NIS2 & Compliance

Cyberbeveiligingswet (NIS2): wat het MKB nu moet regelen

Sinds 15 augustus 2026 geldt de Cyberbeveiligingswet, zonder overgangsperiode. Valt je bedrijf eronder, of word je via je klanten meegetrokken? Hier lees je wat de wet vraagt en waar je begint.

Bijgewerkt op 8 oktober 2026

Wat is de Cyberbeveiligingswet?

De Cyberbeveiligingswet (Cbw) is de Nederlandse uitwerking van de Europese NIS2-richtlijn. Ze vervangt de Wet beveiliging netwerk- en informatiesystemen (Wbni) en stelt eisen aan de digitale weerbaarheid van organisaties in achttien sectoren. De wet rust op drie pijlers.

  • Zorgplicht. Op basis van een risicoanalyse neem je passende technische en organisatorische maatregelen, zoals back-ups, toegangsbeheer, incidentafhandeling en beveiliging van je toeleveringsketen.
  • Meldplicht. Een significant incident meld je binnen 24 uur met een vroegtijdige waarschuwing, binnen 72 uur met een volledige melding en binnen een maand met een eindverslag.
  • Registratieplicht. Organisaties die onder de wet vallen, registreren zich in het entiteitenregister via MijnNCSC.

Het bestuur keurt de maatregelen goed en houdt toezicht op de uitvoering. De maximale boetes zijn 10 miljoen euro of 2 procent van de wereldwijde jaaromzet voor essentiële entiteiten, en 7 miljoen euro of 1,4 procent voor belangrijke entiteiten.

Valt je bedrijf eronder?

Middelgrote en grote organisaties in de aangewezen sectoren, zoals energie, zorg, vervoer, digitale infrastructuur en overheid, vallen direct onder de wet. De vuistregel is vanaf 50 medewerkers of meer dan 10 miljoen euro omzet. Twijfel je, doe dan de zelfevaluatie van de Rijksinspectie Digitale Infrastructuur.

Ook als je er niet onder valt

Veel MKB-bedrijven vallen formeel buiten de wet, maar merken haar toch. Organisaties die er wel onder vallen, moeten hun toeleveringsketen beveiligen. In de praktijk krijg je dan beveiligingsvragenlijsten en nieuwe eisen in je contracten. Lever je aan een ziekenhuis, gemeente, energiebedrijf of logistieke dienstverlener, dan is het verstandig nu al te kunnen laten zien dat je basis op orde is.

Wat het betekent voor Azure en Microsoft 365

Draait je omgeving op Azure of Microsoft 365, dan zit veel van wat de wet vraagt al in het platform: identiteitsbeheer met Microsoft Entra ID, MFA, logging, back-up en beveiligingsscores. Het probleem is zelden dat de mogelijkheden ontbreken, maar dat niemand weet hoe de omgeving er nu voor staat.

Met een security- en compliance-audit zie je per maatregel waar je staat, met bewijs uit je eigen omgeving. Werk je vooral met Microsoft 365, begin dan met de Microsoft 365-nulmeting.

Checklist: wat je deze week doet

  1. Bepaal je positie. Val je zelf onder de wet, of word je via je klanten meegetrokken?
  2. Breng je kroonjuwelen in kaart. Welke systemen, gegevens en back-ups zijn kritiek voor je bedrijf?
  3. Zet MFA overal aan. Voor alle accounts, en zeker voor beheerders. Dit is de goedkoopste en snelste winst.
  4. Beperk beheerdersrechten. Alleen wie het nodig heeft, en bij voorkeur tijdelijk.
  5. Test je back-up. Een back-up die je nooit hebt teruggezet, is een aanname. Meer over back-up en herstel.
  6. Leg vast wie wat doet bij een incident. Wie belt wie, en wie meldt binnen 24 uur?
  7. Vraag je leveranciers om bewijs. Ook jouw IT-partners horen bij je keten.
  8. Meet waar je staat. Begin met een gratis Azure-nulmeting.

Bronnen

Gratis nulmeting

Weet waar je staat

In een korte, kosteloze doorlichting laten we zien hoe je omgeving ervoor staat en welke maatregelen het eerst aandacht verdienen.

Of de Microsoft 365-nulmeting
Goed om te weten

Veelgestelde vragen

Mijn bedrijf heeft minder dan 50 medewerkers. Moet ik iets doen?
Meestal val je dan niet zelf onder de wet. Maar lever je aan een organisatie die er wel onder valt, dan moet die haar toeleveringsketen beveiligen en vraagt ze jou om bewijs. Met de basismaatregelen uit de checklist sta je dan sterk.
Hoe weet ik zeker of mijn organisatie onder de wet valt?
De Rijksinspectie Digitale Infrastructuur heeft een zelfevaluatie waarmee je dat in een paar minuten nagaat. Valt je organisatie eronder, dan registreer je je via MijnNCSC.
Kunnen jullie ons NIS2-certificaat geven?
Nee, een NIS2-certificaat bestaat niet. Wat we wel doen: per maatregel laten zien hoe je Azure- of Microsoft 365-omgeving ervoor staat, met bewijs uit je eigen omgeving. Dat gebruik je richting toezichthouder, klanten of een auditor.
Is MFA echt de eerste stap?
Voor de meeste MKB-bedrijven wel. Het kost weinig, het voorkomt het grootste deel van de inbraken via gestolen wachtwoorden, en het is een van de eerste dingen waar een klant of auditor naar vraagt.