NIS2-checklist voor het mkb

NIS2 en de Cyberbeveiligingswet in het kort

Wat er geldt

NIS2 is een Europese richtlijn: (EU) 2022/2555. Een richtlijn geldt niet rechtstreeks voor jouw organisatie. Elke lidstaat zet hem om in een eigen wet, en de lidstaten moesten dat uiterlijk 17 oktober 2024 doen.

In Nederland is dat de Cyberbeveiligingswet (Cbw). Die geldt sinds 15 augustus 2026 en vervangt de Wet beveiliging netwerk- en informatiesystemen (Wbni). Het Cyberbeveiligingsbesluit (Staatsblad 2026, 189) legde die datum vast. Voor jou telt dus de Nederlandse wet; de richtlijn legt uit waar die wet vandaan komt.

Deze snelgids helpt je bepalen of je eronder valt en wat je moet regelen. Het is geen juridisch advies.

Valt jouw organisatie eronder?

De wet geldt voor organisaties die essentiële of belangrijke diensten verlenen in 18 sectoren. Je stelt zelf vast of je eronder valt. Een greep uit de sectoren:

Essentiële entiteiten

• Energie (elektriciteit, olie, gas, waterstof)
• Vervoer (lucht, spoor, water, weg)
• Gezondheidszorg
• Drinkwater
• Digitale infrastructuur (DNS, internetknooppunten, topleveldomeinen, cloud, datacenters)
• Overheid

Belangrijke entiteiten

• Post- en koeriersdiensten
• Afvalbeheer
• Chemie
• Levensmiddelen
• Productie van medische hulpmiddelen
• Digitale aanbieders (online marktplaatsen, zoekmachines, sociale netwerken)

Wat de wet van je vraagt

Registreren

Organisaties die onder de wet vallen, registreren zich in het nationale entiteitenregister van het NCSC. Daarna krijg je informatie over dreigingen en hulp bij incidenten van het NCSC of het CSIRT van je sector.

Het bestuur is verantwoordelijk

Het bestuur keurt de beveiligingsmaatregelen goed en ziet toe op de uitvoering. Bestuurders moeten genoeg weten om risico's en maatregelen te beoordelen, en volgen daarvoor een passende training.

Maatregelen nemen (zorgplicht, artikel 21 van de richtlijn)

Je neemt passende en evenredige maatregelen om de risico's voor je netwerk- en informatiesystemen te beheersen. De richtlijn noemt onder meer deze onderwerpen:

Maatregel	Wat het is	Bewijs dat je kunt laten zien
Risicoanalyse	Periodieke beoordeling van dreigingen	Risicoregister, BIA
Incidentbeheer	Detectie, respons en herstel	Incidentlogs, draaiboeken
Bedrijfscontinuïteit	Back-ups en herstel na een calamiteit	Herstelplannen, testverslagen
Leveranciersketen	Leveranciers beoordelen en volgen	Leveranciersbeoordelingen
Netwerk- en systeembeveiliging	Technische beveiliging	Hardeningrichtlijnen
Toegangsbeheer	Identiteiten en rechten beheren	Toegangslogs, MFA-overzicht
Cryptografie	Versleuteling van opgeslagen en verzonden gegevens	Certificaten, sleutelbeheer
Personeel	Bewustwording en screening	Trainingsregistratie
Assetbeheer	Inventaris van kritieke systemen	CMDB, assetregister
Authenticatie	MFA en sterke wachtwoorden	MFA-dekking

Incidenten melden (meldplicht, artikel 23 van de richtlijn)

Een significant incident meld je aan je CSIRT en je toezichthouder, via het meldportaal van het NCSC. Wanneer een incident significant is, staat per sector in een ministeriële regeling. De termijnen uit de richtlijn:

1. Een vroege waarschuwing binnen 24 uur nadat je het incident ontdekt.
2. Een incidentmelding binnen 72 uur, met een eerste inschatting van de gevolgen.
3. Tussentijdse updates als de toezichthouder erom vraagt.
4. Een eindrapport binnen een maand, met de oorzaak en de genomen maatregelen.

Toezicht en boetes

Toezichthouders controleren of je de verplichtingen naleeft. De richtlijn (artikel 34) noemt als maximale boete ten minste:

• voor essentiële entiteiten: 10 miljoen euro of 2 procent van de wereldwijde jaaromzet
• voor belangrijke entiteiten: 7 miljoen euro of 1,4 procent van de wereldwijde jaaromzet

Daarnaast kan een toezichthouder audits en inspecties doen en bindende aanwijzingen geven.

Checklist om mee te beginnen

Bestuur (week 1 tot 4)

• Wijs een verantwoordelijke aan met een mandaat van het bestuur
• Laat het bestuur de training volgen over de verplichtingen
• Stel vast of je organisatie eronder valt, als essentiële of als belangrijke entiteit
• Registreer je organisatie in het entiteitenregister van het NCSC

Techniek (week 4 tot 12)

• Maak een inventaris van je systemen en gegevens
• Doe een risicoanalyse op de kritieke systemen
• Zet MFA aan op alle toegang
• Richt centrale logging in
• Scheid je netwerk in segmenten

Organisatie (week 8 tot 16)

• Schrijf een incidentresponsplan
• Oefen het plan met een tafeloefening
• Leg vast hoe je meldt aan het CSIRT en de toezichthouder
• Breng de risico's van je leveranciers in kaart
• Richt back-ups en herstel in, en test ze

Doorlopend

• Scan regelmatig op kwetsbaarheden
• Herzie je risicoanalyse elk jaar
• Houd de bewustwording op peil, bijvoorbeeld elk kwartaal
• Controleer elke maand of de updates zijn geïnstalleerd

Waar Noveu past

Noveu helpt bij een deel van deze maatregelen. De status staat er steeds bij.

Onderwerp	Wat Noveu doet
Risicobeheer	Overzicht per kader via de Compliance Console (in ontwerp)
Incidentmelding	Detectie en escalatie in werkstromen (in ontwerp)
Audittrail	Auditlog met bewijsexport (in ontwerp)
Toegangsbeheer	Inloggen met MFA; verplicht voor beheeraccounts
Datalocatie	Gegevens en back-ups in een Hetzner-datacenter in Falkenstein (Duitsland); Cloudflare (VS) is sub-verwerker voor CDN, DNS en TLS
Leveranciersketen	Alle sub-verwerkers staan op onze lijst van sub-verwerkers

Bronnen

• Richtlijn (EU) 2022/2555 (NIS2), EUR-Lex, geraadpleegd op 29 september 2026
• Rijksoverheid: Cyberbeveiligingswet en Wet weerbaarheid kritieke entiteiten vanaf vandaag van kracht, nieuwsbericht van 15 augustus 2026, geraadpleegd op 29 september 2026
• Cyberbeveiligingsbesluit, Staatsblad 2026, 189, geraadpleegd op 29 september 2026
• Nationaal Cyber Security Centrum (NCSC), geraadpleegd op 29 september 2026

---

Dit document is informatief. Vraag juridisch advies voor je eigen situatie.