Ben jij NIS2-plichtig? Dit betekent de Cyberbeveiligingswet voor je IT

Sinds 15 augustus 2026 is de Cyberbeveiligingswet (Cbw) in Nederland van kracht. Daarmee is de Europese NIS2-richtlijn in Nederlandse wetgeving omgezet. Organisaties die onder de wet vallen, krijgen onder andere te maken met een registratieplicht, zorgplicht en meldplicht. De Rijksoverheid licht de inwerkingtreding en belangrijkste verplichtingen toe. Maar NIS2 gaat niet alleen over wet- en regelgeving. Uiteindelijk raakt het ook heel praktische IT-vraagstukken. Wie heeft toegang tot je systemen? Zijn apparaten en software up-to-date? Worden verdachte activiteiten op tijd opgemerkt? En kun je herstellen als systemen uitvallen of je organisatie wordt getroffen door ransomware? 

Wanneer ben je NIS2-plichtig?

Of de Cyberbeveiligingswet voor jouw organisatie geldt, hangt in de basis af van de sector waarin je actief bent en de omvang van je organisatie. De wet heeft betrekking op achttien sectoren. Voor veel organisaties speelt daarnaast een grens van 50 medewerkers een rol. Er zijn echter uitzonderingen en bij partner- en verbonden ondernemingen kunnen ook andere onderdelen van de organisatie meetellen. Alleen naar het aantal medewerkers kijken, is dus niet voldoende. 

We gaan in dit artikel bewust niet alle sectoren, criteria en uitzonderingen afzonderlijk behandelen. Het NCSC houdt hiervoor actuele informatie bij. Op de pagina ‘Valt mijn organisatie onder de Cyberbeveiligingswet?’ kun je stap voor stap bekijken of de wet mogelijk op jouw organisatie van toepassing is. Het NCSC verwijst daar ook naar de NIS2-Zelfevaluatie van de RDI voor een eerste check. Valt je organisatie daadwerkelijk onder de Cyberbeveiligingswet? Dan moet deze ook worden geregistreerd in het nationale entiteitenregister. Het NCSC legt op de pagina ‘Registreer jouw organisatie voor de Cyberbeveiligingswet’ uit hoe dit werkt. 

Niet NIS2-plichtig? Dan kan NIS2 toch relevant zijn

Valt je organisatie niet rechtstreeks onder de Cyberbeveiligingswet? Dan betekent dat niet automatisch dat je niets met NIS2 te maken krijgt. Organisaties die wél onder de wet vallen, moeten namelijk ook aandacht besteden aan de beveiliging van hun toeleveringsketen. Dat kan ertoe leiden dat klanten meer eisen gaan stellen aan leveranciers en dienstverleners. Denk aan vragen over informatiebeveiliging, toegangsbeheer, back-ups, incidentrespons, continuïteit en de beveiliging van systemen. Het NCSC behandelt ketenbeveiliging als een van de onderdelen van de zorgplicht onder de Cyberbeveiligingswet. Voor veel mkb-organisaties kan NIS2 daardoor ook indirect relevant worden. Bijvoorbeeld omdat een grote klant wil weten hoe digitale veiligheid bij zijn leveranciers is geregeld. 

Wat betekent NIS2 voor je IT?

Hier wordt de Cyberbeveiligingswet voor Connectworks-klanten concreet. Het NCSC onderscheidt binnen de zorgplicht tien maatregelen. Die gaan onder andere over risicoanalyse, incidentrespons, bedrijfscontinuïteit, ketenbeveiliging, cyberhygiëne, beveiliging van netwerk- en informatiesystemen, toegangs- en assetbeheer en sterke authenticatie. Welke maatregelen passend zijn, hangt af van de risico’s van de organisatie. 

Voor de dagelijkse IT-praktijk betekent dit bijvoorbeeld aandacht voor: 

• Accounts en toegang: wie heeft toegang tot welke systemen en zijn belangrijke accounts voldoende beveiligd met bijvoorbeeld MFA of passkeys? 
• Assets, updates en kwetsbaarheden: weet je welke apparaten, applicaties, cloudomgevingen en netwerkcomponenten je gebruikt en worden kwetsbaarheden tijdig opgelost? 
• Monitoring en incidentrespons: worden verdachte activiteiten gesignaleerd en is duidelijk wie moet handelen als er iets gebeurt? 
• Back-up en herstel: kun je niet alleen aantonen dat er back-ups zijn, maar ook dat belangrijke data en systemen daadwerkelijk kunnen worden hersteld? 
• Leveranciers en continuïteit: weet je van welke IT-leveranciers en clouddiensten je organisatie afhankelijk is en welke risico’s daarbij horen? 

Wie verder wil kijken dan deze praktische samenvatting, vindt op de NCSC-pagina over de zorgplicht per onderdeel uitleg en handvatten om ermee aan de slag te gaan. Veel van deze onderwerpen sluiten direct aan op de dagelijkse dienstverlening van Connectworks. Binnen Cybersecurity & IT-beveiliging van Connectworks werken we bijvoorbeeld met MFA en Conditional Access, endpointbeveiliging, monitoring, vulnerabilitymanagement, netwerkbeveiliging en back-up en disaster recovery. 

Een incident op tijd herkennen wordt belangrijker

Goede beveiliging gaat niet alleen over voorkomen. Je moet ook kunnen herkennen wanneer er iets misgaat. Voor organisaties die onder de Cyberbeveiligingswet vallen, geldt een meldplicht voor significante incidenten. De eerste vroegtijdige waarschuwing moet uiterlijk binnen 24 uur nadat de organisatie kennis heeft gekregen van zo’n incident worden gedaan. Daarna volgen aanvullende meldmomenten. De precieze procedure en termijnen staan uitgewerkt op de NCSC-pagina over de meldplicht. Dat maakt monitoring en incidentrespons extra belangrijk. Je moet immers eerst weten dát er iets aan de hand is voordat je kunt beoordelen wat de impact is en welke vervolgstappen nodig zijn. 

NIS2 is niet alleen een IT-vraagstuk

Hoewel veel maatregelen de IT-omgeving raken, kun je NIS2 niet alleen met techniek oplossen. Naast veilige systemen gaat het ook om risico’s beoordelen, verantwoordelijkheden vastleggen, afspraken maken, leveranciers beoordelen en maatregelen structureel borgen. Het NCSC benadrukt bij de zorgplicht daarom dat risicomanagement de basis vormt en dat organisaties zelf moeten bepalen welke maatregelen passend zijn. Daarnaast moet de directie van de organisatie getraind worden in het herkennen van cyberrisico’s en het goedkeuren van maatregelen die daarop worden genomen. En precies daar komen Connectworks en IPA bij elkaar. 

De rol van Connectworks en IPA

Connectworks kijkt naar de praktische IT-kant. We volgen de ontwikkelingen rond de Cyberbeveiligingswet en informeren klanten over wat deze ontwikkelingen voor hun IT kunnen betekenen. Daarbij kijken we bijvoorbeeld naar toegangsbeveiliging, Microsoft 365, endpoints, patching, netwerkbeveiliging, monitoring, back-up en disaster recovery. Connectworks bepaalt niet juridisch of een organisatie NIS2-plichtig is en voert geen volledig NIS2-compliance-traject uit. We kunnen wel inzichtelijk maken waar de aandachtspunten de IT-omgeving raken en welke technische maatregelen daarbij relevant zijn. 

Voor de bredere organisatorische kant werken we samen met IPA Bedrijfsmanagement. IPA richt zich op informatiebeveiliging binnen de organisatie en ondersteunt onder andere bij het inrichten en onderhouden van een ISMS (Information Security Management System), interne audits en de invulling van rollen als Security Officer of CISO. Meer over die dienstverlening is te vinden bij IPA Bedrijfsmanagement – Informatiebeveiliging. IPA maakt voor de inrichting en het onderhoud van een managementsysteem gebruik van de tooling van ControlBee. Deze software borgt een werkwijze in lijn met de eisen uit de Wet en zorgt voor eenvoudige compliance. 

Zo vullen beide kennisgebieden elkaar aan: IPA kijkt naar de organisatorische inrichting en borging van informatiebeveiliging. Connectworks kijkt naar de technische IT-omgeving en de maatregelen die daarin nodig zijn. Voor klanten blijft Connectworks daarbij een vertrouwd aanspreekpunt. Heb je een vraag over NIS2 en raakt die ook de organisatorische kant, dan kunnen we IPA erbij betrekken. 

Ben jij NIS2-plichtig? Begin bij de juiste informatie

Weet je nog niet of de Cyberbeveiligingswet voor jouw organisatie geldt? Gebruik dan eerst de actuele uitleg en toepasselijkheidscheck van het NCSC. Daar vind je de volledige criteria, sectoren en uitzonderingen. Is NIS2 voor jouw organisatie relevant? Kijk dan ook kritisch naar je IT-basis. Zijn toegang, updates, monitoring, back-up en herstel goed geregeld? Weet je welke leveranciers belangrijk zijn? En is duidelijk wat er moet gebeuren wanneer zich daadwerkelijk een cyberincident voordoet? 

Heb je daar vragen over? Leg ze gerust bij Connectworks neer. We helpen je om de IT-kant van het vraagstuk inzichtelijk te maken en kunnen IPA betrekken wanneer specialistische organisatorische kennis nodig is. 

Van NIS2 naar uitvoering 

Wil je weten welke stappen jouw organisatie kan zetten? Op donderdag 10 december van 11.00 tot 11.45 uur organiseren Connectworks en IPA het webinar ‘Van NIS2 naar uitvoering’. We bespreken wat er van organisaties wordt verwacht en vertalen dit naar praktische maatregelen. Ook is er ruimte om live vragen te stellen.