Veel mkb-ondernemers denken dat NIS2 alleen geldt voor banken, ziekenhuizen en energiebedrijven. Dat is te eenvoudig. Ook wanneer uw eigen onderneming niet rechtstreeks onder de Cyberbeveiligingswet valt, kunnen grote klanten aantoonbare beveiligingsmaatregelen eisen. Breng daarom uw positie in de keten in kaart, wijs een verantwoordelijke aan en leg vast hoe u cyberrisico’s, leveranciers en incidenten beheerst.
Waarom NIS2 ook kleinere leveranciers raakt
De Cyberbeveiligingswet is de Nederlandse uitwerking van de Europese NIS2-richtlijn. Sinds de inwerkingtreding gelden voor duizenden organisaties verplichtingen rond risicobeheer, incidentmeldingen, registratie en bestuurlijke verantwoordelijkheid. Het NCSC over NIS2 maakt duidelijk dat de wet vooral is gericht op organisaties die essentiële of belangrijke diensten leveren.
Toch stopt digitale veiligheid niet bij de juridische grens van één onderneming. Een ziekenhuis, vervoerder of digitaal platform kan uitstekend beveiligd zijn, maar alsnog risico lopen wanneer een leverancier met toegang tot systemen of gegevens onvoldoende maatregelen neemt. Daarom kijken grotere organisaties steeds kritischer naar hun keten.
Voor een klein softwarebedrijf, administratiekantoor, onderhoudsbedrijf of marketingbureau kan de praktische impact daardoor groot zijn. Klanten kunnen beveiligingsvragenlijsten sturen, contracten aanpassen, audits verlangen of minimale eisen stellen aan toegangsbeheer en incidentmelding. Wie daarop geen duidelijk antwoord heeft, loopt niet alleen een technisch risico. Een opdracht of verlenging kan eveneens verloren gaan.
1. Bepaal of uw organisatie rechtstreeks onder de wet valt
Begin niet met het kopen van beveiligingssoftware. Begin met de vraag welke positie uw organisatie heeft. Sector, omvang en type dienstverlening bepalen mede of de Cyberbeveiligingswet rechtstreeks van toepassing is. De NIS2-uitleg voor ondernemers beschrijft dat organisaties binnen de reikwijdte onder meer met een zorgplicht en meldplicht te maken hebben.
Controleer daarnaast of uw organisatie deel uitmaakt van een essentiële keten. Denk aan toegang tot klantomgevingen, verwerking van gevoelige gegevens, beheer van apparatuur of levering van software die voor de bedrijfscontinuïteit belangrijk is. Een onderneming kan buiten de wettelijke doelgroep vallen en toch contractueel vrijwel dezelfde eisen krijgen.
Leg de uitkomst van deze beoordeling vast. Noteer welke klanten kritisch zijn, welke diensten bij uitval grote gevolgen hebben en welke informatie nog ontbreekt. Dat document hoeft niet uitgebreid te zijn. Het moet vooral laten zien dat de beoordeling bewust en controleerbaar is uitgevoerd.
2. Maak cyberrisico’s onderdeel van de bedrijfsvoering
Cybersecurity wordt vaak als een IT-taak behandeld. NIS2 legt juist nadruk op bestuur en risicobeheer. Dat betekent dat de eigenaar of directie moet begrijpen welke risico’s de onderneming loopt en welke keuzes zijn gemaakt. Een externe IT-partner kan maatregelen uitvoeren, maar kan de verantwoordelijkheid niet volledig overnemen.
Sluit aan op de praktische basis uit digitale veiligheid. Inventariseer bedrijfskritische systemen, accounts, apparaten, data en leveranciers. Bepaal vervolgens wat er gebeurt wanneer een onderdeel een werkdag, een week of langer niet beschikbaar is.
Een bruikbaar risicodossier beantwoordt drie vragen: wat kan er misgaan, hoe groot is de zakelijke schade en welke maatregel verkleint het risico voldoende? Zo voorkomt u dat beveiliging bestaat uit losse producten zonder duidelijke prioriteit.
3. Controleer toegang en verantwoordelijkheden
Veel incidenten ontstaan niet door geavanceerde aanvallen, maar door een oud account, te ruime rechten of een medewerker die een overtuigende phishingmail opent. Maak daarom inzichtelijk wie toegang heeft tot welke systemen. Verwijder ongebruikte accounts en zorg dat beheerdersrechten slechts bij een kleine groep liggen.
Meervoudige verificatie hoort op e-mail, boekhouding, cloudopslag en beheeromgevingen standaard te zijn. Gebruik daarnaast een zakelijke wachtwoordmanager. De aandacht voor techniek werkt pas wanneer medewerkers begrijpen waarom regels bestaan. Het bestaande artikel over cybersecurity awareness biedt daarvoor een logisch vertrekpunt.
Wijs ook één persoon aan die het overzicht bewaakt. Bij een kleine onderneming kan dat de directeur of office manager zijn, ondersteund door een IT-leverancier. Leg vast wie accounts aanmaakt en verwijdert, wie updates controleert en wie bij een incident beslissingen mag nemen.
4. Beoordeel uw eigen leveranciers
Ketenveiligheid werkt twee kanten op. Uw klant beoordeelt u, maar u bent zelf afhankelijk van hosting, salarissoftware, cloudopslag, betaalproviders en andere dienstverleners. Vraag welke beveiligingsmaatregelen zij nemen en wat zij doen bij uitval of een datalek.
Controleer contracten op back-ups, beschikbaarheid, incidentmelding, gegevenslocatie en beëindiging van de dienstverlening. Een keurmerk of certificaat kan nuttig zijn, maar vervangt geen inhoudelijke beoordeling. De relevante vraag is of de leverancier voldoende zekerheid biedt voor het risico dat u bij die partij onderbrengt.
De KVK over cyberwetten benadrukt dat ook leveranciers van organisaties in vitale sectoren hun digitale veiligheid moeten kunnen aantonen. Een beknopte leverancierscheck maakt u daardoor weerbaarder én beter voorbereid op vragen van klanten.
5. Maak een incidentplan dat uitvoerbaar is
Een plan van twintig pagina’s helpt weinig wanneer niemand het kan vinden. Maak een korte instructie voor de eerste uren na een incident. Beschrijf hoe medewerkers verdachte activiteiten melden, wie systemen mag afsluiten, hoe de IT-partner wordt bereikt en wie klanten of autoriteiten informeert.
Oefen minstens één realistisch scenario. Denk aan een gehackt e-mailaccount, ransomware of het uitvallen van een belangrijke cloudleverancier. Tijdens zo’n oefening merkt u snel of telefoonnummers ontbreken, back-ups niet zijn getest of beslissingen afhankelijk zijn van één persoon.
Neem ook bedrijfscontinuïteit mee. Wanneer technische kennis schaars is, kan ondersteuning van buiten nodig zijn. Het artikel over continuïteit in IT laat zien hoe externe capaciteit een intern team kan aanvullen zonder dat alle kennis wordt uitbesteed.
6. Bouw een compact bewijsdossier
Klanten vragen steeds vaker om bewijs. Bewaar daarom beleidsdocumenten, trainingsregistraties, resultaten van back-uptests, een overzicht van toegangsrechten en de belangrijkste leveranciersafspraken. Voeg geen documenten toe die alleen voor de vorm bestaan. Ieder bewijsstuk moet aansluiten op een werkelijk uitgevoerde maatregel.
Met een compact dossier kunt u vragenlijsten sneller invullen en laat u zien dat beveiliging structureel is georganiseerd. Werk het dossier periodiek bij en na grote veranderingen, zoals een nieuw systeem, een verhuizing of een overname.
Van verplichting naar commercieel vertrouwen
NIS2 is meer dan een compliancevraag. Ondernemingen die hun digitale keten beheersen, kunnen betrouwbaarheid aantoonbaar maken. Dat helpt bij aanbestedingen, contractverlengingen en gesprekken met grotere opdrachtgevers. Begin daarom met inzicht en verantwoordelijkheid. Technologie volgt daarna. Zo wordt cybersecurity geen verzameling kosten, maar een voorwaarde om professionele klanten te blijven bedienen.
Veelgestelde vragen
Geldt NIS2 voor ieder mkb-bedrijf?
Nee. De directe toepasselijkheid hangt onder meer af van sector, omvang en dienstverlening. Indirect kunnen klanten wel NIS2-gerelateerde eisen stellen.
Moet een leverancier zich bij het NCSC registreren?
Alleen wanneer de organisatie zelf onder de registratieplicht valt. Een gewone leverancier is niet automatisch registratieplichtig.
Is een ISO-certificaat verplicht?
Niet automatisch. Passende beveiligingsmaatregelen zijn wel nodig. Een certificaat kan helpen om beheersing aan te tonen, maar is niet in iedere situatie vereist.
Wat is de eerste praktische stap?
Breng kritieke systemen, gegevens, klanten en leveranciers in kaart. Bepaal daarna welke risico’s de bedrijfscontinuïteit het meest bedreigen.
Kan een IT-leverancier alles regelen?
Een IT-leverancier kan veel uitvoeren. De directie blijft verantwoordelijk voor keuzes, toezicht en de zakelijke gevolgen van risico’s.
