Logo IC10
Remote support

Jouw ICT geregeld door IC10

NIS2 geldt nu in Nederland: wat betekent de Cyberbeveiligingswet voor het mkb?

Sinds 15 augustus 2026 is de Cyberbeveiligingswet van kracht. Deze Nederlandse uitwerking van de Europese NIS2-richtlijn stelt strengere eisen aan de digitale weerbaarheid van organisaties die belangrijke of essentiële diensten leveren.

Dat klinkt misschien als wetgeving voor grote bedrijven en vitale organisaties. Toch kan de impact veel verder reiken. Ook mkb-bedrijven die niet rechtstreeks onder de wet vallen, kunnen nieuwe beveiligingseisen krijgen van klanten, opdrachtgevers en ketenpartners.

De belangrijkste vraag is daarom niet alleen: vallen wij onder de wet? Minstens zo belangrijk is: kunnen wij aantonen dat onze ICT goed is beveiligd?

Vrijblijvend kennismaken

Of bel direct: 085 488 0200, bereikbaar op werkdagen van 08:00–17:30

Dit artikel is gebaseerd op informatie van Rijksoverheid en NCSC

Auteur: Jochem

NIS2 uitleg

Cyberbeveiligingswet

Wat is de Cyberbeveiligingswet?

De Cyberbeveiligingswet, vaak nog NIS2 genoemd, is bedoeld om de digitale weerbaarheid van belangrijke organisaties te vergroten. De wet geldt voor ruim 8.000 Nederlandse organisaties in achttien sectoren, waaronder energie, vervoer, gezondheidszorg, digitale infrastructuur, drinkwater en overheid.

Organisaties die onder de wet vallen, hebben onder meer te maken met:

  • Een registratieplicht bij het NCSC;
  • Een zorgplicht voor netwerk- en informatiesystemen;
  • Een meldplicht voor significante cyberincidenten;
  • Bestuurlijke verantwoordelijkheid voor cyberrisico’s;
  • Toezicht op de naleving van de wet.

Een organisatie moet zelf controleren of zij binnen het toepassingsbereik valt. De sector, omvang en geleverde diensten spelen daarbij een rol. Bij twijfel is het verstandig om de officiële zelfevaluatie te gebruiken en juridisch advies in te winnen.

Groot bereik

Waarom raakt NIS2 ook andere mkb-bedrijven?

Niet ieder mkb-bedrijf valt rechtstreeks onder de Cyberbeveiligingswet. Toch kunnen de gevolgen ook buiten de officiële doelgroep merkbaar worden.

Organisaties die wél onder de wet vallen, moeten namelijk ook letten op risico’s binnen hun toeleveringsketen. Een leverancier met onvoldoende beveiliging kan een ingang vormen tot systemen, gegevens of dienstverlening van de klant. Daarom kunnen opdrachtgevers aanvullende eisen stellen aan hun directe leveranciers en ICT-dienstverleners.

In de praktijk kun je bijvoorbeeld vragen krijgen over:

  • Multifactorauthenticatie en toegangsbeheer;
  • Beveiligingsupdates en patchmanagement;
  • Back-ups en geteste herstelprocedures;
  • Netwerkbeveiliging en monitoring;
  • De afhandeling en melding van incidenten;
  • Afspraken met eigen leveranciers;
  • Bewustwording en training van medewerkers.

Een goede beveiliging wordt daarmee steeds vaker een voorwaarde om zaken te kunnen blijven doen. Niet alleen vanwege de wet, maar ook bij aanbestedingen, contractverlengingen en cyberverzekeringen.

Maatregelen

Welke maatregelen kun je nu al nemen?

NIS2 draait niet om één product of certificaat. De basis is risicomanagement: weten welke systemen en gegevens belangrijk zijn, welke risico’s daarbij horen en welke maatregelen passend zijn.

Maak inzichtelijk welke apparaten, accounts, applicaties, leveranciers en gegevens noodzakelijk zijn voor de bedrijfsvoering. Leg ook vast wie verantwoordelijk is voor beheer, beveiliging en besluitvorming tijdens een incident.

Gebruik multifactorauthenticatie voor Microsoft 365, beheeromgevingen en andere belangrijke applicaties. Geef medewerkers alleen de rechten die zij nodig hebben en verwijder accounts direct wanneer iemand uit dienst gaat.

Een beschikbare update is nog geen geïnstalleerde update. Controleer centraal of computers, servers, browsers, firewalls en andere netwerkapparatuur daadwerkelijk zijn bijgewerkt. Volg mislukte installaties en verouderde systemen actief op.

Maak back-ups van belangrijke bestanden, Microsoft 365-gegevens en bedrijfssystemen. Bewaar minstens één kopie gescheiden van de productieomgeving en test regelmatig of gegevens binnen de gewenste tijd kunnen worden hersteld.

Deel het netwerk logisch op, bijvoorbeeld door werkplekken, gasten, camera’s en andere apparatuur van elkaar te scheiden. Goede firewallregels en monitoring helpen om afwijkend verkeer en ongewenste toegang sneller te herkennen.

Leg vooraf vast wie wordt gebeld, welke systemen prioriteit hebben en hoe je communiceert wanneer er iets misgaat. Organisaties die rechtstreeks onder de Cyberbeveiligingswet vallen, moeten significante incidenten gefaseerd melden, met een eerste waarschuwing binnen 24 uur.

Techniek alleen is niet genoeg. Medewerkers moeten phishing, verdachte aanmeldingen en andere risico’s leren herkennen en weten waar zij een incident kunnen melden.

Goed beheer

Begin met aantoonbaar goed beheer

De Cyberbeveiligingswet vraagt niet van iedere organisatie exact dezelfde maatregelen. De aanpak moet passen bij de risico’s, omvang en dienstverlening van het bedrijf. Wel wordt het steeds belangrijker om beslissingen, controles en verbeteringen aantoonbaar vast te leggen.

Dat betekent dat je niet alleen zegt dat back-ups worden gemaakt, maar ook kunt laten zien wanneer een hersteltest is uitgevoerd. Niet alleen dat updates automatisch gaan, maar ook welke apparaten achterlopen. En niet alleen dat medewerkers MFA gebruiken, maar ook hoe accounts en rechten worden beheerd.

IC10

Hoe IC10 kan helpen

IC10 helpt organisaties om de technische basis voor digitale weerbaarheid praktisch in te richten en structureel te beheren. Afhankelijk van de huidige situatie kunnen we ondersteunen met:

  • Inventarisatie van apparaten, systemen en risico’s;
  • Centraal werkplek- en updatebeheer;
  • Microsoft 365, multifactorauthenticatie en toegangsbeleid;
  • Netwerksegmentatie, firewalls en monitoring;
  • Endpointbeveiliging;
  • Online back-up en periodieke hersteltests;
  • Vastlegging van beheer- en incidentprocedures;
  • Eén aanspreekpunt via Jouw ICT geregeld.

Valt jouw organisatie rechtstreeks onder de Cyberbeveiligingswet, of vraagt een klant om aantoonbare beveiligingsmaatregelen? IC10 brengt de technische situatie in kaart en helpt om verbeteringen stap voor stap door te voeren.

Voor een definitieve beoordeling van de wettelijke verplichtingen adviseren we om daarnaast juridisch advies in te winnen.

Wil je weten waar jouw ICT-omgeving nu staat? Neem contact op met IC10 voor een praktische inventarisatie.

Meer nieuws

Bekijk meer artikelen

Zie hier andere artikkelen of ga terug naar het overzicht.

Vrijblijvend kennismaken met IC10?

Benieuwd wat wij voor jouw organisatie kunnen betekenen? We komen graag langs voor een kop koffie en een ICT-advies op maat. Bel ons via
085 488 0200 of vul het formulier hieronder in: 

Bron: Rijksoverheid, NCSC: (Cyberbeveiligingswet, Zorgplicht)