NIS2 wet komt eraan: dit zijn de verplichtingen, stappen en kansen van de nieuwe Cyberbeveiligingswet

Cybersecurity was jarenlang iets dat ‘erbij’ gedaan werd. Maar de realiteit is veranderd. Cyberaanvallen nemen toe in kracht, snelheid en impact. Met de komst van de Europese NIS2-richtlijn, in Nederland vertaald naar de Cyberbeveiligingswet (cbw) welke in het derde kwartaal van 2025 van kracht is. is het tijd voor actie. Wat houdt de wet precies in? Wie valt eronder? En belangrijker nog: hoe voldoe je aan de eisen?

In dit blogartikel geven we je alle antwoorden. Geen technisch geneuzel, maar heldere uitleg en een praktisch stappenplan om jouw organisatie klaar te stomen. Of je nu actief bent in de IT, zorgsector of zakelijke dienstverlening: de impact is groot, en de tijd dringt. En niet enkel voor organisaties die direct onder de wet vallen, maar ook voor partners in de keten!

Dit blogartikel bevat de volgende inhoud:

De NIS2-richtlijn (Network and Information Systems Directive) is sinds 16 januari 2023 in werking getreden. Het doel? De digitale weerbaarheid van organisaties in heel Europa vergroten. In Nederland wordt deze richtlijn vertaald naar de Cyberbeveiligingswet, die naar verwachting in het derde kwartaal van 2025 van kracht gaat.

De aanleiding is helder: cybercriminaliteit is een groeiend probleem. Phishing, ransomware en andere aanvallen treffen ook steeds vaker het mkb. 1 op de 5 mkb-organisaties wordt slachtoffer van cybercriminaliteit. Toch denken veel ondernemers nog steeds: “Mij overkomt dat niet” of “ik heb antivirussoftware, dat is wel goed geregeld zo.” Gevaarlijke misvattingen!

Hoe zien wij van CertificeringsAdvies Nederland dit precies? De NIS2 directive of NIS2 richtlijn zegt in feite niets anders dan dat je op basis van een risicoanalyse van je organisatie de juiste maatregelen moet treffen om risico’s te mitigeren. Alle moderne wetgeving en branchegerichte informatiebeveiliging is geënt op en ligt direct in het verlengde van het gedachtegoed van ISO 27001. Doordat technische ontwikkelingen zo hard gaan, is een wetgever nooit in staat om de wetgeving in die snelheid mee te ontwikkelen. De wet zou dan snel achterhaald zijn. Om die reden wordt dat, in wetgeving, allemaal omschreven met taal als ’tref passende maatregelen’. Ofwel: voer een risicoanalyse uit en implementeer, met de juiste technische kennis, de juiste maatregelen. En dat is precies wat ISO 27001 ook wil. Als organisatie hoef je dus op dit moment niet na te denken over de Cyberbeveiligingswet, ga liever aan de slag met ISO 27001, dan weet je zeker dat je de juiste stappen zet.

De Cyberbeveiligingswet is de Nederlandse vertaling van de Europese NIS2. De richtlijn verplicht organisaties om passende technische en organisatorische maatregelen te nemen om hun digitale infrastructuur te beveiligen.

Het gaat daarbij niet alleen om bedrijven die direct onder de wet vallen. Ook schakels in de keten, zoals toeleveranciers, worden geraakt. De wet bevat vier belangrijke verplichtingen:

De gevolgen van niet voldoen? Boetes tot 10 miljoen euro of 2% van de wereldwijde omzet, én persoonlijke aansprakelijkheid voor bestuurders.

Er is een lijst van minimale beveiligingseisen waar vitale organisaties, en de fysieke omgeving waarin systemen zich bevinden, aan moeten voldoen. Je bent verplicht om passende beveiligingsmaatregelen te nemen, gebaseerd op een risicoanalyse. Bijvoorbeeld met:

Incidenten met impact moeten binnen 24 uur gemeld worden. Denk aan datalekken of cyberaanvallen.

Organisaties die als ‘essentieel’ zijn aangemerkt, moeten zich (wettelijk verplicht) registreren bij het Nationaal Cyber Security Centrum (NCSC). Daarbij geef je onder andere je sector en EU-activiteiten door. Door middel van een dergelijk entiteitenregister wordt het zicht op digitale weerbaarheid van dit type diensten en organisaties vergroot.

Start met inzicht. Veel organisaties onderschatten hun kwetsbaarheden. Denk je dat antivirus voldoende is? Of dat je back-up actueel is? Of vertrouw je volledig op je IT-partner? Dan is het tijd om door te vragen.

Er is nog geen concreet uitgewerkt stappenplan wat je als organisatie kunt doorlopen om aan de NIS2 eisen te voldoen. Wat wel als een paal boven water staat is dat je in elk geval – grofweg – onderstaande drie stappen dient te doorlopen:

Een goede aanpak begint met overzicht. Denk aan een GAP-analyse en technische kwetsbaarheidsscan.

Voldoen aan NIS2 betekent meer dan alleen maatregelen treffen. Je moet kunnen aantonen dat je dit goed hebt geregeld. Begin bijvoorbeeld met:

Ook belangrijk: zorg dat bestuurders aantoonbaar kennis hebben van cybersecurityrisico’s. Dat kan bijvoorbeeld met een security awareness e-learning.

Er bestaat momenteel geen officiële NIS2 certificering. Wel wordt vaak verwezen naar standaarden als ISO 27001. Deze norm ligt inhoudelijk sterk in lijn met de uitgangspunten van de NIS2.

Door nu te starten met ISO 27001 (en bijvoorbeeld een GAP-analyse), zorg je ervoor dat je straks klaar bent voor de Cyberbeveiligingswet. Bovendien werkt het certificaat in je voordeel bij aanbestedingen en klantvertrouwen.

Beide kaders zijn gericht op het verhogen van de digitale weerbaarheid. Maar waar ISO 27001 een gecertificeerde norm is, is NIS2 wetgeving. Belangrijke raakvlakken zijn:

Wachten tot eind 2025 is geen optie. Cyberaanvallen gebeuren vandaag. De wetgeving komt eraan. En je klanten gaan eisen stellen, óók als je niet wettelijk verplicht bent. Er is immers ook sprake van de zogenaamde ‘ketenverantwoordelijkheid’ van leveranciers in de keten.

Met de juiste aanpak til je je organisatie naar een hoger niveau. Cybersecurity gaat allang niet meer alleen over risico’s beperken. Het maakt je sterker, betrouwbaarder én aantrekkelijker voor opdrachtgevers.

Wil je sparren over waar jouw organisatie staat? Of direct aan de slag met een GAP-analyse of NIS2-ISO 27001 implementatietraject? Neem gerust contact met ons op of vraag direct een offerte aan. Onze adviseurs denken met je mee.