Een klant vraagt hoe jullie informatiebeveiliging is geregeld. Het bestuur wil weten of de organisatie onder NIS2 valt. Of opdrachtgevers stellen steeds vaker vragen over cyberveiligheid. Dan komt meestal dezelfde vraag naar voren: wat moeten wij nu concreet regelen?
NIS2 raakt veel mkb-bedrijven. Soms rechtstreeks, maar vaker via klanten, opdrachtgevers en ketenpartners. Dat betekent niet direct een omvangrijk complianceproject. Wel heb je inzicht nodig in je risico's, je maatregelen en de manier waarop je digitale veiligheid aantoonbaar beheerst.
Zeeuws Zakelijk helpt je dat overzicht te krijgen. We brengen risico's, processen, systemen en afhankelijkheden in kaart en vertalen de NIS2-eisen naar een werkbare aanpak die past bij de dagelijkse praktijk.
NIS2 (voluit: Network and Information Security directive) is een Europese richtlijn die de digitale weerbaarheid van organisaties versterkt. In Nederland is NIS2 uitgewerkt in de Cyberbeveiligingswet. Die wet is op 15 augustus 2026 in werking getreden.
Organisaties die onder de wet vallen, hebben een zorgplicht, een registratieplicht en een meldplicht. De kern is eenvoudig: ken je digitale risico's, neem passende maatregelen, wees voorbereid op incidenten en laat zien dat beveiliging structureel is geborgd.
Digitale veiligheid is daarbij niet alleen een taak van ICT. Directie, management, medewerkers en leveranciers hebben allemaal een rol. Het bestuur is zelfs expliciet verantwoordelijk.
NIS2 draait uiteindelijk niet om regels afvinken, maar om weerbaarheid en continuïteit. De vraag is niet alleen of je systemen veilig zijn, maar ook of je organisatie kan blijven werken als er een incident plaatsvindt.
NIS2 kan op twee manieren relevant zijn voor jouw organisatie.
Direct: je organisatie valt zelf onder de Cyberbeveiligingswet.
Indirect: je valt niet rechtstreeks onder de wet, maar levert producten of diensten aan een organisatie die dat wel doet.
Dat hangt af van je sector, activiteiten en omvang. De wet richt zich op achttien kritieke en zeer kritieke sectoren. Daaronder vallen onder meer energie, vervoer, gezondheidszorg, digitale infrastructuur, ICT-dienstverlening, levensmiddelen, chemie, afvalbeheer, onderzoek en bepaalde productiebedrijven.
Ben je actief in zo'n sector? Dan geldt als hoofdregel een grens van 50 medewerkers of meer. Ook met minder medewerkers kun je onder de wet vallen, als zowel je jaaromzet als je balanstotaal boven de €10 miljoen uitkomen. Er zijn uitzonderingen, en ook een groepsstructuur kan meetellen.
Via de zelfevaluatietool van de Rijksinspectie Digitale Infrastructuur krijg je een eerste indicatie.
Veel mkb-bedrijven vallen niet rechtstreeks onder de wet, maar krijgen vroeg of laat vragen van klanten die dat wél doen. Die organisaties moeten namelijk aantonen dat ook hun leveranciers voldoende aandacht besteden aan cyberveiligheid.
Je krijgt dan vragen over je informatiebeveiliging, toegangsbeheer, back-ups, incidentafhandeling en leveranciersafspraken. Die vragen komen steeds vaker terug in aanbestedingen, contracten, leveranciersbeoordelingen en audits. Daarom is het verstandig om vooruit te lopen, zodat je niet pas in actie komt als een belangrijke opdracht of samenwerking op het spel staat.
Twijfel je of NIS2 direct of indirect relevant is? Tijdens een NIS2-inventarisatie brengen we je sector, omvang, klanten, leveranciers en digitale afhankelijkheden in kaart.
NIS2 draait niet om één technische checklist. De maatregelen moeten passen bij de risico's, omvang en activiteiten van je organisatie. De zorgplicht in de Cyberbeveiligingswet omvat tien gebieden:
Risicomanagement is het vertrekpunt. Eerst bepaal je wat belangrijk is voor de continuïteit van je organisatie, daarna welke maatregelen daarbij passen.
De meeste bedrijven starten niet vanaf nul. Multifactor-authenticatie, updates, back-ups en monitoring zijn vaak al aanwezig. De uitdaging zit meestal niet in het bestaan van maatregelen, maar in het kunnen aantonen ervan.
Je moet bijvoorbeeld kunnen uitleggen waar een maatregel wordt toegepast, wie verantwoordelijk is, hoe de werking wordt gecontroleerd, wanneer deze voor het laatst is getest en waar afspraken en resultaten zijn vastgelegd. Daar zit het verschil tussen "we doen aan beveiliging" en "we kunnen aantonen hoe onze beveiliging is georganiseerd".
Een succesvolle aanpak is risicogedreven, praktisch en structureel.
Onderzoek of de Cyberbeveiligingswet direct op jouw organisatie van toepassing is en welke eisen klanten of ketenpartners mogelijk gaan stellen.
Welke processen zijn cruciaal? Van welke systemen, medewerkers en leveranciers ben je afhankelijk?
Bekijk welke technische, organisatorische en menselijke maatregelen al aanwezig zijn en of ze aantoonbaar werken.
Niet alles hoeft tegelijk. Begin met maatregelen die het grootste risico verlagen en de meeste impact hebben op de continuïteit.
Systemen veranderen, medewerkers komen en gaan en nieuwe dreigingen ontstaan continu. Digitale veiligheid vraagt daarom om blijvende aandacht.
Cyberveiligheid werkt pas echt als het geen losse schil rondom ICT is. Daarom ziet Zeeuws Zakelijk ICT als een doorlopende cirkel van beheer, beveiliging en controle. Alle onderdelen grijpen op elkaar in, worden continu bewaakt en zijn aantoonbaar ingericht. Precies dat is ook de gedachte achter NIS2.
Met onze oplossing Zeeuws Zeker hebben we dit vormgegeven in één uniforme aanpak voor beveiliging en beheer. Denk aan:
Van inventarisatie en advies tot inrichting, beheer, rapportage en begeleiding richting certificering: geen losse maatregelen, maar een samenhangende aanpak die werkt én aantoonbaar is.
Door NIS2 vragen steeds meer organisaties hun ICT-leveranciers en partners om bewijs dat digitale veiligheid structureel is geregeld. Daarom is Zeeuws Zakelijk in 2026 een samenwerking aangegaan met Samen Digitaal Veilig.
Met het NIS2 Supply Chain-certificaat van Samen Digitaal Veilig werk je stapsgewijs aan digitale weerbaarheid. Er zijn drie niveaus:
De niveaus bevatten maatregelen op organisatorisch, menselijk, fysiek en technisch gebied. Na inrichting van de benodigde maatregelen volgt een jaarlijkse, onafhankelijke audit. Een certificaat laat zien dat je als organisatie aantoonbaar veilig bent, iets waar NIS2 heel gericht om vraagt.
Klanten willen steeds vaker inzicht in de digitale veiligheid van hun leveranciers. Met een auditrapport of certificaat laat je eenvoudig zien welk beveiligingsniveau je hanteert, welke maatregelen zijn ingericht en dat een onafhankelijke partij dit heeft getoetst. Dat maakt ketencontroles efficiënter, voor jou én voor je klant.
