NIS2 en de Cyberbeveiligingswet: wat moet jouw bedrijf regelen?
Sinds 15 augustus 2026 geldt in Nederland de Cyberbeveiligingswet (NIS2): kleine bedrijven vallen er meestal niet zelf onder, hun grotere klanten vaak wel. Die klanten vragen naar tweestapsverificatie, back-ups, updates en een plan voor als het misgaat, en die techniek regelen we.
Wat NIS2 is
NIS2 is een Europese richtlijn voor cyberbeveiliging. In Nederland heet hij de Cyberbeveiligingswet, kortweg Cbw.
De richtlijn heet officieel (EU) 2022/2555. Nederland heeft hem omgezet in de Cyberbeveiligingswet, met daaronder een besluit dat de zorgplicht en de rol van het bestuur verder invult. De wet geldt sinds 15 augustus 2026.
Volgens de Rijksoverheid (15 augustus 2026) krijgen duizenden organisaties in 18 sectoren er nieuwe verplichtingen door. De gedachte erachter is simpel: wie belangrijk is voor de samenleving, moet zijn IT op orde hebben en dat kunnen laten zien.
Valt jouw bedrijf eronder?
Met minder dan 50 medewerkers en minder dan €10 miljoen omzet val je meestal niet zelf onder de wet. Via je klanten krijg je er wel mee te maken.
De hoofdregel: de wet geldt voor middelgrote en grote organisaties in de sectoren uit bijlage I en II van de richtlijn. Middelgroot betekent vanaf 50 medewerkers, of meer dan €10 miljoen omzet én balanstotaal.
Kleine bedrijven vallen er meestal buiten. Er zijn uitzonderingen, bijvoorbeeld bepaalde digitale infrastructuur, of een organisatie die de overheid zelf aanwijst.
Twijfel je, doe dan de zelfevaluatie van de overheid. Het NCSC legt ook uit wie er onder de wet valt.
Ook niet plichtig? Je krijgt er toch mee te maken
Wie onder de wet valt, moet ook naar zijn leveranciers kijken. Ben jij leverancier, dan komt de vraag bij jou.
De wet vraagt plichtige organisaties om de beveiliging van hun toeleveringsketen mee te nemen (artikel 21 van de richtlijn). In de praktijk is dat een vragenlijst van je klant, of een nieuwe clausule in het contract.
Die vragen gaan bijna altijd over dezelfde vier dingen. Heb je ze geregeld en vastgelegd, dan is het antwoord snel gegeven.
- Tweestapsverificatie op elk account, ook op mail en bestanden.
- Back-ups die je ook echt terug kunt zetten.
- Updates die op tijd op elk apparaat staan. Dat regelt apparaatbeheer.
- Afspraken over wat er gebeurt als het een keer misgaat.
Wat de wet vraagt (zorgplicht, meldplicht, registratie)
Voor wie eronder valt: drie plichten, en het bestuur is eindverantwoordelijk.
Dit geldt voor plichtige organisaties. Val je er zelf niet onder, dan is dit wel de lat waar je klanten zich aan meten.
- Zorgplicht: passende maatregelen nemen. Onder meer een risicoanalyse, incidentafhandeling, bedrijfscontinuïteit en back-ups, beveiliging van de keten, tweestapsverificatie (MFA), versleuteling en training.
- Meldplicht: een significant incident meld je met een eerste waarschuwing binnen 24 uur, een melding binnen 72 uur en een eindrapport binnen een maand.
- Registratie: plichtige organisaties registreren zich bij het NCSC via mijn.ncsc.nl. Dat is verplicht sinds 15 augustus 2026.
- Bestuur: de directie moet de cyberrisico's kennen en is er verantwoordelijk voor.
- Boetes: tot €10 miljoen of 2% van de wereldwijde jaaromzet voor essentiële entiteiten, tot €7 miljoen of 1,4% voor belangrijke.
Wat dit technisch betekent
De wet zegt 'passende maatregelen'. In gewone IT-taal zijn dat er zes. We regelen de technische kant; juridisch advies geven we niet.
MFA overal
Tweestapsverificatie, ofwel MFA: elk account vraagt naast het wachtwoord een tweede stap. Een gelekt wachtwoord is dan niet genoeg om binnen te komen. Dat zetten we aan op je mail, bestanden en accounts.
Beheerde apparaten
Elke laptop en telefoon in één beheer: versleuteld, met schermslot en op afstand te wissen. Je ziet per apparaat of het klopt.
Updates op tijd
Updates gaan er centraal op, met een deadline. Een apparaat dat achterloopt valt op voordat het een gat wordt.
Back-ups die getest zijn
Een back-up telt pas als je hem terug kunt zetten. Dat test je, dat neem je niet aan.
Logging en monitoring
Wie logt in, wat verandert, wat valt uit. We houden je systemen en je netwerk 24/7 in de gaten. Wijkt er iets af, dan komt de melding bij ons binnen.
Een incidentplan
Op papier wie wat doet als het misgaat, en wie er meldt. Dan hoeft niemand op de dag zelf te zoeken.
Hoe Workflo helpt
Eerst weten of het je raakt, dan de gaten dicht. Daarna houden we het bij: 24/7 monitoring, een servicedesk op werkdagen van 08:00 tot 18:00 en één vaste prijs per maand.
Val je eronder?
We kijken samen of de wet voor jou geldt, of dat hij je via je klanten raakt. Zonder juridisch jargon.
Inventaris
We brengen in kaart wat er staat: accounts, apparaten, back-ups en updates. Je krijgt een lijst van wat goed is en wat ontbreekt.
Maatregelen
We dichten de gaten: tweestapsverificatie, back-ups, updates en een incidentplan. Binnen vast maandbeheer, zonder losse projecten.
Bijhouden
Daarna houden we het bij. Vraagt een klant naar je beveiliging, dan weet je wat er staat. Wat het per maand kost, zie je op de prijsindicatie.
Verder lezen
Wil je dieper in de wet? Twee artikelen van ons, en de bronnen bij de overheid.
NIS2 en jouw MKB: wat de richtlijn betekent voor kleinere bedrijven.
De NIS2-cyberbeveiligingswet is van kracht: wat er sinds 15 augustus 2026 geldt.
Bij de overheid: het bericht van de Rijksoverheid over de inwerkingtreding, en de uitleg van het NCSC.
Hoe we de techniek regelen: mail en accounts, apparaatbeheer, netwerkbeheer en IT-beheer uitbesteden binnen vast maandbeheer. Wat dat kost, zie je op de prijsindicatie.
kort antwoord
veelgestelde vragen
Geldt NIS2 voor mijn bedrijf met 20 medewerkers?
Meestal niet direct. De wet geldt vooral voor organisaties vanaf 50 medewerkers of €10 mln omzet in bepaalde sectoren. Er zijn uitzonderingen, doe de zelftest.
Sinds wanneer geldt de Cyberbeveiligingswet?
Sinds 15 augustus 2026.
Ik val er niet onder. Moet ik dan iets doen?
Vaak wel. Klanten die eronder vallen moeten hun leveranciers meewegen. Zij gaan je vragen naar je beveiliging.
Binnen hoeveel tijd moet ik een incident melden?
Een eerste waarschuwing binnen 24 uur, een melding binnen 72 uur en een eindrapport binnen een maand. Dit geldt voor plichtige organisaties.
Wat zijn de boetes?
Tot €10 mln of 2% van de wereldwijde jaaromzet voor essentiële entiteiten, tot €7 mln of 1,4% voor belangrijke.
Zorgt Workflo dat we aan NIS2 voldoen?
Wij regelen de technische maatregelen. Of je voldoet, is ook een juridische en organisatorische vraag. Daarvoor is je eigen adviseur nodig.
Weten waar je staat?
Bel of plan een gesprek. We kijken of de wet je raakt en wat er technisch nog ontbreekt. Daarna weet je het, en kun je weer verder.
vastgelopen? bel gewoon 020-30 80 465.
kom eens langs
Koivistokade 3
1013 AC Amsterdam
De koffie staat klaar.
geen gedoe. gewoon ict.