Een ransomware-aanval begint zelden met een dramatische systeemstoring. Vaak is één gestolen wachtwoord, een vergeten update of een leverancier met te ruime toegang genoeg. Juist daarom gaan de belangrijkste NIS2-verplichtingen voor bedrijven niet alleen over techniek. Ze gaan over bestuur, voorbereiding en de vraag of je organisatie kan blijven werken wanneer er iets misgaat.
NIS2 is de Europese richtlijn voor cyberbeveiliging van essentiële en belangrijke organisaties. In Nederland wordt deze richtlijn uitgewerkt in nationale wetgeving. Of jouw bedrijf precies onder de regels valt, hangt af van je sector, omvang, rol in de keten en de Nederlandse uitwerking. Ook als je formeel niet onder NIS2 valt, zijn de maatregelen vaak een praktisch uitgangspunt voor een beter beveiligde ICT-omgeving.
Voor welke bedrijven is NIS2 bedoeld?
NIS2 richt zich onder meer op organisaties in sectoren zoals energie, transport, zorg, drinkwater, digitale infrastructuur, afvalwater, overheid, productie, logistiek, voedsel, chemie en bepaalde digitale dienstverlening. Denk bij die laatste categorie bijvoorbeeld aan cloudproviders, datacenters, managed serviceproviders en aanbieders van online marktplaatsen.
De richtlijn maakt onderscheid tussen essentiële en belangrijke entiteiten. Als algemene vuistregel komen middelgrote en grote organisaties in aangewezen sectoren in beeld, vaak vanaf 50 medewerkers én een bepaalde omzet of balanstotaal. Maar die grens is niet allesbepalend. Sommige organisaties kunnen vanwege hun maatschappelijke functie, sector of positie in een keten ook bij een kleinere omvang relevant zijn.
Een mkb-bedrijf dat zelf niet onder NIS2 valt, kan er alsnog direct mee te maken krijgen. Grotere klanten kunnen vragen naar beveiligingsmaatregelen, incidentprocedures, continuïteitsplannen en afspraken over toegang tot systemen. NIS2 werkt dus ook door in leveranciersrelaties.
De belangrijkste NIS2-verplichtingen voor bedrijven
De kern is helder: je moet cyberrisico’s aantoonbaar beheersen. Dat betekent niet dat iedere organisatie precies dezelfde technische oplossing nodig heeft. Een kantoor met twintig medewerkers vraagt iets anders dan een zorginstelling met 24/7-systemen. Wel moet je kunnen uitleggen welke risico’s je loopt, welke maatregelen je hebt gekozen en hoe je controleert of die werken.
Bestuur en directie dragen verantwoordelijkheid
Cybersecurity is onder NIS2 geen onderwerp dat je volledig bij de IT-afdeling kunt neerleggen. Bestuurders en directie moeten maatregelen goedkeuren, toezicht houden op de uitvoering en voldoende kennis opbouwen om risico’s te kunnen beoordelen. Bij ernstige nalatigheid kan persoonlijke aansprakelijkheid een rol spelen, afhankelijk van de uiteindelijke Nederlandse wetgeving en de situatie.
Dat vraagt niet om technische details in elke directievergadering. Wel om vaste aandacht voor onderwerpen als risicoanalyses, incidenten, leveranciers, hersteltests en investeringen. Leg besluiten vast. Als er later vragen komen, wil je kunnen laten zien dat beveiliging structureel is besproken en niet alleen na een incident.
Risicomanagement wordt een doorlopend proces
Een eenmalige scan of een beleidsdocument in een map is niet genoeg. NIS2 verwacht een aanpak die je regelmatig herhaalt en actualiseert. Nieuwe software, hybride werken, een bedrijfsovername of een nieuwe externe IT-partner kunnen het risicoprofiel veranderen.
Begin met overzicht. Welke systemen zijn bedrijfskritisch? Waar staan klantgegevens, financiële gegevens en bedrijfsdocumenten? Wie heeft toegang, ook extern? En wat gebeurt er als internet, e-mail, telefonie of de digitale werkplek een dag niet beschikbaar is?
Van daaruit bepaal je passende maatregelen. Dat kunnen technische maatregelen zijn, zoals multifactorauthenticatie, updates, back-ups, netwerksegmentatie en versleuteling. Maar ook organisatorische keuzes tellen mee: duidelijke toegangsrechten, een procedure voor uitdiensttreding, periodieke controles en afspraken over wie welke beslissing neemt bij een incident.
Incidenten moeten snel worden gemeld en beheerst
Bij een ernstig cyberincident geldt onder NIS2 een strak meldproces. In hoofdlijnen moet een eerste waarschuwing binnen 24 uur worden gedaan, volgt binnen 72 uur een uitgebreidere melding en wordt daarna een eindrapportage verwacht. De precieze meldroute en toepassing volgen uit de Nederlandse regelgeving.
Niet iedere phishingmail of korte storing is meteen meldplichtig. Het gaat om significante incidenten die bijvoorbeeld de dienstverlening ernstig verstoren, grote financiële schade veroorzaken of andere partijen raken. Juist daarom is vooraf bepalen wat je als ernstig incident beschouwt zo belangrijk.
Zorg voor een incidentplan dat ook buiten kantoortijden bruikbaar is. Daarin staat wie het incident beoordeelt, wie systemen mag isoleren, wie de directie informeert en wie contact onderhoudt met klanten, leveranciers en bevoegde instanties. Test dit plan minstens periodiek. Een procedure die alleen op papier bestaat, helpt weinig wanneer de druk hoog is.
Continuïteit en herstel moeten aantoonbaar zijn
Een back-up hebben is niet hetzelfde als kunnen herstellen. Als bestanden versleuteld zijn door ransomware, moet je weten welke back-up beschikbaar is, hoe lang herstel duurt en of de gegevens volledig en bruikbaar zijn. Dat test je niet op het moment dat de schade al is ontstaan.
NIS2 vraagt daarom aandacht voor bedrijfscontinuïteit, crisisbeheer en herstel na incidenten. Maak voor kritische processen duidelijk wat de maximaal acceptabele uitval is. Voor een webshop kan dat enkele uren zijn, voor een administratiekantoor wellicht langer. Het hangt af van je klanten, contractuele afspraken en de gevolgen van stilstand.
Denk ook aan afhankelijkheden. Werkt je team nog als Microsoft 365 tijdelijk niet bereikbaar is? Kun je klanten te woord staan als je VoIP-telefonie uitvalt? Is er een alternatief voor een internetverbinding op een cruciale locatie? Niet elke voorziening hoeft dubbel uitgevoerd te zijn, maar maak bewuste keuzes op basis van risico en kosten.
Leveranciers horen bij je beveiligingsbeleid
Veel bedrijven draaien op software, hosting, cloudopslag, telefonie en externe beheerders. Daardoor stopt jouw verantwoordelijkheid niet bij de voordeur van een leverancier. NIS2 legt nadruk op beveiliging in de toeleveringsketen.
Beoordeel daarom niet alleen de prijs en functionaliteit van een leverancier. Vraag ook hoe toegang wordt beveiligd, waar gegevens staan, hoe incidenten worden gemeld, welke back-upafspraken er zijn en wat er gebeurt als de samenwerking stopt. Leg relevante afspraken vast in contracten of verwerkersafspraken.
Dat betekent niet dat je iedere kleine leverancier moet onderwerpen aan een uitgebreid auditprogramma. De controle moet passen bij het risico. Een partij met beheerrechten op je volledige netwerk verdient vanzelfsprekend meer aandacht dan een leverancier van een niet-kritische online tool.
Medewerkers blijven een cruciale schakel
Veel incidenten ontstaan door menselijke fouten, misleiding of te brede rechten. Training is daarom geen jaarlijkse verplichte presentatie die medewerkers snel wegklikken. Korte, herkenbare instructies werken beter: hoe herken je een verdachte inlogpagina, wat doe je bij een onverwachte betaalopdracht en bij wie meld je twijfel?
Combineer bewustwording met techniek. Een goed getrainde medewerker kan alsnog op een overtuigende phishingmail klikken. Met multifactorauthenticatie, beperkte rechten en goede monitoring beperk je dan de schade. Andersom biedt techniek geen volledige bescherming als medewerkers geen melding durven maken van een fout.
Zo bereid je je praktisch voor
Een werkbare voorbereiding begint met een nulmeting. Breng systemen, accounts, apparaten, data en externe partijen in kaart. Controleer vervolgens de basis: updates, toegangsbeheer, multifactorauthenticatie, back-ups, endpointbeveiliging en logregistratie. Kijk daarna naar processen: risicobeoordeling, incidentrespons, herstel en leveranciersbeheer.
Maak de uitkomsten concreet. Kies een beperkt aantal verbeteracties, wijs per actie een eigenaar aan en zet er een realistische planning bij. Voor veel mkb-organisaties is het verstandig om eerst de grootste risico’s weg te nemen, zoals ongebruikte accounts, lokale beheerdersrechten, onbeproefde back-ups en ontbrekende afspraken met externe partijen.
Bewaar ook bewijs van wat je doet. Denk aan risicoanalyses, verslagen van directieoverleg, testresultaten van back-ups, incidentregistraties en afspraken met leveranciers. Die documentatie helpt bij toezicht, maar is vooral nuttig om grip te houden wanneer verantwoordelijkheden wisselen of je organisatie groeit.
NIS2 vraagt om meer dan een checklist afvinken. Zie het als een reden om je digitale basis op orde te brengen: weten wat je hebt, risico’s vooraf verkleinen en rustig kunnen handelen als continuïteit onder druk staat. Daar heeft je organisatie elke werkdag profijt van, ook zonder incident.