Eén hack en je ligt stil. Valt jouw bedrijf onder NIS2?

Energie, transport, bankwezen, drinkwater, afvalwater, gezondheidszorg, digitale infrastructuur, ICT-diensten B2B, ruimtevaart, overheid.

Post en koerier, afvalbeheer, chemie, voedingsproductie, medische hulpmiddelen, elektronica, machinebouw, auto-industrie, digitale aanbieders.

Minder dan 50 fte én minder dan 10 miljoen omzet? Dan ben je in principe vrijgesteld, tenzij je een sleutelrol speelt in kritieke infrastructuur en door de overheid wordt aangewezen.

50+ fte of 10 miljoen+ omzet in een kritieke sector: dan ben je een belangrijke entiteit. Boven 250 fte of 50 miljoen omzet ben je een essentiële entiteit, met strengere eisen en actief toezicht.

Val je onder de drempel maar lever je aan een NIS2-plichtig bedrijf? Dan kom je de wet via de keten alsnog tegen. Je opdrachtgever moet jouw cybersecurity beoordelen.

Grote NIS2-plichtige bedrijven moeten de cybersecurity van hun leveranciers beoordelen en er contractuele eisen aan stellen. Voldoe je niet? Dan val je af als leverancier.

Verwacht vragenlijsten, audits en contracteisen van grote opdrachtgevers, ook als je zelf niet NIS2-plichtig bent. Wie zijn digitale basis op orde heeft, is een aantrekkelijkere partner.

Passende technische én organisatorische maatregelen: risicoanalyse, wachtwoordbeleid, updates, toegangsbeheer, back-ups, encryptie, bewustwording van personeel en beveiliging van leveranciers.

Weet welke digitale risico's je loopt, houd systemen up-to-date, train medewerkers op phishing en weet wat er moet gebeuren als het toch misgaat.

De directie moet risicomaatregelen goedkeuren en bewaken. Persoonlijke aansprakelijkheid van bestuurders is expliciet opgenomen in de wet.

Een vroegtijdige waarschuwing aan het CSIRT en de toezichthouder: wat is er gebeurd, lijkt het kwaadwillend, heeft het impact over de grens?

Een vollediger incidentmelding: hoe ernstig, hoeveel klanten geraakt, welke systemen?

Een eindrapport: oorzaak, gevolg en genomen maatregelen. Loopt het incident nog? Dan eerst een voortgangsrapport.

Je moet de cybersecurity van je leveranciers en dienstverleners beoordelen en contractuele eisen stellen aan directe toeleveranciers.

Clouddiensten, softwareleveranciers, IT-beheerders, HR-software en schoonmaak (fysieke toegang): allemaal doorlichten en vastleggen in contracten.

Naam, adres, contactgegevens, IP-bereiken, sector en subsector, en in welke EU-landen je diensten levert.

De wet geldt sinds 15 augustus 2026. Val je eronder, registreer je dan zo snel mogelijk. Op ncsc.nl vind je de procedure.

Maximaal 10 miljoen euro of 2% van de wereldwijde jaaromzet. Het hoogste bedrag geldt.

Maximaal 7 miljoen euro of 1,4% van de wereldwijde jaaromzet. Het hoogste bedrag geldt.

Bestuurders kunnen persoonlijk aansprakelijk worden gesteld. Als uiterste middel is een tijdelijk verbod op bestuursfuncties mogelijk.

Bij een aanval liggen systemen stil en is klantdata gegijzeld. De schade loopt al snel in de tienduizenden euro's, los van eventuele boetes.

Essentiële entiteiten worden actief gecontroleerd. Belangrijke entiteiten pas na een signaal of incident, maar dan volgt een diepgaand onderzoek.

Moeten hun leveranciers beoordelen. Wie niet voldoet aan hun minimale eisen, valt af bij een aanbesteding of contractverlenging.

Een incident waarbij klantdata lekt raakt direct het vertrouwen in je organisatie. Zeker als blijkt dat de basis niet op orde was.