NIS2 voor het mkb: wat je klant straks van je vraagt

Je klant stuurt een vragenlijst over informatiebeveiliging. Of in een offerteaanvraag staat ineens een alinea over NIS2. Jij runt een mkb-bedrijf van dertig medewerkers dat zijn werk goed doet, en je vraagt je af of die wet ook voor jou geldt.

Het korte antwoord: de wet vraagt meestal niets van jou, maar je klant vraagt wel iets over jou. In dit stuk lees je waarom, wat klanten gaan vragen en wat je deze week kunt regelen. Val je zelf onder de wet, lees dan NIS2 voor bestuurders. Hier gaat het over de leverancier in de keten.

Wat de wet van een leverancier vraagt

Het Nationaal Cyber Security Centrum (NCSC) schrijft het zo: de Cyberbeveiligingswet legt toeleveranciers van organisaties die onder de wet vallen geen verplichtingen op (NCSC, 8 juli 2025). Toeleveranciers staan zelf niet onder toezicht en hoeven geen verantwoording af te leggen aan een toezichthouder (zelfde bron).

Het gaat om je klant. NIS2 noemt de beveiliging van de toeleveringsketen als maatregel, inclusief de relatie met rechtstreekse leveranciers (richtlijn (EU) 2022/2555, artikel 21, tweede lid, onder d). Een organisatie onder de wet kan daarom eisen aan jou stellen. Wordt zij gecontroleerd, dan kan ze jou om bewijs vragen dat de maatregelen genomen zijn, zodat ze dat aan haar toezichthouder kan laten zien (NCSC, zelfde bron).

Twee misverstanden

Je hoort er twee vaak:

• Dat NIS2 voor jou net zo geldt als voor je klant. Uit een flitspeiling van het Digital Trust Center van september 2024 bleek dat zes op de tien toeleveranciers die NIS2 kennen dat denken (NCSC, 8 juli 2025).
• Dat je een certificaat nodig hebt. Een keurmerk of certificaat is geen vereiste voor toeleveranciers (NCSC, 8 juli 2025). Het kan het gesprek met je klant makkelijker maken, maar het garandeert niet dat het risico in de keten is afgedekt, en elke klant kan om andere maatregelen vragen (NCSC, geraadpleegd 5 oktober 2026).

Val je zelf toch onder de wet?

Dat kan. Een bedrijf met 10 tot 50 medewerkers is volgens de Europese definitie meestal klein: minder dan 50 medewerkers en een jaaromzet of balanstotaal van hooguit 10 miljoen euro (Europese Commissie). De wet geldt voor organisaties in de sectoren van bijlage 1 en 2, zoals energie, digitale infrastructuur en onderzoek, en in de regel pas vanaf middelgroot (NCSC, geraadpleegd 5 oktober 2026). Medewerkers tellen in fte, en partner- en verbonden ondernemingen, zoals een moederbedrijf of dochters, tellen mee voor medewerkers, jaaromzet en balanstotaal (zelfde bron).

Ongeacht de omvang geldt de wet onder meer voor aanbieders van openbare elektronische communicatie, verleners van vertrouwensdiensten, registers voor topleveldomeinnamen, DNS-dienstverleners en verleners van domeinnaamregistratiediensten (NCSC, informatiebrochure Cyberbeveiligingswet, februari 2026), en voor een bedrijf dat de overheid aanwijst omdat het als enige in Nederland een dienst levert die nodig is om kritieke maatschappelijke of economische activiteiten draaiende te houden (richtlijn (EU) 2022/2555, artikel 2). Op verleners van domeinnaamregistratiediensten zijn niet alle verplichtingen uit de wet van toepassing (NCSC, informatiebrochure Cyberbeveiligingswet, februari 2026). Lever je zo'n dienst, lees dan eerst de twee bronnen hierboven om te zien of je eronder valt.

Wat je klant gaat vragen

Welke vragen je krijgt, bepaalt je klant. Als houvast dienen de vijf basisprincipes van digitale weerbaarheid van het NCSC, bedoeld voor alle organisaties (NCSC, geraadpleegd 5 oktober 2026). Reken op vragen als deze:

• Risico's: welke systemen en gegevens van de klant raak je aan, en wat kan daar via jou misgaan?
• Gedrag: weten je medewerkers wat ze doen bij een phishingmail?
• Systemen: staan updates en beveiliging op je computers, apps en apparaten op orde?
• Toegang: wie kan bij de gegevens van de klant, en gebruikt iedereen een tweede inlogstap?
• Incidenten: wat doe je als het misgaat, en hoe snel hoort de klant het van jou?

Dat laatste punt telt zwaar. Een organisatie onder de wet meldt een significant incident in drie stappen: een vroege waarschuwing binnen 24 uur, een incidentmelding binnen 72 uur en een eindverslag binnen een maand (NCSC, geraadpleegd 5 oktober 2026). Jouw klant wil dus snel weten wat er bij jou gebeurt.

Wat je morgen kunt doen

Een korte checklist, in deze volgorde:

1. Schrijf op welke klanten onder de wet vallen of kunnen vallen, en welke systemen en gegevens van hen jij gebruikt of kunt inzien.
2. Zet een tweede inlogstap aan op elk account met toegang tot klantgegevens en haal accounts van vertrokken collega's weg.
3. Spreek een termijn voor updates af, schrijf hem op en zet een back-up terug om te zien hoe lang dat duurt.
4. Schrijf een incidentroute van één A4: wie belt de klant, binnen hoeveel uur en op welk nummer.
5. Doe de Basisscan Cyberweerbaarheid van het NCSC om te zien of je de basis op orde hebt, en bewaar de uitkomst met de rest in één map.

Zo heb je bij de volgende vragenlijst je antwoorden en je bewijs bij de hand.

Waar Noveu past

Op de compliancepagina staat per kader de status. Voor NIS2 en de Cyberbeveiligingswet bestaat geen certificaat dat aantoont dat je voldoet (NCSC, 8 juli 2025). Een certificaat voor NIS2 hebben wij dus ook niet. Hoe Noveu voor het mkb werkt, lees je op de pagina voor het mkb.