NIS2 gaat het werk van veel organisaties veranderen. Meer aandacht voor cyberbeveiliging, scherpere eisen en een duidelijke rol voor bestuur en management. Voor veel organisaties voelt dat als extra druk. Wat moet je regelen? Wanneer begint het? En hoe voorkom je dat dit uitmondt in een nieuw compliance-project naast alles wat al loopt?
De neiging om af te wachten is begrijpelijk. Cyberregels voelen al snel technisch en abstract. Zeker als ze ook nog eens op bestuursniveau landen. Tegelijkertijd weten we ook hoe iets afloopt als je te lang wacht.. Dan wordt het druk, onrustig en vooral reactief.
In deze blog lees je wat NIS2 betekent, voor wie het geldt en hoe je je organisatie stap voor stap voorbereidt met grip en overzicht.
NIS2 maakt onderscheid tussen essentiële en belangrijke entiteiten. Het gaat om organisaties waarvan verwacht wordt dat ze digitaal overeind blijven, ook als het misgaat.
Essentiële entiteiten vind je onder andere in:
Belangrijke entiteiten zijn onder meer actief in:
Daarnaast speelt omvang een rol. Vanaf vijftig medewerkers en tien miljoen euro omzet of balanstotaal kom je sneller in beeld. Kleinere organisaties kunnen worden aangewezen als ze een cruciale rol spelen in een keten.
Ook organisaties die formeel buiten scope vallen, krijgen met NIS2 te maken. Klanten die onder NIS2 vallen, worden verantwoordelijk voor hun leveranciers.
Dat merk je in gesprekken, contracten en aanbestedingen. Vragen over beveiliging, continuïteit en incidentafhandeling worden concreter. Wie daar geen helder verhaal bij heeft, loopt vroeg of laat vast.
Ik spreek ook organisaties die zeggen dat ze misschien net buiten scope vallen, maar dit toch goed willen regelen. Dat is logisch.
Want NIS2 sluit aan op wat al jaren als goede praktijk geldt. In die zin is het een meetlat. Het laat zien waar je staat en waar je kwetsbaar bent.
NIS2 geldt al sinds begin 2023 op Europees niveau. Maar 2026 is het jaar waarin NIS2 juridisch van kracht wordt in Nederland. Vanaf dat moment gelden de verplichtingen uit de richtlijn via de Cyberbeveiligingswet en kunnen toezichthouders hierop handhaven.
Dat betekent dat organisaties die onder NIS2 vallen, in 2026 aantoonbaar moeten voldoen aan de eisen op het gebied van risicomanagement, incidentmelding, governance en continuïteit.
NIS2 is daarbij geen eenmalige verplichting. De richtlijn vraagt om structurele inrichting van processen, verantwoordelijkheden en toezicht. Omdat deze onderwerpen meerdere lagen raken, laat dit zich niet op het laatste moment organiseren.
Daarom is 2026 een bepalend jaar. Het markeert het moment waarop NIS2 overgaat van voorbereiding naar toetsing. Wat dan telt, is wat er daadwerkelijk is ingericht en geborgd.
NIS2 draait niet om één maatregel of document. Het gaat om samenhang.
Organisaties moeten passende technische en organisatorische maatregelen treffen. Dat begint vaak met overzicht.
Denk aan:
De vraag is steeds dezelfde. Sluit dit aan bij hoe de organisatie werkt, ook als het even tegenzit.
NIS2 legt verantwoordelijkheid expliciet bij het bestuur.
Het bestuur:
Cyberbeveiliging wordt daarmee onderdeel van reguliere besluitvorming.
Bij ernstige incidenten gelden vaste termijnen voor melding en opvolging.
Dat vraagt om duidelijke afspraken. Wie beoordeelt een incident? Wie communiceert? Wie neemt besluiten? Als dat vooraf helder is, ontstaat rust op momenten waarop spanning anders snel oploopt.
NIS2 verwacht dat organisaties voorbereid zijn op verstoring.
Dat betekent:
Het doel is niet om elk risico volledig uit te sluiten, maar juist om grip te houden op momenten dat zich iets voordoet.
Veel onderdelen van NIS2 sluiten aan op ISO 27001. En dat is niet geheel toevallig.
Een volwassen ISO 27001-structuur biedt een stevig fundament. NIS2 legt daar vooral extra nadruk op governance, meldingen en ketenverantwoordelijkheid.
Ik zie ISO 27001 als de basis. NIS2 helpt om die basis breder te verankeren.
Uit praktijk zijn dit met name signalen om extra voor te waken:
Een bewuste aanpak van NIS2 zorgt voor:
Met Aymigo help ik organisaties om NIS2 overzichtelijk en werkbaar te maken. Als integraal onderdeel van de bestaande manier van werken.
Dat betekent:
Wil je verkennen wat dit voor jouw organisatie betekent? Dan kijk ik graag met je mee waar de meeste duidelijkheid te winnen is.
Chat via WhatsApp
.png)