Komt NIS2 ook op mijn bordje terecht? Dit moet je als mkb’er weten

Veel mkb-bedrijven zijn een gewild doelwit voor cybercriminelen: minder budget voor security, maar wel interessante data én vaak toegang tot grotere klanten. Met de nieuwe Cyberbeveiligingswet die Nederland binnenkort invoert – de Nederlandse implementatie van de Europese NIS2-richtlijn – verandert het speelveld drastisch. Bedrijven met meer dan 50 werknemers in sectoren zoals groothandel, logistiek, productie en digitale dienstverlening moeten straks binnen 24 uur cyberincidenten melden bij autoriteiten. In deze blog vertelt Jasper van Riessen, mede-eigenaar van Masugro, wat NIS2 concreet betekent voor jouw bedrijf en hoe je je direct kunt voorbereiden.

NIS2 geldt ook voor jouw groothandel of productiebedrijf

De Europese NIS2-richtlijn klinkt misschien als weer zo’n ver-van-je-bed-show uit Brussel, maar de impact op Nederlandse bedrijven is reëel. Als je denkt dat alleen de grote jongens ermee te maken krijgen, heb ik nieuws voor je: werk je met meer dan 50 mensen in de groothandel, maakindustrie, logistiek, transport of energie? Dan val je onder deze nieuwe regels.

Het bijzondere aan NIS2 is dat het niet alleen gaat om de 10.000 essentiële bedrijven die direct onder toezicht staan. Deze organisaties werken samen met ongeveer 50.000 leveranciers die óók aan dezelfde eisen moeten voldoen. Links- of rechtsom ontkom je er niet aan.

De inwerkingtreding stond gepland voor het derde kwartaal van 2025, maar zoals vaak met nieuwe wetgeving loopt dit uit. De exacte datum is nog onzeker, maar de voorbereidingen kun je beter vandaag dan morgen starten. De boetes? Die lopen op tot miljoenen euro’s – geen bedragen waar je als mkb’er licht over denkt.

Wat betekent NIS2 concreet voor jouw IT en processen?

Vergeet de dagen dat je na een cyberincident rustig kon uitzoeken wat er gebeurd was. Straks moet je binnen 24 uur de autoriteiten informeren met antwoorden op lastige vragen: Wat is er precies gebeurd? Welke systemen zijn geraakt? Welke data is mogelijk gelekt? En vooral: welke beveiligingsmaatregelen had je getroffen?

Dit vraagt om centrale logging, monitoring en documentatie van alle beveiligingsrelevante gebeurtenissen. Auditrails moeten automatisch gedocumenteerd worden. Voor veel mkb’ers is dit een uitdaging – logbestanden staan vaak verspreid over servers, firewalls, clouddiensten en endpoints. Het overzicht ontbreekt.

Een extra aandachtspunt is dataopslag. De Amerikaanse Cloud Act geeft VS-autoriteiten het recht om toegang te eisen tot data van Amerikaanse bedrijven, zelfs als die data op Europese servers staat. Voor bedrijven die volledige controle over hun data willen behouden, wordt Nederlandse dataopslag steeds relevanter.

Van losse flodders naar een georganiseerd beveiligingssysteem

De meeste mkb-bedrijven hebben wel íéts aan beveiliging gedaan. Een firewall hier, antivirussoftware daar, misschien zelfs back-ups. Maar NIS2 vraagt om samenhang en overzicht. Je moet kunnen aantonen dat je adequate beveiligingsmaatregelen hebt getroffen – niet alleen technisch, maar ook organisatorisch.

Een belangrijk onderdeel dat vaak onderschat wordt: de directie moet actief betrokken zijn bij de actuele risico’s. Dit is geen IT-feestje meer dat je aan de systeembeheerder overlaat. Het management draagt eindverantwoordelijkheid en moet dat ook kunnen aantonen.

Begin daarom met het bepalen van rollen en verantwoordelijkheden binnen je organisatie. Wie doet wat bij een incident? Wie communiceert met de autoriteiten? Inventariseer vervolgens je huidige maatregelen en vergelijk deze met de NIS2-vereisten. Ontwikkel een gapanalyse en implementatieplan. Zonder commitment van bovenaf loopt je compliancetraject vast – geloof me, we hebben het vaak genoeg gezien gebeuren.

Wat moet je nu al voorbereiden?

Start direct met deze concrete voorbereidingen:

Breng je huidige situatie in kaart. Waar staan je logbestanden? Wie heeft toegang tot welke systemen? Welke beveiligingstools gebruik je al? Documenteer alles – dit vormt de basis voor je compliancetraject.

Zorg voor directiebetrokkenheid. Maak cybersecurity een vast agendapunt in managementoverleggen. De directie moet niet alleen op papier verantwoordelijk zijn, maar ook daadwerkelijk betrokken.

Organiseer je documentatie. NIS2 vraagt om aantoonbare maatregelen. Zorg dat je beleid, procedures en technische maatregelen op orde zijn én dat je dit kunt bewijzen.

Train je medewerkers. De beste technische beveiliging faalt als medewerkers niet weten hoe ze veilig moeten werken. Investeer in bewustwording en training.

Hoe je IT-partner het verschil maakt

Bij Masugro hebben we dit traject zelf doorlopen met onze ISO27001-certificering. We weten uit ervaring hoe overweldigend het kan voelen. Daarom hebben we een samenwerkingsportal ontwikkeld met het complete raamwerk voor zowel ISO27001 als NIS2. Geen paniek – je hoeft het wiel niet opnieuw uit te vinden.

Via deze portal krijg je toegang tot een beproefde structuur die je stap voor stap door het compliancetraject leidt. We fungeren als sparringpartner die meedenkt bij het invullen, toelichten en beoordelen van risico’s, maatregelen en beleidsdocumenten. Van de eerste inventarisatie tot de volledige implementatie.

Voor ons is compliance geen afvinklijstje. Het gaat om een fundamentele verandering in hoe je werkt en denkt over beveiliging. Deze mentaliteitsverandering maakt het verschil tussen bedrijven die NIS2 zien als last en bedrijven die het gebruiken als hefboom voor groei en vertrouwen.

Met het ISO/IEC 27001:2022-raamwerk zet je niet alleen in op bescherming. Je investeert in toekomstbestendigheid. Digitale dreigingen nemen toe en vertrouwen wordt een steeds belangrijker bedrijfskapitaal. Klanten en partners willen zekerheid dat hun data bij jou veilig is.

De tijd dringt – pak het nu aan

De Cyberbeveiligingswet komt eraan, of je er klaar voor bent of niet. Zelfs met de uitloop ben je al te laat als je nu niet begint – het opzetten van goede compliance kost maanden, niet weken. Bedrijven die wachten tot de definitieve datum bekend is, komen straks in de problemen. Je moet immers niet alleen je techniek op orde hebben, maar ook je documentatie, procedures én je mensen trainen.

De bedrijven die wél op tijd beginnen, hebben straks een streepje voor. Niet alleen qua compliance, maar ook in het vertrouwen dat ze uitstralen naar klanten en partners.

Overweeg samenwerking met een partner die het NIS2-traject al heeft doorlopen. Dit scheelt je tijd, voorkomt dure fouten en geeft je direct toegang tot beproefde methodes en documentatie.

Meer weten?

Wil je weten hoe je jouw organisatie voorbereidt op NIS2 zonder het wiel opnieuw uit te vinden? Bel 088 040 8200, mail naar j.vanriessen@masugro.nl of plan direct een afspraak in mijn agenda. Dan bespreken we de specifieke beveiligingsuitdagingen van jouw organisatie en stellen we samen een praktisch stappenplan op.

Jasper