De eindverantwoordelijkheid voor NIS2-compliance ligt bij het bestuur van een organisatie, niet bij de IT-afdeling. Dat is een van de meest ingrijpende verschuivingen die de Europese NIS2-richtlijn teweegbrengt: cybersecurity is geen technisch vraagstuk meer, maar een bestuurlijke verplichting. In dit artikel beantwoorden we de meest gestelde vragen over NIS2-verantwoordelijkheid, van de rol van de directeur tot de praktische stappen richting naleving.

Wie draagt de eindverantwoordelijkheid voor NIS2 binnen een organisatie?

De eindverantwoordelijkheid voor NIS2-compliance ligt bij de bestuurders van een organisatie. De Europese NIS2-richtlijn, en de Nederlandse vertaling ervan in de Cyberbeveiligingswet, stellen expliciet dat bestuursleden persoonlijk aansprakelijk zijn voor de naleving van de cybersecurityverplichtingen. Dit geldt niet alleen voor de directeur-bestuurder, maar voor het volledige bestuur als collectief orgaan.

Dit is een bewuste keuze van de wetgever. Door cybersecurity op bestuursniveau te verankeren, wordt voorkomen dat het onderwerp blijft hangen bij de IT-afdeling zonder dat er budget, prioriteit of organisatorische aandacht voor vrijkomt. De redenering is helder: wie beslissingen neemt over strategie, continuïteit en reputatie, moet ook verantwoording kunnen afleggen over de digitale weerbaarheid van de organisatie.

Concreet betekent dit dat bestuurders aantoonbaar moeten beschikken over actuele kennis en vaardigheden op het gebied van cyberbeveiliging. Niet als bijzaak, maar als onderdeel van hun bestuurdersrol. Wie dat niet kan aantonen, voldoet niet aan de wet, ongeacht hoe goed de IT-afdeling functioneert.

Wat zijn de concrete NIS2-verplichtingen voor bestuurders?

Bestuurders van organisaties die onder de NIS2-wetgeving vallen, hebben vier concrete verplichtingen: het goedkeuren van en toezicht houden op maatregelen voor risicobeheer, het borgen van tijdige incidentmelding, het bewaken van ketenbeveiliging en het aantoonbaar volgen van training op het gebied van cybersecurity. Persoonlijke aansprakelijkheid bij niet-naleving maakt dit tot een harde verplichting.

In de praktijk vertaalt dit zich naar een aantal specifieke taken:

• Het laten uitvoeren van risicoanalyses en het goedkeuren van de bijbehorende maatregelen
• Het opstellen of laten opstellen van een incident response plan
• Het tijdig melden van beveiligingsincidenten bij de bevoegde autoriteiten
• Het bewaken van de beveiliging in de keten, inclusief leveranciers en ICT-partners
• Het aantoonbaar bijhouden van kennis over cyberrisico’s en cyberwetgeving

Dat laatste punt is bijzonder relevant: de Cyberbeveiligingswet vereist dat bestuurders binnen twee jaar na inwerkingtreding beschikken over de juiste kennis en vaardigheden, en dat zij deze kennis periodiek actualiseren. Deelname aan training moet aantoonbaar zijn, bijvoorbeeld via een certificaat of deelnemersregistratie.

Hoe verschilt de rol van de IT-manager van die van de directeur bij NIS2?

De IT-manager is verantwoordelijk voor de technische uitvoering van NIS2-maatregelen, terwijl de directeur de eindverantwoordelijkheid draagt voor de naleving als geheel. De directeur keurt maatregelen goed, stelt prioriteiten en legt verantwoording af. De IT-manager implementeert, bewaakt en rapporteert. Beide rollen zijn onmisbaar, maar de hiërarchie is duidelijk.

In de praktijk betekent dit dat een IT-manager een risicoanalyse kan uitvoeren en technische beveiligingsmaatregelen kan voorstellen, maar dat de directeur deze moet goedkeuren en de middelen moet vrijmaken om ze te realiseren. Wanneer een incident optreedt, is het de directeur die melding doet bij de toezichthouder, niet de IT-manager.

Dit onderscheid is ook relevant voor de manier waarop beide rollen met NIS2-compliance omgaan. De IT-manager heeft behoefte aan technische richtlijnen, tooling en processen. De directeur heeft behoefte aan inzicht in risico’s, juridische kaders en bestuurlijke besluitvorming. Een goede samenwerking tussen beide rollen is de basis voor effectieve cybersecurity compliance binnen de organisatie.

Moet elke organisatie voldoen aan de NIS2-richtlijn?

Niet elke organisatie valt direct onder de NIS2-wetgeving, maar de reikwijdte is aanzienlijk breder dan veel organisaties verwachten. De richtlijn onderscheidt twee categorieën: essentiële entiteiten en belangrijke entiteiten. Denk aan sectoren zoals zorg, energie, logistiek, ICT-dienstverlening, financiële dienstverlening en overheid. Middelgrote organisaties met meer dan 50 medewerkers of een jaaromzet boven tien miljoen euro vallen in veel van deze sectoren al in scope.

Daarnaast zijn er organisaties die niet formeel onder NIS2 vallen, maar er toch mee te maken krijgen. Als je diensten levert aan een organisatie die wel onder de wet valt, kunnen zij eisen stellen aan jouw cybersecurity als onderdeel van hun ketenbeveiliging. In de praktijk betekent dit dat ook leveranciers, ICT-partners en dienstverleners aan NIS2-eisen moeten voldoen, ook al zijn ze zelf geen essentiële of belangrijke entiteit.

De vraag is dus niet alleen of je formeel in scope valt, maar ook of je onderdeel bent van een keten waarbij NIS2-compliance een voorwaarde is voor samenwerking.

Wat gebeurt er als een organisatie niet voldoet aan NIS2?

Organisaties die niet voldoen aan de NIS2-wetgeving riskeren aanzienlijke boetes, toezichtmaatregelen en in het uiterste geval een tijdelijk bestuursverbod voor individuele bestuurders. Voor essentiële entiteiten kunnen boetes oplopen tot tien miljoen euro of twee procent van de wereldwijde jaaromzet. Voor belangrijke entiteiten gelden lagere maxima, maar de gevolgen blijven ingrijpend.

Naast financiële sancties zijn er ook reputatierisico’s. Toezichthouders kunnen besluiten om overtredingen openbaar te maken, wat directe gevolgen heeft voor het vertrouwen van klanten, partners en aandeelhouders. Voor organisaties die afhankelijk zijn van publieke aanbestedingen of samenwerking met overheden, kan niet-naleving bovendien leiden tot uitsluiting van opdrachten.

Het meest ingrijpende gevolg is de persoonlijke aansprakelijkheid van bestuurders. Wanneer een organisatie aantoonbaar tekortschiet in haar cybersecurityverplichtingen, kunnen individuele bestuurders aansprakelijk worden gesteld. Dat maakt NIS2-compliance niet alleen een organisatorische, maar ook een persoonlijke verantwoordelijkheid.

Hoe begin je met het inrichten van NIS2-compliance in de praktijk?

De eerste stap naar NIS2-compliance is een nulmeting: breng in kaart waar je organisatie nu staat op het gebied van cybersecurity, welke risico’s er zijn en welke maatregelen al zijn getroffen. Vanuit dat beeld kun je prioriteiten stellen, een plan van aanpak opstellen en de verantwoordelijkheden intern beleggen. Begin klein, maar begin nu.

Een praktische aanpak ziet er als volgt uit:

1. Bepaal of je in scope valt: controleer of je organisatie onder de NIS2-wetgeving valt als essentiële of belangrijke entiteit, of dat je via de keten verplichtingen hebt.
2. Voer een risicoanalyse uit: identificeer de grootste digitale risico’s voor je organisatie en prioriteer op basis van impact en waarschijnlijkheid.
3. Stel een incident response plan op: zorg dat duidelijk is wie wat doet bij een beveiligingsincident en hoe meldplichten worden nagekomen.
4. Train je bestuur: zorg dat bestuurders aantoonbaar beschikken over de vereiste kennis op het gebied van cyberrisico’s en wetgeving.
5. Beleg verantwoordelijkheden: maak intern duidelijk wie verantwoordelijk is voor welk onderdeel van de NIS2-naleving.
6. Monitor en evalueer continu: NIS2-compliance is geen project met een einddatum, maar een doorlopend proces.

Het is ook verstandig om je ICT-omgeving te beoordelen op de mate waarin deze bijdraagt aan je cybersecurity. Een goed ingericht ICT-beheer en ondersteuning vormt de technische basis waarop je NIS2-maatregelen kunnen worden gebouwd.

Hoe Puur ICT helpt met NIS2-compliance

Wij begrijpen dat NIS2-compliance voor veel organisaties een complexe en tijdrovende opgave is, zeker wanneer er geen dedicated CISO aanwezig is. Als Microsoft 365-specialist en gecertificeerde ICT-dienstverlener ondersteunen wij organisaties stap voor stap bij het inrichten van NIS2-compliance. Wat wij concreet bieden:

• Nulmeting (Digicheck): we brengen de huidige beveiligingssituatie van je organisatie in kaart en identificeren waar de grootste risico’s liggen.
• Bestuurderstraining: een tweedaagse training waarmee bestuurders aantoonbaar voldoen aan de opleidingsplicht uit de Cyberbeveiligingswet, inclusief risicomanagement, incidentrespons en bestuurdersaansprakelijkheid.
• Technische en organisatorische maatregelen: we adviseren en implementeren de juiste beveiligingsmaatregelen binnen het Microsoft-ecosysteem, afgestemd op jouw organisatie.
• Doorlopend beheer en monitoring: we bewaken de naleving continu en rapporteren helder, zodat je als bestuurder altijd grip houdt op de situatie.
• Ketenbeveiliging: we helpen je ook in kaart te brengen welke eisen jouw leveranciers en partners stellen, en omgekeerd.

Wil je weten of jouw organisatie in scope valt en wat de eerste stappen zijn? Neem contact op met Puur ICT voor een vrijblijvend gesprek. We spreken graag met je in begrijpelijke taal, zonder jargon, en met een concreet plan als resultaat.

Gerelateerde artikelen

• Zijn bestuurders persoonlijk aansprakelijk onder de NIS2-wetgeving?
• Wanneer gaat de Cyberbeveiligingswet in Nederland in?
• Hoe voorkom je dat medewerkers onbewust de beveiliging van je organisatie in gevaar brengen?
• Hoe zorg je dat medewerkers thuis net zo goed kunnen werken als op kantoor?
• Hoe migreer je van een oude serveromgeving naar Microsoft 365 zonder downtime?

Ketenbeveiliging is de verplichting om niet alleen je eigen systemen te beveiligen, maar ook de digitale veiligheid van alle leveranciers en derde partijen in jouw toeleveringsketen te beheren en te bewaken. Onder de NIS2-richtlijn is dit geen vrijblijvende best practice meer, maar een wettelijke eis waaraan organisaties aantoonbaar moeten voldoen. In dit artikel beantwoorden we de meest gestelde vragen over ketenbeveiliging en NIS2, van de concrete verplichtingen tot de eerste stappen die je kunt zetten.

Welke verplichtingen legt NIS2 op aan ketenbeveiliging?

De NIS2-richtlijn verplicht organisaties om de beveiligingsrisico’s van hun toeleveringsketen actief te identificeren, te beoordelen en te beheersen. Dit betekent dat je als organisatie verantwoordelijk bent voor de digitale weerbaarheid van de keten als geheel, niet alleen voor je eigen infrastructuur. Leveranciers en derde partijen die toegang hebben tot jouw systemen of data vallen expliciet onder deze zorgplicht.

Concreet schrijft de NIS2-richtlijn voor dat organisaties:

• Een risicoanalyse uitvoeren die de toeleveringsketen omvat
• Contractuele beveiligingseisen stellen aan leveranciers
• Periodiek de naleving van die eisen controleren
• Beveiligingsincidenten die via de keten binnenkomen tijdig melden bij de bevoegde autoriteiten
• Bestuurders persoonlijk verantwoordelijk houden voor de naleving van deze verplichtingen

In Nederland wordt NIS2 omgezet in de Cyberbeveiligingswet, die naar verwachting in het tweede kwartaal van 2026 van kracht wordt. Organisaties die onder deze wet vallen, moeten dan kunnen aantonen dat zij hun leveranciersbeveiliging serieus nemen. Daarbij geldt: ook als jouw organisatie zelf niet direct onder NIS2 valt, maar wel levert aan partijen die dat doen, zul je aan hun beveiligingseisen moeten voldoen.

Wat zijn de grootste risico’s in een digitale toeleveringsketen?

De grootste risico’s in een digitale toeleveringsketen ontstaan doordat aanvallers bewust zoeken naar de zwakste schakel. Een leverancier met onvoldoende beveiliging kan fungeren als toegangspoort tot jouw netwerk, zonder dat jij daar direct zicht op hebt. Supply chain security is daarom zo complex: de aanval begint niet bij jou, maar de schade wel.

De meest voorkomende risico’s zijn:

• Gecompromitteerde softwareupdates: aanvallers plaatsen malware in legitieme updates van een leverancier, die vervolgens automatisch worden uitgerold bij alle klanten
• Onbeveiligde externe toegang: leveranciers die via VPN of remote desktop inloggen zonder sterke authenticatie vormen een open deur
• Gedeelde inloggegevens: wanneer leveranciers dezelfde credentials gebruiken voor meerdere klanten, verspreidt een lek zich razendsnel
• Onvoldoende contractuele afspraken: als beveiligingseisen niet zijn vastgelegd, weet je niet wat een leverancier wel of niet doet
• Gebrek aan zichtbaarheid: organisaties weten vaak niet precies welke derde partijen toegang hebben tot welke systemen

Wat dit extra gevaarlijk maakt, is dat een aanval via de keten lang onopgemerkt kan blijven. De aanvaller beweegt zich immers via een vertrouwde verbinding door jouw netwerk. Security binnen Microsoft 365 biedt technische maatregelen die helpen verdachte activiteiten te detecteren, ook wanneer die via een externe partij binnenkomen.

Hoe beoordeel je de beveiligingsstatus van een leverancier?

De beveiligingsstatus van een leverancier beoordeel je door een gestructureerde combinatie van documentatieanalyse, vragenlijsten en technische verificatie. Een eenmalige check is daarbij niet voldoende: leveranciersbeveiliging vereist periodieke herbeoordeling, omdat de situatie bij een leverancier voortdurend verandert.

Een praktische aanpak omvat de volgende stappen:

1. Stel een leveranciersregister op waarin je vastlegt welke partijen toegang hebben tot jouw systemen, data of netwerk, en in welke mate
2. Gebruik een beveiligingsvragenlijst gebaseerd op erkende frameworks zoals ISO 27001 of de NIS2-vereisten zelf
3. Vraag om certificeringen zoals ISO 27001, SOC 2 of vergelijkbare aantoonbare kwaliteitsstandaarden
4. Leg eisen contractueel vast met daarin minimale beveiligingsnormen, meldplichten bij incidenten en het recht op audit
5. Monitor doorlopend via periodieke gesprekken, rapportages of geautomatiseerde tooling die afwijkingen signaleert

Prioriteer leveranciers op basis van risico. Een partij die alleen facturen stuurt, vraagt een andere aanpak dan een beheerpartij die dagelijks in jouw Microsoft 365-omgeving werkt. Breng het risiconiveau van elke leverancier in kaart en stem de diepgang van de beoordeling daarop af.

Wat is het verschil tussen directe en indirecte ketenrisico’s?

Directe ketenrisico’s ontstaan bij leveranciers die rechtstreeks toegang hebben tot jouw systemen, netwerken of data. Indirecte ketenrisico’s ontstaan bij partijen die jouw leveranciers op hun beurt gebruiken, de zogeheten subleveranciers. Het onderscheid is cruciaal omdat indirecte risico’s vaak volledig buiten beeld blijven, terwijl ze dezelfde schade kunnen veroorzaken.

Een voorbeeld maakt dit concreet: jouw ICT-beheerder heeft toegang tot jouw netwerk (direct risico). Die beheerder maakt op zijn beurt gebruik van een monitoringtool van een derde partij (indirect risico). Als die tool wordt gecompromitteerd, heeft een aanvaller via twee schakels toch toegang tot jouw omgeving, zonder dat jij ooit een relatie had met die derde partij.

Onder NIS2 ben je als organisatie verantwoordelijk voor het in kaart brengen van beide categorieën. Dat betekent niet dat je elke subleverancier persoonlijk moet beoordelen, maar wel dat je van jouw directe leveranciers mag verwachten dat zij hun eigen keten beheersen. Leg dit vast in contracten: vraag leveranciers aantoonbaar te maken hoe zij hun eigen toeleveringsketen beveiligen.

Wat zijn de gevolgen van niet voldoen aan de NIS2-keteneisen?

Organisaties die niet voldoen aan de NIS2-keteneisen riskeren forse boetes, operationele verstoringen en persoonlijke aansprakelijkheid van bestuurders. De NIS2-richtlijn introduceert een handhavingsregime dat aanzienlijk strenger is dan de oorspronkelijke NIS1-richtlijn, met sancties die vergelijkbaar zijn met die van de AVG.

De gevolgen kunnen zijn:

• Bestuurlijke boetes tot 10 miljoen euro of 2% van de wereldwijde jaaromzet voor essentiële entiteiten
• Persoonlijke aansprakelijkheid van bestuurders die aantoonbaar hebben nagelaten de vereiste maatregelen te treffen
• Reputatieschade doordat toezichthouders handhavingsmaatregelen openbaar kunnen maken
• Operationele gevolgen zoals tijdelijke verboden om bepaalde diensten te verlenen
• Ketenschade: als een incident via jouw keten andere organisaties treft, vergroot dit de juridische en financiële blootstelling

Naast de juridische risico’s is er ook een praktisch gevaar: organisaties die hun ketenbeveiliging niet op orde hebben, lopen een reëel verhoogd risico op succesvolle cyberaanvallen. De reputatie- en continuïteitsschade van een incident is in de praktijk vaak groter dan de boete zelf.

Hoe begin je met een NIS2-conforme ketenbeveiligingsaanpak?

Begin met een nulmeting: breng in kaart welke leveranciers en derde partijen toegang hebben tot jouw systemen en data, en welk risico zij vertegenwoordigen. Zonder dit overzicht is elke volgende stap gebouwd op een onzeker fundament. Vanuit die inventarisatie werk je stapsgewijs naar een volledige ketenbeveiligingsaanpak.

Een praktische startaanpak ziet er als volgt uit:

1. Maak een leveranciersregister met alle partijen die toegang hebben tot jouw digitale omgeving
2. Classificeer leveranciers op risiconiveau op basis van toegangsrechten, dataverwerking en kritikaliteit
3. Stel minimale beveiligingseisen op die je contractueel vastlegt bij nieuwe en bestaande leveranciers
4. Voer een risicoanalyse uit die zowel directe als indirecte ketenrisico’s adresseert
5. Implementeer technische maatregelen zoals meervoudige authenticatie, least-privilege toegang en monitoring van externe verbindingen
6. Borg periodieke herbeoordeling zodat de aanpak meebeweegt met veranderingen in de keten

Vergeet ook de menselijke kant niet. Medewerkers die samenwerken met externe partijen moeten weten hoe zij verdachte activiteiten herkennen en melden. Bewustwordingsprogramma’s helpen om ketenbeveiliging niet alleen technisch, maar ook organisatorisch te verankeren.

Hoe Puur ICT helpt met ketenbeveiliging en NIS2

Als Microsoft 365-specialist en gecertificeerde ICT-dienstverlener helpen wij organisaties stap voor stap naar een NIS2-conforme aanpak voor ketenbeveiliging. We begrijpen dat dit voor veel directeuren en IT-managers een complexe opgave is, en we doorlopen dit traject graag samen met je, in begrijpelijke taal en zonder onnodig jargon.

Wat wij voor je kunnen doen:

• Nulmeting en risicoanalyse: we brengen jouw huidige beveiligingssituatie en leveranciersketen in kaart en identificeren de grootste risico’s
• Advies en implementatie: we adviseren over de juiste technische en organisatorische maatregelen binnen het Microsoft-ecosysteem, van toegangsbeheer tot monitoring
• Contractuele ondersteuning: we helpen bij het opstellen van beveiligingseisen voor leveranciers en het vastleggen van meldplichten
• Bestuurderstraining: we verzorgen trainingen waarmee bestuurders aantoonbaar voldoen aan de opleidingsplicht onder de Cyberbeveiligingswet
• Doorlopend beheer en rapportage: we monitoren de beveiligingsstatus van jouw omgeving en rapporteren proactief over risico’s en aanbevelingen

Wil je weten waar jouw organisatie nu staat op het gebied van ketenbeveiliging en NIS2-compliance? Neem contact op met Puur ICT voor een vrijblijvend gesprek. We helpen je graag verder, in kleine stappen en met een aanpak die past bij jouw organisatie.

Gerelateerde artikelen

• Hoe verschilt de moderne werkplek van de werkplek van vroeger?
• Hoe maak je je organisatie data-gedreven zonder grote investeringen in nieuwe systemen?
• Hoe moderniseer je je CRM-systeem zonder de bedrijfsvoering te verstoren?
• Hoe voorkom je dat medewerkers onbewust de beveiliging van je organisatie in gevaar brengen?
• Hoe weet ik of de softwareleveranciers en partners waarmee ik werk veilig genoeg zijn?

Het verschil tussen NIS1 en NIS2 zit hem in reikwijdte, strengheid en handhaving. Waar NIS1 een beperkte groep sectoren verplichtte tot basale beveiligingsmaatregelen, breidt NIS2 die scope aanzienlijk uit, stelt strengere eisen aan risicobeheer en incidentmelding, en maakt bestuurders persoonlijk aansprakelijk voor naleving. Voor organisaties in Nederland is dit extra relevant omdat NIS2 via de Cyberbeveiligingswet naar verwachting in het tweede kwartaal van 2026 van kracht wordt. In dit artikel beantwoorden we de meest gestelde vragen over het NIS1-NIS2 verschil, zodat je weet waar je als organisatie aan toe bent.

Waarom is NIS1 vervangen door NIS2?

NIS1 is vervangen door NIS2 omdat de oorspronkelijke richtlijn uit 2016 niet meer aansloot bij de snel veranderende dreigingen en de toenemende digitale afhankelijkheid van organisaties en samenleving. De cybersecurityrichtlijn NIS1 liet lidstaten te veel vrijheid in de implementatie, wat leidde tot grote verschillen in beschermingsniveaus binnen de EU en onvoldoende grip op grensoverschrijdende risico’s.

Bovendien bleek de reikwijdte van NIS1 te smal. Alleen organisaties in een handvol kritieke sectoren vielen eronder, terwijl de praktijk liet zien dat verstoringen in de digitale keten veel bredere gevolgen hebben. Denk aan ransomware-aanvallen die via een toeleverancier een heel netwerk platleggen. NIS2 is de logische reactie hierop: een richtlijn die breder, scherper en uniformer is, en die cybersecurity stevig verankert in de bestuurlijke verantwoordelijkheid van organisaties.

Welke organisaties vallen onder NIS2 maar niet onder NIS1?

NIS2 trekt de scope van de cybersecurityrichtlijn aanzienlijk breder dan NIS1. Sectoren die voorheen buiten de regelgeving vielen, vallen nu wel onder de NIS2 wetgeving Nederland. Denk aan de maakindustrie, voedselproductie, logistiek en transport, afvalwater, digitale dienstverleners en ICT-beheerders.

Concreet maakt NIS2 onderscheid tussen twee categorieën:

• Essentiële entiteiten: grote organisaties in kritieke sectoren zoals energie, transport, gezondheidszorg, drinkwater en financiële infrastructuur.
• Belangrijke entiteiten: middelgrote organisaties in een bredere groep sectoren, waaronder ICT-dienstverlening, cloud, food en agri, en overheidsinstanties.

In de praktijk betekent dit dat veel organisaties met 50 of meer medewerkers en een jaaromzet of balanstotaal boven een bepaalde drempel nu voor het eerst te maken krijgen met formele NIS2 verplichtingen. Waar NIS1 misschien langs je organisatie scheerde, is de kans groot dat NIS2 dat niet meer doet.

Wat zijn de nieuwe verplichtingen onder NIS2?

NIS2 verplichtingen gaan verder dan de basismaatregelen die NIS1 voorschreef. Organisaties moeten aantoonbaar een samenhangend pakket aan technische en organisatorische maatregelen treffen, gericht op het beheersen van risico’s voor hun netwerk- en informatiebeveiliging.

De belangrijkste verplichtingen zijn:

• Risicoanalyse: het systematisch in kaart brengen van dreigingen en kwetsbaarheden.
• Incidentmelding: beveiligingsincidenten moeten binnen 24 uur gemeld worden bij de bevoegde autoriteit, met een uitgebreider rapport binnen 72 uur.
• Incident response plan: een actueel plan voor het reageren op en herstellen van incidenten.
• Ketenbeveiliging: aantoonbaar toezicht op de beveiliging van leveranciers en partners.
• Cyberhygiëne en awareness: structurele training van medewerkers en bestuurders.
• Toegangsbeheer en encryptie: technische maatregelen om onbevoegde toegang te voorkomen.
• Bestuurlijke verantwoordelijkheid: bestuurders zijn persoonlijk aansprakelijk voor de naleving van deze maatregelen.

Dat laatste punt is nieuw en ingrijpend. Onder NIS1 was cybersecurity primair een IT-aangelegenheid. Onder NIS2 is het een bestuurlijk vraagstuk, waarbij directeuren en commissarissen aantoonbaar moeten beschikken over kennis van cyberrisico’s. Security binnen Microsoft 365 biedt een goede technische basis voor het invullen van een deel van deze verplichtingen.

Hoe verschilt de handhaving van NIS2 ten opzichte van NIS1?

De handhaving onder NIS2 is aanzienlijk strenger dan onder NIS1. Waar NIS1 de handhaving grotendeels overliet aan de lidstaten met weinig uniforme sancties, introduceert NIS2 concrete boetes en toezichtsmechanismen die vergelijkbaar zijn met de AVG.

Voor essentiële entiteiten kunnen boetes oplopen tot 10 miljoen euro of 2% van de wereldwijde jaaromzet, afhankelijk van welk bedrag hoger is. Voor belangrijke entiteiten geldt een maximum van 7 miljoen euro of 1,4% van de wereldwijde jaaromzet. Toezichthouders krijgen bovendien ruimere bevoegdheden om audits uit te voeren, inspecties te doen en corrigerende maatregelen op te leggen.

Nieuw is ook dat bestuurders persoonlijk aansprakelijk gesteld kunnen worden als zij hun zorgplicht niet nakomen. Dit betekent dat niet-naleving van de NIS2 richtlijn niet langer alleen een organisatierisico is, maar ook een persoonlijk risico voor de mensen aan de top.

Geldt NIS2 ook voor toeleveranciers en IT-partners?

Ja, NIS2 heeft nadrukkelijk aandacht voor de keten. Organisaties die zelf onder de richtlijn vallen, zijn verplicht om ook de beveiliging van hun toeleveranciers en IT-partners te beoordelen en te borgen. Dit wordt ketenbeveiliging of supply chain security genoemd.

In de praktijk betekent dit dat een NIS2-plichtige organisatie niet alleen haar eigen huis op orde moet hebben, maar ook contractuele en technische eisen mag stellen aan partijen die toegang hebben tot haar systemen of data. ICT-beheerders, cloudleveranciers en andere digitale dienstverleners komen daarmee indirect in het vizier van de NIS2 wetgeving Nederland, ook als zij zelf niet formeel als essentiële of belangrijke entiteit worden aangemerkt.

Voor IT-partners is dit een duidelijk signaal: klanten zullen steeds vaker vragen om aantoonbare beveiligingsmaatregelen, rapportages en certificeringen. Wie daar niet op voorbereid is, loopt het risico uit aanbestedingen of samenwerkingen te worden geweerd. Meer weten over hoe ICT-beheer en beveiliging samenkomen? Bekijk onze aanpak rondom ICT-beheer en ondersteuning.

Wanneer moet een organisatie voldoen aan NIS2?

De Europese NIS2 richtlijn had uiterlijk in oktober 2024 door alle EU-lidstaten omgezet moeten zijn in nationale wetgeving. Nederland loopt daarin vertraging op: de Cyberbeveiligingswet, de Nederlandse vertaling van NIS2, wordt naar verwachting in het tweede kwartaal van 2026 van kracht.

Dat betekent dat organisaties in 2026 formeel aan de NIS2 verplichtingen moeten voldoen zodra de wet in werking treedt. Maar wachten tot die datum is geen verstandige strategie. Een risicoanalyse uitvoeren, een incident response plan opstellen, leveranciers screenen en bestuurders trainen kost tijd. Organisaties die nu beginnen, staan straks sterk. Organisaties die wachten, lopen het risico om onder tijdsdruk maatregelen te nemen die oppervlakkig zijn of onvolledig.

Bovendien geldt: de dreiging wacht niet op de wetgever. De maatregelen die NIS2 voorschrijft, zijn ook zonder wettelijke verplichting zinvol om te implementeren.

Hoe Puur ICT helpt met NIS2-compliance

Wij begrijpen dat NIS2 voor veel organisaties een complex en veelomvattend vraagstuk is. Als Microsoft 365-specialist en gecertificeerde ICT-dienstverlener helpen wij je stap voor stap naar aantoonbare naleving, zonder dat je zelf alle losse draden hoeft samen te brengen.

Wat wij voor je doen:

• Nulmeting en gap-analyse: we brengen je huidige beveiligingssituatie in kaart en bepalen wat er nog ontbreekt om aan de NIS2 verplichtingen te voldoen.
• Technische implementatie: via het Microsoft 365-ecosysteem zetten we de juiste beveiligingsmaatregelen in, van toegangsbeheer en encryptie tot monitoring en incidentdetectie.
• Bestuurderstraining en awareness: we verzorgen trainingen waarmee bestuurders en medewerkers aantoonbaar voldoen aan de opleidingsplicht uit de Cyberbeveiligingswet.
• Ketenbeveiliging: we helpen je bij het beoordelen en contractueel borgen van de beveiliging van jouw leveranciers en partners.
• Doorlopend beheer en rapportage: na implementatie blijven we betrokken, zodat je altijd inzicht hebt in je beveiligingsstatus en proactief kunt bijsturen.

Klaar om NIS2 serieus aan te pakken? Neem contact op met Puur ICT en ontdek hoe wij jouw organisatie begeleiden naar volledige compliance, in begrijpelijke taal en met de persoonlijke aanpak waar we voor staan.

Gerelateerde artikelen

• Wat moet je regelen in Microsoft 365 voor een ISO 27001-certificering?
• Hoe beveilig je je organisatie goed zonder dat het een enorm project of grote investering wordt?
• Welke technische maatregelen zijn verplicht onder NIS2?
• Hoe zorg je dat digitalisering van processen gedragen wordt door alle lagen van je organisatie?
• Hoe zorg je dat medewerkers thuis net zo goed kunnen werken als op kantoor?

Als je organisatie nog niets heeft geregeld voor NIS2, begin je het best met een eerlijke nulmeting: breng in kaart of je onder de richtlijn valt, welke verplichtingen voor jou gelden en waar de grootste gaten zitten. Dat klinkt overweldigend, maar de praktijk is overzichtelijker dan veel organisaties denken. In dit artikel beantwoorden we de meest gestelde vragen over NIS2, zodat je weet waar je staat en hoe je de eerste stap zet.

Welke organisaties vallen eigenlijk onder de NIS2-richtlijn?

De NIS2-richtlijn geldt voor organisaties in sectoren die als kritiek of belangrijk worden beschouwd voor de samenleving. In Nederland wordt NIS2 omgezet in de Cyberbeveiligingswet, die naar verwachting in het tweede kwartaal van 2026 in werking treedt. Of jouw organisatie onder de wet valt, hangt af van je sector en je omvang.

De richtlijn maakt onderscheid tussen twee categorieën:

• Essentiële entiteiten: grote organisaties in sectoren zoals energie, transport, gezondheidszorg, drinkwater en digitale infrastructuur.
• Belangrijke entiteiten: middelgrote organisaties in sectoren zoals ICT-dienstverlening, voedselproductie, logistiek, financiële dienstverlening en overheidsnabije instellingen.

Als vuistregel geldt: organisaties met meer dan 50 medewerkers of een jaaromzet boven de 10 miljoen euro in een aangewezen sector vallen hoogstwaarschijnlijk binnen de scope. Maar ook kleinere organisaties die onderdeel zijn van de toeleveringsketen van een NIS2-plichtige partij, kunnen te maken krijgen met contractuele eisen op het gebied van cybersecurity. Twijfel je of jouw organisatie in scope valt? Dan is dat op zichzelf al een signaal om actie te ondernemen.

Wat zijn de concrete verplichtingen die NIS2 oplegt?

NIS2 legt organisaties vier hoofdverplichtingen op: een zorgplicht voor risicobeheer, een meldplicht bij beveiligingsincidenten, een registratieplicht bij de bevoegde autoriteit, en een toezichtverplichting waarbij bestuurders persoonlijk aansprakelijk zijn voor naleving. Dit zijn geen papieren verplichtingen, maar actieve eisen die aantoonbaar moeten worden nageleefd.

Concreet betekent dit dat je als organisatie onder andere het volgende moet regelen:

• Een actuele risicoanalyse van je digitale omgeving
• Technische en organisatorische maatregelen zoals multifactorauthenticatie, encryptie en patchbeheer
• Een incident response plan waarmee je snel kunt handelen bij een cyberaanval of datalek
• Ketenbeveiliging: aantoonbaar toezicht op de cybersecurity van leveranciers en partners
• Bewustwording en aantoonbare training van bestuurders en medewerkers
• Tijdige melding van significante incidenten bij de bevoegde autoriteit, doorgaans binnen 24 uur voor een eerste melding

Wat NIS2 onderscheidt van eerdere wetgeving, is de nadruk op bestuurlijke verantwoordelijkheid. Bestuurders kunnen persoonlijk aansprakelijk worden gesteld als blijkt dat zij onvoldoende toezicht hebben gehouden op de cyberweerbaarheid van hun organisatie. Dat maakt NIS2-compliance niet alleen een IT-vraagstuk, maar een strategische prioriteit.

Hoe voer je een nulmeting uit voor NIS2?

Een NIS2-nulmeting breng je in kaart door je huidige beveiligingssituatie te toetsen aan de verplichtingen uit de richtlijn. Je kijkt daarbij naar drie lagen: technische maatregelen, organisatorische processen en bestuurlijk bewustzijn. Het resultaat is een helder beeld van wat al geregeld is en waar de prioriteiten liggen.

Een praktische aanpak voor de nulmeting ziet er als volgt uit:

1. Bepaal of je in scope bent: Controleer aan de hand van je sector en omvang of je als essentiële of belangrijke entiteit kwalificeert.
2. Inventariseer je huidige maatregelen: Welke technische beveiligingsmaatregelen zijn al actief? Denk aan firewalls, toegangsbeheer, back-ups en monitoring.
3. Beoordeel je processen: Zijn er gedocumenteerde procedures voor incidentrespons, patchbeheer en leveranciersbeheer?
4. Toets bestuurlijk bewustzijn: Begrijpen bestuurders en het MT hun rol en aansprakelijkheid onder de Cyberbeveiligingswet?
5. Stel een prioriteitenlijst op: Welke gaten zijn het meest urgent om te dichten, gezien de risico’s en de verwachte inwerkingtreding van de wet?

Een nulmeting hoeft niet perfect te zijn om waardevol te zijn. Zelfs een globale inventarisatie geeft je genoeg inzicht om gerichte keuzes te maken en een realistisch stappenplan op te stellen.

Waar begin je als de achterstand groot is?

Als je achterstand groot is, begin je met de maatregelen die het meeste risico wegnemen en tegelijkertijd de basis vormen voor verdere compliance. Dat zijn doorgaans: sterke toegangsbeveiliging, een werkend back-upsysteem en een basisproces voor incidentmelding. Daarna bouw je stap voor stap verder.

Een grote achterstand voelt ontmoedigend, maar NIS2 vraagt geen perfectie op dag één. Wat het wel vraagt, is aantoonbare voortgang en een serieuze aanpak. De volgende prioritering helpt je om gestructureerd te beginnen:

• Stap 1 – Zet de basis op orde: Multifactorauthenticatie, sterk wachtwoordbeleid en actuele software-updates zijn laaghangend fruit met grote impact.
• Stap 2 – Regel je back-ups en herstelplan: Zorg dat je kritieke data regelmatig wordt geback-upt en dat je weet hoe je systemen herstelt na een incident.
• Stap 3 – Documenteer wat je doet: NIS2 vereist aantoonbaarheid. Leg maatregelen, besluiten en incidenten schriftelijk vast.
• Stap 4 – Train je bestuur: Bestuurders moeten aantoonbaar kennis hebben van cyberrisico’s. Plan een training in voordat de wet van kracht is.
• Stap 5 – Betrek je leveranciers: Breng in kaart welke partijen toegang hebben tot jouw systemen en stel minimale beveiligingseisen.

Kleine stappen in begrijpelijke taal zijn effectiever dan een groot project dat strandt op complexiteit. Prioriteer op risico, niet op volledigheid.

Welke rol speelt de IT-partner bij NIS2-compliance?

Een IT-partner speelt een centrale rol bij NIS2-compliance door technische maatregelen te implementeren, je beveiligingssituatie te monitoren en je te begeleiden bij het aantoonbaar voldoen aan de verplichtingen. Omdat NIS2 zowel technische als organisatorische eisen stelt, is een partner die beide domeinen begrijpt van grote waarde.

Concreet kan een IT-partner je ondersteunen bij:

• Het uitvoeren van een nulmeting en het opstellen van een NIS2-stappenplan
• De technische implementatie van beveiligingsmaatregelen binnen je bestaande infrastructuur
• Het inrichten van monitoring en alerting, zodat incidenten snel worden gesignaleerd
• Het documenteren van maatregelen en processen voor aantoonbaarheid richting toezichthouders
• Bestuurders- en medewerkerstrainingen om bewustwording te borgen

Belangrijk aandachtspunt: je IT-partner valt zelf ook onder de NIS2-richtlijn als ICT-dienstverlener. Dat betekent dat een goede partner niet alleen jouw compliance ondersteunt, maar ook zelf aantoonbaar voldoet aan de eisen. Vraag daar actief naar. Een partner die ICT-beheer en ondersteuning biedt en zelf NIS2-compliant is, geeft je extra zekerheid over de veiligheid van je keten.

Wat gebeurt er als je niet voldoet aan NIS2?

Als je niet voldoet aan de NIS2-verplichtingen, riskeer je bestuurlijke boetes, aanwijzingen van de toezichthouder en in ernstige gevallen persoonlijke aansprakelijkheid van bestuurders. De hoogte van de boetes verschilt per categorie: voor essentiële entiteiten kan dit oplopen tot 10 miljoen euro of 2% van de wereldwijde jaaromzet, voor belangrijke entiteiten tot 7 miljoen euro of 1,4% van de omzet.

Naast financiële sancties zijn er nog andere consequenties om rekening mee te houden:

• Reputatieschade: Toezichthouders kunnen besluiten overtredingen openbaar te maken, wat directe gevolgen heeft voor klantvertrouwen en marktpositie.
• Operationele maatregelen: De toezichthouder kan organisaties verplichten om specifieke maatregelen te treffen binnen een vastgestelde termijn.
• Persoonlijke aansprakelijkheid: Bestuurders kunnen individueel aansprakelijk worden gesteld als zij aantoonbaar hebben nagelaten toezicht te houden op cybersecurity.
• Ketenrisico: Klanten en opdrachtgevers die zelf NIS2-plichtig zijn, kunnen eisen dat jij als leverancier aantoonbaar voldoet. Doe je dat niet, dan loop je het risico contracten te verliezen.

De kern van de boodschap is: niet voldoen aan de cybersecuritywetgeving is geen administratief risico, maar een strategisch risico dat raakt aan continuïteit, reputatie en bestuurlijke controle tegelijk.

Hoe Puur ICT helpt met NIS2-compliance

Wij begrijpen dat NIS2 voor veel organisaties een complexe opgave is, zeker als je nog weinig hebt geregeld. Als Microsoft 365-specialist en ISO 9001-gecertificeerde ICT-dienstverlener helpen wij je stap voor stap naar aantoonbare naleving, in begrijpelijke taal en met een persoonlijke aanpak.

Wat wij voor je doen:

• Nulmeting (Digicheck): We brengen je huidige beveiligingssituatie in kaart en bepalen samen waar de prioriteiten liggen.
• Technische implementatie: We implementeren de juiste beveiligingsmaatregelen binnen het Microsoft-ecosysteem, van toegangsbeheer en monitoring tot ketenbeveiliging.
• Bestuurderstraining: We verzorgen een interactieve training voor bestuurders en MT, zodat zij aantoonbaar voldoen aan de opleidingsplicht uit de Cyberbeveiligingswet.
• Doorlopend beheer en rapportage: Na implementatie blijven we actief betrokken als vertrouwde partner die proactief meedenkt en je op de hoogte houdt van relevante ontwikkelingen.
• Documentatie en aantoonbaarheid: We helpen je de juiste processen en bewijslast op te bouwen, zodat je bij een toezichtcontrole kunt aantonen wat je hebt gedaan en waarom.

Je hoeft NIS2 niet alleen op te lossen. Neem contact op met Puur ICT en ontdek hoe wij jouw organisatie op een pragmatische manier naar volledige compliance begeleiden.

Gerelateerde artikelen

• Hoe lang duurt het gemiddeld om 100 werkplekken over te zetten naar Microsoft 365?
• Hoe migreer je van een oude serveromgeving naar Microsoft 365 zonder downtime?
• Hoe weet ik of mijn bedrijfsnetwerk en systemen goed beveiligd zijn tegen een cyberaanval?
• Hoe zorg je dat contactpersonen beschikbaar zijn op alle apparaten van medewerkers?
• Hoe zorg je dat digitalisering van processen gedragen wordt door alle lagen van je organisatie?