Stel je voor: je krijgt een brief van de overheid met de mededeling dat jouw organisatie vanaf 2026 moet voldoen aan nieuwe cybersecuritywetgeving. Wat nu? Voor veel ondernemers en managers klinkt NIS2 compliance als iets ingewikkelds vol juridisch jargon, maar dat hoeft het niet te zijn.
De Cyberbeveiligingswet, de Nederlandse versie van de Europese NIS2-richtlijn, treedt in werking op 15 augustus 2026 en raakt ruim 8.000 organisaties in Nederland. Of jij daar ook bij hoort en wat je dan precies moet regelen, dat leggen we je in dit artikel stap voor stap uit. Geen ingewikkelde wetteksten, maar gewoon duidelijke taal.
In dit artikel ontdek je wat NIS2 en de Cyberbeveiligingswet precies inhouden, of jouw organisatie eronder valt, en welke verplichtingen er concreet op je afkomen. We bespreken ook wat de gevolgen zijn als je niets doet, hoe je als mkb-organisatie een goede start maakt, en hoe FiveTrust je daarbij kan helpen. Klaar om er samen doorheen te lopen? Laten we beginnen.
Wat is NIS2 en wat is de Cyberbeveiligingswet?
NIS2 is een Europese richtlijn die organisaties in kritieke sectoren verplicht hun cyberbeveiliging op orde te hebben. De Nederlandse vertaling hiervan is de Cyberbeveiligingswet (Cbw), vastgesteld door de overheid en van toepassing op ruim 8.000 Nederlandse organisaties.
De wet treedt in werking op 15 augustus 2026 en vervangt de oudere Wet beveiliging netwerk- en informatiesystemen (Wbni). Die oude wet was de Nederlandse implementatie van de oorspronkelijke NIS1-richtlijn uit 2016. De Cyberbeveiligingswet stelt strengere eisen en treft een bredere groep organisaties, waaronder sectoren zoals gezondheidszorg die eerder buiten de boot vielen.
De wet is opgebouwd uit drie lagen:
- Het wetsvoorstel zelf, dat de hoofdverplichtingen beschrijft
- Het Cyberbeveiligingsbesluit (AMvB), waarin zaken als de zorgplicht, registratieplicht en bestuurlijke verantwoordelijkheid verder worden uitgewerkt
- Sectorspecifieke ministeriële regelingen, die per vakdepartement verdere invulling geven aan de verplichtingen in jouw branche
Nederland haalde de oorspronkelijke Europese implementatiedeadline van 17 oktober 2024 niet, iets wat meer EU-lidstaten overkwam. Augustus 2026 is nu de vastgestelde ingangsdatum.
Formeel gelden de verplichtingen pas als de wet in werking treedt. Toch is wachten geen verstandige strategie: implementatie kost tijd, zeker als je beleid, processen én techniek moet aanpassen. Wie nu begint, heeft straks geen haast. Als je nieuwsgierig bent naar de concrete dreigingen waartegen je je moet wapenen, biedt dit overzicht van moderne werkplekbeveiliging voor het mkb een goede eerste oriëntatie.
Valt jouw organisatie onder de wet?
De wet geldt niet voor iedereen, maar voor meer organisaties dan je misschien denkt. Om te bepalen of jij eronder valt, kijkt de Cyberbeveiligingswet naar twee dingen: in welke sector je actief bent en hoe groot je organisatie is.
Twee categorieën: essentieel of belangrijk
De wet verdeelt organisaties in twee groepen, elk met eigen toezicht.
Essentiële entiteiten zijn actief in sectoren zoals energie, transport, drinkwater, financiën, gezondheidszorg en digitale infrastructuur. Zij vallen onder strikt, proactief toezicht: de toezichthouder controleert actief of je voldoet, zonder te wachten op een incident.
Belangrijke entiteiten komen uit sectoren als maakindustrie, logistiek, chemie en digitale dienstverlening. Zij vallen onder reactief toezicht, wat betekent dat controle achteraf plaatsvindt. Minder druk, maar de verplichtingen gelden onverminderd.
Bekijk de officiële lijst van sectoren op de NCTV-website als je wilt nakijken waar jouw sector in valt.
Hoe groot moet je zijn?
Sector alleen is niet genoeg. Jouw organisatie valt in principe onder de wet als je aan minimaal één van deze criteria voldoet:
- Meer dan 50 medewerkers, of
- Een jaaromzet boven 10 miljoen euro
Sommige aanbieders, zoals DNS-diensten en gekwalificeerde vertrouwensdienstverleners, vallen automatisch onder de wet, ongeacht hun omvang.
Die ruim 8.000 organisaties omvatten ook veel mkb-bedrijven die dit nu nog niet weten. Dat is ook geen verrassing: de wet is nieuw en de communicatie naar het bedrijfsleven loopt nog achter.
Weet jij waar je staat?
Twijfel je of jouw organisatie eronder valt? Dan is een IT-audit of quickscan de snelste manier om duidelijkheid te krijgen. Zo’n audit brengt ook direct in kaart waar je eventuele kwetsbaarheden zitten, wat later in het complianceproces tijd bespaart. Meer achtergrond over wat er speelt op het gebied van cybersecurity vind je in ons overzicht van cybersecurity voor Nederlandse mkb-organisaties.
Wat zijn de belangrijkste verplichtingen?
Als je weet dat de wet op jou van toepassing is, komt de volgende vraag: wat moet je dan precies regelen? De Cyberbeveiligingswet legt vier concrete verplichtingen op.
Zorgplicht Je bent verplicht om passende technische én organisatorische maatregelen te nemen om je systemen te beveiligen. “Passend” betekent: in verhouding tot de risico’s die jouw organisatie loopt. Denk aan sterke toegangsbeveiliging, versleuteling, en een goed patchbeleid. Overigens geldt dit ook voor de beveiliging van je werkplekken; een goede moderne werkplek implementatie is daarin een logisch vertrekpunt.
Meldplicht Heb je een significant cyberincident? Dan moet je dat zo snel mogelijk, maar in ieder geval binnen 24 uur melden bij de toezichthouder. Een meer gedetailleerd rapport volgt daarna zo spoedig mogelijk. Dit vraagt dat je van tevoren weet hoe je een incident herkent en wie intern de melding coördineert. Hackers kiezen bewust momenten waarop organisaties kwetsbaar zijn, dus voorbereiding is geen overbodige luxe.
Risicobeheer Je moet aantoonbaar beleid hebben rondom risicobeoordeling, incidentrespons, back-up en herstel, en de beveiliging van je toeleveringsketen. Dat laatste punt vergeten organisaties regelmatig: ook leveranciers en partners met toegang tot jouw systemen vallen onder jouw verantwoordelijkheid.
Bestuurlijke verantwoordelijkheid Dit is een cruciaal nieuw element. Het management is persoonlijk aansprakelijk voor naleving en moet aantoonbaar betrokken zijn bij het cybersecuritybeleid. Zoals eerder besproken: cybersecurity is een bestuurskwestie.
Twee praktische noten ten slotte. Voor zorgorganisaties bieden NEN7510 en ISO27001 een directe structuur om aan de verplichtingen te voldoen; je hoeft niet vanaf nul te beginnen. En kritieke entiteiten krijgen na hun officiële aanwijzing 10 maanden de tijd om volledig compliant te zijn, wat enige ruimte geeft maar geen reden tot uitstel.
Wat zijn de gevolgen als je niet voldoet?
Nu je weet wat de wet van je vraagt, is de logische vervolgvraag: wat gebeurt er als je er niets mee doet?
Het korte antwoord is dat de gevolgen verder gaan dan een boete.
Toezicht en handhaving
Toezichthouders krijgen onder de Cyberbeveiligingswet concrete bevoegdheden: ze mogen audits uitvoeren en aanwijzingen geven. De wet voorziet in aanzienlijke financiële sancties, met hogere maxima voor essentiële entiteiten dan voor belangrijke entiteiten.
Persoonlijke aansprakelijkheid van bestuurders
Wat veel directeuren verrast: de wet maakt het mogelijk om bestuurders persoonlijk aansprakelijk te stellen bij aantoonbaar nalatig beleid. Dit is geen theoretisch risico.
Reputatieschade weegt vaak zwaarder
Voor mkb-organisaties is reputatieschade na een datalek of incident vaak pijnlijker dan de boete zelf. Klanten, leveranciers en aanbestedende partijen stellen steeds vaker vragen over beveiliging voordat ze een contract tekenen. Een incident dat in het nieuws komt, of zelfs een mislukt leveranciersonderzoek, kan relaties kosten die je jaren hebt opgebouwd.
Goed ingericht apparaat- en toegangsbeheer, zoals beschreven in onze uitleg over Microsoft Intune voor het mkb, is een concreet voorbeeld van een maatregel die zowel technisch als aantoonbaar bijdraagt aan compliance.
Organisaties die proactief handelen, bouwen juist vertrouwen op. Compliance wordt zo een onderscheidend voordeel, geen verplichting.
Waar begin je als mkb-organisatie?
De gevolgen zijn duidelijk; nu is de vraag wat je concreet doet. Hieronder vijf stappen die elke mkb-organisatie kan zetten, ongeacht budget of technische kennis.
Stap 1: Bepaal of je onder de wet valt
Zoals eerder besproken val je onder de wet als je actief bent in een van de aangewezen sectoren én voldoet aan de omvangsdrempels (50+ medewerkers of >€10 mln omzet). Let ook op je positie in de keten: lever je aan organisaties die wél onder de wet vallen, dan kunnen zij beveiligingseisen doorleggen aan jou. Twijfel je? Een IT-audit geeft snel duidelijkheid.
Stap 2: Breng je huidige situatie in kaart
Welke systemen gebruik je, wie heeft toegang tot wat, en waar zitten de zwakste plekken? Denk aan wachtwoordbeleid, softwareupdates, back-ups en toegangsrechten van oud-medewerkers. Dit hoeft geen groot project te zijn; een gestructureerde inventarisatie van een dagdeel levert al een bruikbaar vertrekpunt op.
Stap 3: Stel een risicobeleid op
Documenteer welke risico’s je loopt en welke maatregelen je neemt. Vergeet daarbij je leveranciers en partners niet: de wet stelt eisen aan de hele keten. Wie heeft toegang tot jouw systemen, en hoe zeker ben je van hun beveiliging?
Stap 4: Regel je meldproces
Bij een significant incident moet je binnen 24 uur melding maken bij de toezichthouder. Zorg dus vooraf dat iedereen weet: wie herkent een incident, wie wordt intern als eerste geïnformeerd, en hoe verloopt de melding? Leg dit vast, ook al is het één A4.
Stap 5: Betrek je bestuur
De wet stelt bestuurders persoonlijk verantwoordelijk. Zorg dat directie en management aantoonbaar op de hoogte zijn en het cybersecuritybeleid onderschrijven. Dat betekent niet dat de directeur alles technisch moet begrijpen, maar wel dat er handtekeningen staan onder het beleid.
Gebruik bestaande frameworks
Je hoeft niet vanaf nul te beginnen. ISO27001 en NEN7510 (voor de zorg) bieden een bewezen structuur die direct aansluit op wat de Cyberbeveiligingswet vraagt. Wie al werkt aan veilige digitale werkprocessen, zoals bij de veilige uitrol van Microsoft Copilot in een Microsoft 365-omgeving, bouwt daarmee automatisch aan een fundament dat NIS2-proof is.
Hoe helpt FiveTrust jou op weg met NIS2?
Die stappen uit het vorige deel geven je een goed vertrekpunt. Maar je hoeft dit traject niet alleen af te leggen.
FiveTrust helpt mkb-organisaties concreet om NIS2-ready te worden, zonder dat je zelf een compliance-specialist hoeft te worden.
We beginnen met een IT-audit. Daarmee breng je snel in kaart wat je huidige beveiligingsniveau is en hoeveel afstand je nog hebt tot NIS2-compliance. Je weet direct waar de prioriteiten liggen, in plaats van te gissen.
Via onze beheerde cybersecuritydiensten zorgen we dat de technische basis structureel klopt: continue monitoring, toegangsbeheer en back-up zijn niet eenmalig geregeld, maar doorlopend bewaakt en onderhouden.
Op de organisatorische kant helpen we bij het opstellen van beleidsdocumentatie en incidentresponsplannen. Zo voldoe je niet alleen technisch aan de wet, maar ook aan de eisen rondom risicobeheer en meldprocessen.
Als Microsoft 365- en Azure-partner richten we beveiligde werkomgevingen in die direct aansluiten op de netwerk- en informatiesysteembeveiliging die de wet vereist. Of je nu werkt aan een moderne werkplek met de juiste bouwstenen voor jouw organisatie of een bestaande omgeving wil versterken, we zorgen dat beveiliging geen sluitpost is.
Wat ons onderscheidt, is dat we verder kijken dan de techniek. We denken mee over het proces, helpen je bij de communicatie richting je bestuur en houden rekening met de specifieke sector waarin jij actief bent. Of je nu in de zorg, logistiek of zakelijke dienstverlening zit, de aanpak sluit aan op jouw situatie.
Conclusie: begin op tijd, begin klein
NIS2 is geen verre toekomstmuziek meer. De Cyberbeveiligingswet gaat in op 15 augustus 2026, en organisaties die dan niet op orde zijn, lopen aanzienlijke risico’s.
Het goede nieuws: je hoeft niet alles tegelijk te regelen. Begin met de basis. Weet of jouw organisatie onder de wet valt, breng in kaart welke systemen en risico’s er spelen, en stel daarna prioriteiten. Kleine, concrete stappen brengen je verder dan een groot compliance-project dat nooit van de grond komt.
Betrek de directie er vroeg bij — hun persoonlijke verantwoordelijkheid onder de wet maakt dit onvermijdelijk.
En je hoeft dit niet alleen te doen. FiveTrust loopt de technische én organisatorische stappen samen met je door, van de eerste quickscan tot een werkend incidentresponsproces. Jij hoeft geen compliance-specialist te worden; dat is precies waar wij voor zijn.
De tijd om te starten is nu. Hoe eerder je begint, hoe minder stress richting de deadline en hoe sterker je organisatie staat, niet alleen voor de wet maar ook voor je klanten en partners.