Als jouw bedrijf niet voldoet aan NIS2, riskeer je forse boetes, persoonlijke aansprakelijkheid als bestuurder en het verlies van opdrachten bij klanten die compliance eisen als contractvoorwaarde. De gevolgen zijn niet alleen financieel: een cyberincident zonder aantoonbare beveiligingsmaatregelen kan ook reputatieschade en operationele stilstand veroorzaken. Hieronder beantwoorden we de meest gestelde vragen over de risico’s van niet-naleving.
Welke sancties riskeert een bedrijf bij niet-naleving van NIS2?
Bedrijven die niet voldoen aan NIS2 riskeren boetes tot 10 miljoen euro of 2% van de wereldwijde jaaromzet, afhankelijk van welk bedrag hoger is. Voor essentiële entiteiten liggen de maximumboetes nog hoger. Toezichthouders kunnen ook tijdelijke stillegging van diensten opleggen bij ernstige overtredingen.
De hoogte van een boete hangt af van meerdere factoren: de ernst van de overtreding, of het bedrijf aantoonbaar stappen heeft gezet richting compliance, en of er sprake is van herhaling. Bedrijven die helemaal niets hebben gedaan, lopen het grootste risico op de maximale sanctie. Bedrijven die een nulmeting hebben gedaan, een beveiligingsbeleid hebben opgesteld en aantoonbaar werken aan verbetering, staan er bij een toezichthouder heel anders voor.
Naast directe boetes kunnen toezichthouders ook corrigerende maatregelen opleggen, zoals een verplichte externe audit of een tijdelijk verbod op bepaalde dienstverlening. Dit soort maatregelen raakt niet alleen de portemonnee, maar ook de operationele continuïteit van een bedrijf.
| Afspraak maken |
Wie is persoonlijk aansprakelijk als een bedrijf de NIS2 overtreedt?
NIS2 legt de verantwoordelijkheid voor cybersecurity expliciet bij het management van de organisatie, niet bij de IT-afdeling. Bestuurders en directeuren kunnen persoonlijk aansprakelijk worden gesteld als zij onvoldoende toezicht hebben gehouden op de naleving van de beveiligingseisen. Dit is een fundamentele verschuiving ten opzichte van de oude situatie.
Concreet betekent dit dat een directeur die geen kennis heeft genomen van de NIS2-verplichtingen, geen risicoanalyse heeft laten uitvoeren en geen beveiligingsmaatregelen heeft geautoriseerd, persoonlijk aansprakelijk kan worden gesteld bij een incident of bij een controle door de toezichthouder. De wet verwacht dat het management actief betrokken is bij het cybersecuritybeleid van de organisatie.
Dit maakt NIS2 fundamenteel anders dan veel andere regelgeving waarbij compliance vooral een operationele taak is. Als bestuurder kun je dit niet delegeren en er verder niet meer naar omkijken. Je moet aantoonbaar betrokken zijn, goedkeuring verlenen aan het beleid en op de hoogte zijn van de risico’s die jouw organisatie loopt.
Wat gebeurt er bij een cyberincident als je niet NIS2-compliant bent?
Als je bedrijf een cyberincident meemaakt en je bent niet NIS2-compliant, loop je een dubbel risico: de schade van het incident zelf én de sancties voor het niet naleven van de meldplicht en de beveiligingseisen. NIS2 verplicht bedrijven om een ernstig incident binnen 24 uur te melden bij de toezichthouder, met een volledige rapportage binnen 72 uur.
Wie geen incidentresponseprocedure heeft, mist die meldtermijn bijna zeker. En dat levert een aparte overtreding op, los van het incident zelf. Toezichthouders kijken bij een incident direct of de organisatie aan de basisvereisten voldeed: was er een risicoanalyse, waren er technische maatregelen getroffen, was er een back-upbeleid? Ontbreekt dit alles, dan is de kans op een hoge boete aanzienlijk.
Bovendien staat een bedrijf dat niet compliant is bij een incident ook zwakker in juridische procedures met gedupeerde klanten of partners. Het ontbreken van aantoonbare beveiligingsmaatregelen kan worden uitgelegd als nalatigheid, wat de aansprakelijkheid vergroot. Een security baseline is in dit geval niet alleen technisch zinvol, maar ook juridisch beschermend.
Kunnen opdrachtgevers samenwerking weigeren als je niet aan NIS2 voldoet?
Ja, en dit gebeurt al in de praktijk. Bedrijven die vallen onder NIS2 zijn verplicht om ook hun toeleveranciers en ketenpartners te beoordelen op cybersecurity. Als jouw opdrachtgever zelf NIS2-plichtig is, mag hij van jou verlangen dat je aantoonbaar aan de beveiligingseisen voldoet. Wie dat niet kan bewijzen, riskeert het verlies van het contract.
Dit is de ketenverantwoordelijkheid die NIS2 introduceert. Een grote zorginstelling, gemeente of productiebedrijf dat zelf compliant moet zijn, kan niet risicoloos samenwerken met leveranciers die hun beveiliging niet op orde hebben. De zwakste schakel in de keten vergroot het risico voor de hele keten.
In aanbestedingstrajecten en bij contractverlenging zien we steeds vaker dat cybersecurity-compliance een harde eis wordt, naast de gebruikelijke eisen rond kwaliteit en prijs. Bedrijven die nu beginnen met hun NIS2-traject staan straks sterker in die gesprekken dan bedrijven die het blijven uitstellen.
Wanneer begint de Cyberbeveiligingswet te gelden in Nederland?
De Nederlandse implementatie van NIS2, de Cyberbeveiligingswet, wordt naar verwachting medio 2026 van kracht. Daarmee is de wetgeving al actueel en loopt de tijd om je voor te bereiden snel terug. Bedrijven die nu nog niets hebben gedaan, hebben nog maar een beperkt venster om compliant te worden.
De Europese NIS2-richtlijn had al in oktober 2024 omgezet moeten zijn in nationale wetgeving. Nederland loopt achter op dat schema, maar de verwachting is dat de Cyberbeveiligingswet in 2026 in werking treedt. Uitstel van de wet betekent niet dat je als bedrijf kunt wachten: de implementatie van beveiligingsmaatregelen, het opstellen van beleid en het trainen van medewerkers kost tijd.
Een realistisch NIS2-traject voor een MKB-bedrijf duurt al snel drie tot zes maanden. Wie in 2026 compliant wil zijn, moet nu beginnen met een nulmeting om te weten waar de grootste hiaten zitten.
| Afspraak maken |
Wat is de minimale stap om NIS2-risico’s te beperken?
De minimale eerste stap is een nulmeting: een gestructureerde analyse van waar jouw organisatie nu staat ten opzichte van de NIS2-eisen. Zonder die meting weet je niet welke maatregelen prioriteit hebben, wat het kost en hoe groot de afstand is tot compliance. Een nulmeting geeft direct inzicht en is de basis voor elk vervolgtraject.
Na de nulmeting zijn er drie lagen die aandacht vragen:
- Technisch: een security baseline met endpoint protection, netwerksegmentatie, back-upbeleid en monitoring
- Organisatorisch: een informatiebeveiligingsbeleid, incidentresponseprocedures en een meldplichtprotocol
- Strategisch: ketenafspraken met toeleveranciers en registratie bij de relevante toezichthouder
Je hoeft dit niet in één keer te doen. Een gefaseerde aanpak waarbij je begint met de maatregelen die het meeste risico wegnemen, is voor de meeste MKB-bedrijven de meest haalbare route. Wat je wilt vermijden, is helemaal niets doen: dat is de situatie waarin zowel boetes als incidentschade het hardst aankomen.
TCA helpt MKB-bedrijven en organisaties in sectoren zoals zorg, transport en maakindustrie met precies dit traject: van gratis nulmeting tot doorlopende compliance als managed IT-partner. De aanpak is gebaseerd op het ISO 27001-raamwerk, een norm waarop TCA al gecertificeerd is sinds 2017. Dat betekent dat je niet begint bij nul, maar bij een partner die de materie al in de praktijk toepast.
Wil je weten waar jouw organisatie nu staat? Vraag de gratis securitycheck aan via tca.nl en ontvang binnen 48 uur een persoonlijk rapport. Geen verplichtingen, wel direct inzicht in de risico’s die je nu loopt.