NIS2 en MKB: wat betekent de Cyberbeveiligingswet voor jou?

Stel: je levert al jaren onderdelen of diensten aan een grote industriële speler in de regio. De samenwerking loopt goed, de contracten worden elk jaar verlengd en je bedrijf is een vaste schakel in hun keten. Dan ontvang je een brief van je opdrachtgever. Ze willen weten hoe je cybersecurity is geregeld. Ze hebben een vragenlijst bijgevoegd. En als je niet kunt aantonen dat je aan bepaalde normen voldoet, word je mogelijk niet meer uitgenodigd voor de volgende aanbesteding.

Herken je dit scenario? Het is geen hypothetische situatie meer. De Nederlandse Cyberbeveiligingswet is op 7 juli 2026 aangenomen door de Eerste Kamer en op 15 augustus 2026 in werking getreden. Voor veel MKB-ondernemers in Brabant is dit sindsdien een concrete realiteit. Of je nu direct onder de wet valt of niet.

Sinds 15 augustus geldt de registratieplicht, en ruim de helft haalde die niet

Op 15 augustus 2026 is de Cyberbeveiligingswet in werking getreden. Vanaf dat moment moeten organisaties die essentiële of belangrijke diensten leveren zich inschrijven in het nationaal entiteitenregister bij het Nationaal Cyber Security Centrum (NCSC). Die inschrijfplicht raakt achttien sectoren, van energie, drinkwater en vervoer tot digitale infrastructuur, zorg en overheid.

Hoe staat het ervoor? Op de avond voor de deadline stonden er 2.942 organisaties in het register, of 4.144 als je verbonden organisaties meerekent. De schatting is dat 8.000 tot 10.000 organisaties zich moeten melden. Ruim de helft was er op de streefdatum dus nog niet, en dat is precies het beeld dat wij in Brabant ook zien.

Onderzoek van Grant Thornton wijst dezelfde kant op voor het MKB: slechts een derde van de bedrijven die onder de wet vallen is daadwerkelijk actief met compliance bezig. Ben je te laat, dan is inschrijven nu de eerste stap. Toezichthouders beginnen doorgaans met aanwijzingen en verbetermaatregelen, maar bestuurlijke boetes horen wel bij hun instrumentarium.

Wat is NIS2 en waarom raakt het je nu?

NIS2 staat voor Network and Information Security, versie 2. Het is een Europese richtlijn die lidstaten verplicht om de digitale weerbaarheid van organisaties in kritieke sectoren te verhogen. Denk aan energie, transport, gezondheidszorg, digitale infrastructuur en industrie. Nederland moest deze richtlijn uiterlijk op 17 oktober 2024 omzetten naar nationale wetgeving. Dat lukte niet. De Europese Commissie daagde Nederland voor het EU-Hof van Justitie, samen met drie andere lidstaten die de deadline ook misten. Dagelijkse boetes dreigen totdat de omzetting volledig is afgerond.

Met de Cyberbeveiligingswet, die op 15 augustus 2026 in werking trad, is Nederland eindelijk compliant als lidstaat. Maar dat is niet het einde van het verhaal. Het is eerder het begin. Want nu de wet van kracht is, kan handhaving starten. En die handhaving raakt niet alleen de grote organisaties die formeel onder de wet vallen.

De MKB-val: waarom je geraakt wordt ook al val je buiten de scope

De NIS2-wet richt zich formeel op middelgrote en grote organisaties in aangewezen sectoren. Veel MKB-bedrijven vallen daar niet direct onder. Maar er zit een belangrijke additionele verplichting in de wet die weinig ondernemers kennen: grote organisaties die onder NIS2 vallen, zijn verplicht om de risico's in hun toeleveranciersketen te beoordelen. Ze mogen cybersecurityeisen stellen aan hun leveranciers.

Dat betekent in de praktijk: als je levert aan een organisatie die wel onder NIS2 valt, kunnen zij je vragen om aan te tonen dat je digitale beveiliging op orde is. Kun je dat niet? Dan riskeer je contractverlies. Of uitsluiting bij aanbestedingen. Dit is de MKB-val van NIS2. Niet de directe boetes, maar het verlies van klanten en omzet.

Vooral in de Brabantse maakindustrie, de Brainport-regio en de zakelijke dienstverlening zien wij dit patroon opkomen. Toeleveranciers van grote OEM's, onderaannemers in de bouw, IT-dienstverleners voor zorg of overheid: zij worden allemaal geraakt door deze doorwerking via de keten.

Wat staat er voor individuele organisaties op het spel?

Voor organisaties die wél direct onder de Cyberbeveiligingswet vallen, zijn de stakes hoog. De maximale boetes bedragen 10 miljoen euro of 2 procent van de wereldwijde jaaromzet, afhankelijk van welk bedrag hoger uitvalt. Maar wat misschien nog harder aankomt: bestuurders zijn persoonlijk aansprakelijk voor overtredingen. Dat is geen kleine voetnoot. Dat betekent dat een directeur of eigenaar van een organisatie die aantoonbaar nalatig is op het gebied van cybersecurity, persoonlijk financieel geraakt kan worden.

De wet omvat twee centrale verplichtingen voor organisaties in scope. Allereerst een zorgplicht: je moet technische en organisatorische maatregelen nemen om je netwerken en informatiesystemen te beveiligen. Denk aan risicoanalyses, toegangsbeheer, patchbeleid, back-upstrategie en bewustwording bij medewerkers. Daarnaast een meldplicht: bij een significant incident moet je dit melden bij de bevoegde autoriteit, binnen strikte termijnen.

De Ratho-driehoek: Mens, Proces, Techniek

Bij Ratho kijken we altijd door drie lenzen tegelijk als het gaat om cybersecurity. Techniek alleen is nooit het volledige antwoord. De meeste incidenten ontstaan door menselijk gedrag, ontbrekende processen of een combinatie van alle drie. Zeker als het gaat om NIS2-compliance.

Mens: Je medewerkers zijn de eerste verdedigingslinie, maar ook de grootste risicofactor. Phishing-mails worden steeds geloofwaardiger. Eén klik op een verkeerde link kan genoeg zijn. Bewustwording en training zijn geen eenmalige activiteiten, maar een doorlopend proces. NIS2 vereist dat je dit aantoonbaar organiseert.

Proces: Goede beveiliging begint met heldere afspraken. Wie heeft toegang tot welke systemen? Wat is het protocol bij een verdacht incident? Hoe wordt software bijgehouden? Wie is verantwoordelijk? Zonder gedocumenteerde processen is het onmogelijk om aan een toezichthouder of klant aan te tonen dat je je zaken op orde hebt.

Techniek: De technische maatregelen zijn de uitvoering van je beleid. Multi-factor authenticatie, versleuteling, monitoring, netwerksegmentatie, back-ups die ook echt werken. Techniek zonder beleid is een raceauto zonder stuur. Beleid zonder techniek is een stuur zonder wielen.

Een klant van ons: van papieren beveiliging naar echte compliance

Een klant van ons, een toeleverancier in de precisie-industrie met zo'n 40 medewerkers, ontving vorig jaar een vragenlijst van hun grootste afnemer. Die afnemer, een Tier-1 leverancier in de automotive, was zelf bezig met NIS2-voorbereiding en moest de keten in kaart brengen. De vragenlijst was 12 pagina's lang en vroeg naar zaken als: incidentresponsebeleid, patchmanagementprocedures, back-upfrequentie en tests, toegangsbeheer en logging.

De eigenaar belde ons. Hij wist dat er een firewall stond en dat er wekelijks een back-up werd gemaakt. Maar papieren bewijs? Beleid? Procedures? Niets gedocumenteerd. We hebben in twee maanden tijd samen een basisraamwerk opgesteld: een informatiebeveiligingsbeleid op maat, gedocumenteerde procedures, technische aanpassingen en een eerste bewustzijnssessie met het team. De vragenlijst kon worden ingevuld. De relatie bleef intact. En de eigenaar slaapt beter.

Dit is geen uitzondering. We zien dit patroon steeds vaker. En de urgentie neemt toe nu de Cyberbeveiligingswet formeel van kracht is.

Wat kun je nu doen? Een praktische aanpak

Je hoeft dit niet in één keer perfect te regelen. Maar je moet wel beginnen. Hier zijn de stappen die wij aanbevelen:

Stap 1: Controleer of je organisatie direct onder de Cyberbeveiligingswet valt. De wet geldt voor middelgrote en grote organisaties in aangewezen sectoren. Twijfel je? Laat het uitzoeken. Dit is de basisvraag.

Stap 2: Val je onder de wet? Schrijf je dan in in het nationaal entiteitenregister bij het NCSC. De deadline van 15 augustus 2026 is verstreken, dus dit is de stap die geen uitstel meer verdraagt.

Stap 3: Breng je klanten en opdrachtgevers in beeld. Wie zijn je drie grootste klanten? Vallen zij mogelijk onder NIS2? Hebben zij al vragen gesteld of aankondigingen gedaan over keteneisen? Zo ja, dan is er geen tijd te verliezen.

Stap 4: Doe een nulmeting. Waar sta je nu op het gebied van cybersecurity? Welke maatregelen zijn er al? Wat ontbreekt? Welke risico's zijn het grootst? Een eerlijk beeld is de basis voor elke vervolgstap.

Stap 5: Stel een basisbeleid op. Geen dikke beleidshandboeken die niemand leest, maar heldere, werkbare afspraken. Wie heeft toegang tot wat? Wat doen we bij een incident? Hoe worden updates uitgevoerd? Documenteer dit.

Stap 6: Bespreek aansprakelijkheid met je bestuurders. Als je organisatie direct onder NIS2 valt, is dit een gesprek dat je niet kunt vermijden. Persoonlijke aansprakelijkheid van bestuurders is geen theorie, het staat in de wet.

NIS2 als kans, niet alleen als verplichting

Ik begrijp dat compliance-verplichtingen voelen als extra last bovenop alles wat er al speelt in een bedrijf. Maar ik wil je ook een andere blik meegeven. Organisaties die hun cybersecurity aantoonbaar op orde hebben, onderscheiden zich. Ze winnen aanbestedingen. Ze behouden klanten die eisen stellen. Ze herstellen sneller na een incident. Ze bouwen vertrouwen op bij hun omgeving.

In een markt waar digitale weerbaarheid steeds zwaarder weegt, is je cybersecurity-volwassenheid een concurrentiefactor. NIS2 dwingt je om er serieus naar te kijken. Dat kan oncomfortabel zijn. Maar het kan ook het moment zijn waarop je een stap voor loopt op concurrenten die nog wachten.

Bij Ratho helpen wij MKB-ondernemers in Brabant om van compliance een stevige basis te maken. Geen overvloed aan jargon, geen onnodig complexe systemen. Wel eerlijk advies, concrete stappen en een partner die met je meedenkt op de lange termijn.

Veelgestelde vragen

Valt mijn bedrijf als MKB automatisch buiten de NIS2-wet?

Niet per definitie. De wet richt zich op middelgrote en grote organisaties in aangewezen sectoren. Maar ook als je formeel buiten de directe scope valt, kun je als toeleverancier van een grote organisatie worden verplicht om cybersecurityeisen aan te tonen. Controleer eerst of je direct in scope bent. Breng daarna je klanten in beeld.

Wanneer gaat de handhaving van de Cyberbeveiligingswet in Nederland van start?

De wet is op 7 juli 2026 aangenomen door de Eerste Kamer en op 15 augustus 2026 in werking getreden. Handhaving kan dus meteen starten. In de praktijk beginnen toezichthouders met aanwijzingen en verbetermaatregelen, waarna bestuurlijke boetes kunnen volgen. Wachten op verdere duidelijkheid is een risico.

Moet ik me registreren, en waar doe ik dat?

Organisaties die onder de wet vallen schrijven zich in in het nationaal entiteitenregister bij het NCSC. Die plicht geldt sinds 15 augustus 2026. Weet je niet of je in scope valt, dan is dat de eerste vraag om uit te zoeken, want inschrijven kan pas als die vaststelling er is. Ruim de helft van de organisaties die zich moeten melden had dat op de deadline nog niet gedaan, dus je bent niet de enige die nu aan de slag moet.

Wat zijn de maximale boetes voor organisaties die niet voldoen?

Voor organisaties die direct onder de wet vallen: maximaal 10 miljoen euro of 2 procent van de wereldwijde jaaromzet, afhankelijk van welk bedrag hoger uitvalt. Bovendien kunnen bestuurders persoonlijk aansprakelijk worden gesteld. Dit maakt het een bestuurlijk onderwerp, niet alleen een IT-onderwerp.

Waar begin ik als ik niets gedocumenteerd heb?

Begin met een nulmeting. Breng in kaart welke systemen je hebt, wie er toegang toe heeft en welke maatregelen al aanwezig zijn. Vanuit dat beeld kun je prioriteren. Je hoeft niet in één keer volledig compliant te zijn, maar je moet kunnen aantonen dat je structureel bezig bent met verbetering. Een IT-partner als Ratho kan je helpen met deze eerste stap.