven begint het met overzicht en praktische verbeteringen.

Een goede eerste stap is:

• breng systemen, accounts en apparaten in kaart
• controleer toegangsrechten
• schakel tweestapsverificatie in waar mogelijk
• zorg voor regelmatige updates
• controleer back-ups en herstelmogelijkheden
• kijk kritisch naar netwerk en WiFi
• maak afspraken over incidentmeldingen
• bespreek phishing en veilig werken met medewerkers
• leg vast wie verantwoordelijk is voor IT en beveiliging
• zorg voor een duidelijk aanspreekpunt bij IT-vragen

Deze stappen helpen niet alleen bij NIS2-gerelateerde vragen, maar maken de IT-omgeving ook in het dagelijks gebruik betrouwbaarder.

Niet elk bedrijf heeft een eigen IT-afdeling. Toch worden betrouwbaarheid, veiligheid en overzicht steeds belangrijker. IT support helpt om dagelijkse vragen sneller op te pakken en terugkerende problemen zichtbaar te maken.

Denk aan ondersteuning bij:

• inloggen en accounts
• e-mail en agenda
• werkplekken
• WiFi en netwerkproblemen
• rechten en toegang
• beveiligingsmeldingen
• nieuwe medewerkers
• vertrekkende medewerkers
• back-upvragen
• verdachte e-mails of meldingen

Goede IT support zorgt ervoor dat medewerkers niet blijven twijfelen of zelf gaan zoeken, maar problemen snel kunnen melden.

Naast dagelijkse support kan ook breder IT-advies nodig zijn. Bijvoorbeeld wanneer onduidelijk is of de IT-omgeving veilig en overzichtelijk genoeg is ingericht.

IT-advies kan helpen bij vragen zoals:

• welke risico’s zitten er in onze IT-omgeving?
• zijn accounts en rechten logisch ingericht?
• is onze back-upstrategie voldoende?
• is netwerk en WiFi veilig genoeg?
• hoe gaan we om met phishing en incidenten?
• welke verbeteringen zijn nu het meest logisch?
• welke stappen passen bij onze organisatie?

Voor veel bedrijven is NIS2 vooral een aanleiding om de basis beter te organiseren. Dat hoeft niet meteen ingewikkeld te zijn. Het begint met inzicht, praktische verbeteringen en duidelijke afspraken.

Weten wat NIS2 is, is stap één. De volgende stap is kijken wat dit betekent voor de eigen organisatie.

Een bedrijf hoeft niet altijd direct onder de wet te vallen om toch voordeel te hebben van betere cybersecurity. Een overzichtelijke IT-omgeving helpt namelijk ook bij dagelijkse continuïteit, klantvertrouwen en professioneel werken.

Daarom is het verstandig om NIS2 niet alleen te zien als wetgeving, maar ook als moment om de IT-basis te controleren.

NIS2 draait om digitale weerbaarheid. Voor bedrijven betekent dit dat IT niet alleen moet werken, maar ook veilig, beheersbaar en herstelbaar moet zijn.

Dat raakt aan de dagelijkse praktijk:

• medewerkers moeten veilig kunnen inloggen
• bestanden moeten goed beschermd zijn
• back-ups moeten beschikbaar zijn
• WiFi en netwerk moeten betrouwbaar zijn
• updates moeten worden uitgevoerd
• verdachte situaties moeten snel worden opgepakt
• verantwoordelijkheden moeten duidelijk zijn

Wie de basis op orde heeft, staat sterker. Niet alleen richting NIS2, maar ook richting klanten, leveranciers en medewerkers.

→ Wat betekent NIS2 voor bedrijven en hun IT-omgeving?

→ NIS2 voorbereiden: is uw IT-basis op orde?

→ IT support voor bedrijven

→ IT-advies en ondersteuning

→ Stabiele zakelijke WiFi en netwerkbeheer

→ Cloud Back-up Oplossingen

→ Beveiligingsoplossingen

Wilt u weten wat NIS2 kan betekenen voor uw organisatie of wilt u de basis van uw IT-omgeving laten controleren? AFB Communications denkt graag mee over IT support, netwerkbeheer, back-ups, beveiliging en praktische verbeteringen die passen bij uw organisatie.

Neem gerust contact op voor duidelijk advies en ondersteuning bij een veilige en betrouwbare IT-omgeving.

U bevindt zich hier: Wat is NIS2?