NIS2 geldt in de meeste gevallen niet voor zzp’ers en kleine bedrijven met minder dan tien medewerkers. De richtlijn richt zich op middelgrote en grote organisaties in kritieke sectoren. Toch kan de wetgeving indirect ook jou als kleine ondernemer raken, bijvoorbeeld via de eisen van grotere opdrachtgevers. In dit artikel beantwoorden we de meest gestelde vragen over NIS2 voor het MKB.
Voor welke bedrijven geldt NIS2 verplicht?
NIS2 is verplicht voor organisaties die actief zijn in een kritieke sector én voldoen aan bepaalde drempelwaarden voor omzet en personeelsomvang. Concreet gaat het om bedrijven met minimaal 50 medewerkers of een jaaromzet van meer dan 10 miljoen euro. Kleinere bedrijven vallen in principe buiten de directe reikwijdte van de wet.
De sectoren die onder NIS2 vallen zijn onder andere energie, transport, gezondheidszorg, drinkwater, digitale infrastructuur en ICT-dienstverlening. Binnen die sectoren maakt de richtlijn onderscheid tussen twee categorieën:
- Essentiële entiteiten: grote organisaties met meer dan 250 medewerkers of een omzet boven 50 miljoen euro. Zij vallen onder het strengste toezicht.
- Belangrijke entiteiten: middelgrote organisaties met 50 tot 250 medewerkers of een omzet van 10 tot 50 miljoen euro. Ook zij moeten voldoen aan NIS2, maar het toezicht is minder intensief.
In Nederland wordt NIS2 vertaald naar de Cyberbeveiligingswet, die naar verwachting in het tweede kwartaal van 2026 in werking treedt. Het Rijksinstituut voor Volksgezondheid en Milieu (RIVM) en het Nationaal Cyber Security Centrum (NCSC) spelen een rol in het toezicht op de naleving.
Geldt NIS2 ook voor zzp’ers en eenmanszaken?
Voor de meeste zzp’ers en eenmanszaken geldt NIS2 niet direct. De richtlijn stelt als ondergrens minimaal 50 medewerkers, dus eenmanszaken en microbedrijven vallen buiten de wettelijke verplichting. Er is één uitzondering: als jouw bedrijf als enige aanbieder van een kritieke dienst in Nederland opereert, kan de toezichthouder besluiten je toch onder de wet te laten vallen.
Wat voor veel zzp’ers en kleine bedrijven wél relevant is, is de zogeheten ketenverantwoordelijkheid. Grotere opdrachtgevers die zelf onder NIS2 vallen, zijn verplicht om eisen te stellen aan de beveiliging van hun toeleveranciers en onderaannemers. Als jij als zzp’er of klein bedrijf werkt voor zo’n opdrachtgever, kun je dus indirect worden gevraagd om aan te tonen dat jouw digitale beveiliging op orde is.
Dit betekent in de praktijk dat je als kleine ondernemer misschien geen wettelijke verplichting hebt, maar wel commerciële druk kunt ervaren. Denk aan inkoopvoorwaarden, contractuele eisen of vragenlijsten over jouw beveiligingsniveau. Een goede basisbeveiliging, zoals het gebruik van sterke wachtwoorden, tweefactorauthenticatie en regelmatige updates, is dan ook voor iedere ondernemer verstandig.
IT AANSPREEKPUNT
Klaar om je IT eindelijk uit handen te geven?
Of je nu een SharePoint-intranet wilt inrichten, je hele IT wilt uitbesteden, of gewoon een vraag hebt: wij denken graag met je mee. Al bij 150+ bedrijven bewezen effectief.
Wat zijn de gevolgen als je niet voldoet aan NIS2?
Als je bedrijf direct onder NIS2 valt en je voldoet niet aan de verplichtingen, kunnen de gevolgen aanzienlijk zijn. De wet voorziet in boetes tot 10 miljoen euro of 2% van de wereldwijde jaaromzet, afhankelijk van welk bedrag hoger is. Daarnaast kunnen bestuurders persoonlijk aansprakelijk worden gesteld voor tekortkomingen in het beveiligingsbeleid.
Naast financiële sancties zijn er ook operationele gevolgen. De toezichthouder kan opdragen om maatregelen te treffen, inspecties uitvoeren of in ernstige gevallen dienstverlening stilleggen. Reputatieschade is een ander risico: als een incident publiek wordt en blijkt dat je niet voldeed aan de wettelijke eisen, kan dat het vertrouwen van klanten en partners schaden.
Voor bedrijven die niet direct onder de wet vallen maar wel in een keten opereren, zijn de gevolgen eerder commercieel van aard. Opdrachtgevers kunnen besluiten niet meer met je samen te werken als jouw beveiliging niet voldoet aan hun eisen. Aantoonbare digitale veiligheid wordt steeds vaker een vereiste in contracten en aanbestedingen.
Hoe bereid je je bedrijf voor op NIS2-compliance?
De voorbereiding op NIS2-compliance begint met een risicoanalyse: breng in kaart welke systemen, gegevens en processen kritiek zijn voor jouw bedrijfsvoering en waar de grootste kwetsbaarheden liggen. Vanuit die analyse bepaal je welke maatregelen je moet treffen.
De belangrijkste stappen zijn:
- Risicoanalyse uitvoeren: Identificeer welke digitale risico’s jouw organisatie loopt en prioriteer op basis van impact.
- Technische maatregelen treffen: Denk aan multifactorauthenticatie, encryptie, toegangsbeleid en regelmatige software-updates.
- Incidentresponsplan opstellen: Zorg dat je weet wat je moet doen bij een cyberincident en wie je moet informeren. Significante incidenten moet je binnen 24 uur melden bij de bevoegde toezichthouder.
- Ketenbeveiliging in kaart brengen: Controleer ook de beveiliging van leveranciers en partners waarmee je samenwerkt.
- Documentatie bijhouden: Leg vast welke maatregelen je hebt genomen. Dit is niet alleen nuttig bij een audit, maar helpt ook intern om overzicht te houden.
Voor MKB-bedrijven die actief zijn in een kritieke sector is het verstandig om tijdig te beginnen. De Cyberbeveiligingswet treedt naar verwachting in 2026 in werking, maar het opzetten van een solide beveiligingsbeleid kost tijd. Kijk ook naar ICT-beveiliging voor het MKB als startpunt voor je aanpak.
Wat is het verschil tussen NIS2 en de AVG?
NIS2 en de AVG zijn twee verschillende wetten met elk hun eigen focus. De AVG (Algemene Verordening Gegevensbescherming) richt zich op de bescherming van persoonsgegevens en geldt voor vrijwel iedere organisatie die persoonsgegevens verwerkt, ongeacht de omvang. NIS2 richt zich op de digitale weerbaarheid van organisaties in kritieke sectoren en geldt alleen voor bedrijven die aan de drempelwaarden voldoen.
Het belangrijkste verschil zit in het toepassingsgebied en het doel:
- AVG: Beschermt de privacy van individuen. Gaat over hoe je omgaat met persoonsgegevens, hoe je ze opslaat, deelt en beveiligt. Geldt voor bijna alle bedrijven.
- NIS2: Beschermt de continuïteit van kritieke diensten en netwerken. Gaat over risicobeheer, incidentmelding en ketenverantwoordelijkheid. Geldt voor middelgrote en grote organisaties in aangewezen sectoren.
In de praktijk overlappen de twee wetten elkaar op het gebied van beveiliging. Als je voldoet aan de beveiligingseisen van NIS2, voldoe je op dat vlak ook grotendeels aan de AVG. Toch zijn het aparte verplichtingen met aparte toezichthouders: de Autoriteit Persoonsgegevens voor de AVG en een sectorspecifieke toezichthouder voor NIS2.
Voor MKB-bedrijven die al bezig zijn met AVG-compliance is het goed om te weten dat NIS2 verder gaat. Waar de AVG zich richt op het beschermen van gegevens, vraagt NIS2 ook om aantoonbaar beleid op het gebied van risicobeheer en incidentrespons.
Hoe IT Aanspreekpunt helpt met NIS2-compliance
Wij begrijpen dat NIS2 veel vragen oproept, zeker als je als MKB-ondernemer of zzp’er wilt weten waar je aan toe bent. Bij IT Aanspreekpunt ontzorgen we je volledig in het NIS2-traject, van de eerste risicoanalyse tot de concrete implementatie van beveiligingsmaatregelen.
Wat we voor je doen:
- Een heldere analyse van of en hoe NIS2 op jouw organisatie van toepassing is
- Implementatie van technische maatregelen zoals MFA, patchbeheer, encryptie en toegangsbeleid via Microsoft 365
- Opzetten van een incidentresponsplan en meldprocedures
- Ondersteuning bij ISO 27001-begeleiding als je ook wilt werken aan een bredere informatiebeveiligingscertificering
- Doorlopend monitoring en updates zodat je beveiliging actueel blijft
- Duidelijke documentatie zodat je bij een audit kunt aantonen dat je voldoet
Als Microsoft 365-specialist en SharePoint Online-expert beschikken we over de kennis en tools om jouw digitale beveiliging op orde te brengen. Zo werk je niet alleen aan wettelijke naleving, maar versterk je ook je concurrentiepositie. Wil je weten wat we voor jouw bedrijf kunnen betekenen? Neem vrijblijvend contact met ons op en we kijken samen naar de beste aanpak.
IT AANSPREEKPUNT
Klaar om je IT eindelijk uit handen te geven?
Of je nu een SharePoint-intranet wilt inrichten, je hele IT wilt uitbesteden, of gewoon een vraag hebt: wij denken graag met je mee. Al bij 150+ bedrijven bewezen effectief.