Ja, een bedrijf kan uitstekende IT-beveiliging hebben en toch niet NIS2-compliant zijn. Het verschil zit niet in de kwaliteit van de technische maatregelen, maar in de aantoonbaarheid, de governance en de wettelijke verplichtingen die NIS2 bovenop goede beveiliging oplegt. Voor MKB-bedrijven in sectoren zoals zorg, transport en maakindustrie is dit onderscheid in 2026 concreet en urgent: de Nederlandse Cyberbeveiligingswet maakt NIS2 bindend. De vragen hieronder leggen uit waar het verschil precies zit en wat je eraan moet doen.
Kan een bedrijf goede IT-beveiliging hebben zonder NIS2-compliant te zijn?
Ja, dat is niet alleen mogelijk, maar ook heel gebruikelijk. Goede IT-beveiliging betekent dat je technische maatregelen op orde zijn: sterke wachtwoorden, antivirussoftware, regelmatige updates en een fatsoenlijke firewall. NIS2-compliance gaat verder en vereist daarnaast aantoonbaar beleid, gedocumenteerde procedures, registratie bij toezichthouders en bestuurlijke verantwoording. Zonder die laag ben je technisch goed beveiligd, maar juridisch niet compliant.
Vergelijk het met een restaurant dat hygiënisch werkt, maar geen HACCP-documentatie bijhoudt. De keuken is schoon, maar bij een inspectie kun je het niet bewijzen. Precies dat probleem speelt bij NIS2: de wet vraagt niet alleen dat je iets doet, maar ook dat je kunt aantonen dat je het doet, hoe je het doet en wie daarvoor verantwoordelijk is.
Voor veel MKB-bedrijven betekent dit dat hun bestaande security baseline een goede technische fundering biedt, maar dat er een organisatorische en juridische laag bovenop moet komen voordat je kunt spreken van NIS2-compliance.
Welke verplichtingen legt NIS2 op die verder gaan dan standaard IT-beveiliging?
| Afspraak maken |
NIS2 legt verplichtingen op die standaard IT-beveiliging overstijgen op drie gebieden: governance, documentatie en meldplicht. Concreet betekent dit een verplicht informatiebeveiligingsbeleid, risicobeoordelingen die periodiek worden uitgevoerd, incidentmeldingen bij de toezichthouder binnen 24 uur na ontdekking, en aantoonbare afspraken met toeleveranciers over beveiliging in de keten.
Waar een gemiddeld MKB-bedrijf bij IT-beveiliging denkt aan technische tools, vraagt NIS2 ook om:
- Gedocumenteerde incidentresponseprocedures die medewerkers kennen en kunnen uitvoeren
- Bewustzijnstraining voor personeel, niet alleen voor de IT-afdeling
- Formele registratie bij de bevoegde nationale toezichthouder
- Ketenafspraken: aantoonbare controle op de beveiliging van leveranciers en partners
- Periodieke audits en herbeoordelingen om compliance te borgen, niet eenmalig vast te stellen
Dit zijn geen technische maatregelen die je IT-leverancier stilletjes op de achtergrond instelt. Het zijn organisatorische processen die bestuurlijke betrokkenheid vereisen en die je op papier moet kunnen verantwoorden.
Wie is verantwoordelijk voor NIS2-compliance binnen een organisatie?
Onder NIS2 ligt de eindverantwoordelijkheid voor compliance expliciet bij het bestuur van de organisatie, niet bij de IT-afdeling of een externe leverancier. Directeuren en bestuurders kunnen persoonlijk aansprakelijk worden gesteld als de organisatie de verplichte maatregelen niet heeft genomen. Dit is een van de meest ingrijpende aspecten van de richtlijn voor MKB-bedrijven.
In de praktijk betekent dit dat een directeur of eigenaar niet kan volstaan met zeggen: “Dat regelt onze IT-partij.” De wet vereist dat het management aantoonbaar betrokken is bij het beveiligingsbeleid, de risicoafwegingen begrijpt en de beslissingen heeft goedgekeurd. IT kan uitvoeren en adviseren, maar de bestuurlijke verantwoording ligt bij de top van de organisatie.
Voor bedrijven zonder interne compliance-expertise is dit ongemakkelijk. De oplossing is niet om een nieuwe medewerker aan te nemen, maar om samen te werken met een IT-partner die de vertaalslag maakt van technische maatregelen naar bestuurlijke verantwoording. TCA werkt hierbij als strategische partner: niet alleen de techniek implementeren, maar ook het beleid en de procedures die bestuurders nodig hebben om hun verantwoordelijkheid te kunnen dragen.
Wat zijn de gevolgen als IT-beveiliging op orde is maar NIS2-compliance niet?
Als IT-beveiliging technisch goed is, maar NIS2-compliance ontbreekt, riskeer je boetes tot 10 miljoen euro of 2% van de wereldwijde jaaromzet, plus persoonlijke aansprakelijkheid van bestuurders. Maar de praktische gevolgen gaan verder dan boetes: opdrachtgevers in de keten gaan compliance steeds vaker eisen als voorwaarde voor samenwerking, waardoor je zonder aantoonbare compliance contracten kunt verliezen.
In 2026, wanneer de Cyberbeveiligingswet naar verwachting van kracht wordt, zijn er twee risicoscenario’s die voor MKB-bedrijven het meest concreet zijn:
- Toezichthouderrisico: bij een incident of steekproef kan een toezichthouder constateren dat de verplichte documentatie, meldprocedures of governance ontbreken, ook als de technische beveiliging op orde was.
- Ketenrisico: grote opdrachtgevers, overheden en essentiële bedrijven gaan hun leveranciers screenen op NIS2-compliance. Wie het niet kan aantonen, valt af als partner.
Het is dus niet zo dat goede beveiliging je beschermt tegen de juridische gevolgen van non-compliance. De wet vraagt aantoonbaarheid, en die ontbreekt als de governance- en documentatielaag er niet is.
Hoe weet je of je bedrijf onder de NIS2-richtlijn valt?
Je bedrijf valt onder NIS2 als het actief is in een van de aangewezen sectoren én voldoet aan de drempelwaarden voor omvang: minimaal 50 medewerkers of een jaaromzet boven 10 miljoen euro. De aangewezen sectoren zijn onder andere zorg, transport en logistiek, voedselproductie en -distributie, maakindustrie, afvalbeheer en digitale dienstverlening. Kleinere bedrijven kunnen ook onder de wet vallen als ze een kritieke rol spelen in de keten.
De zelfevaluatietools van de overheid geven helaas geen definitief antwoord, en de sectoromschrijvingen zijn breed genoeg om onduidelijkheid te laten bestaan. Twijfel je of jouw bedrijf onder de richtlijn valt, dan is de meest praktische stap om een nulmeting te laten uitvoeren door een IT-partner die de wet kent.
TCA biedt een gratis online assessment waarmee je binnen 48 uur een persoonlijk rapport ontvangt over waar je organisatie staat. Dat geeft niet alleen inzicht in je huidige beveiligingsniveau, maar ook in of en hoe de NIS2-verplichtingen op jou van toepassing zijn. Meer over de aanpak en werkwijze van TCA vind je op de pagina wie zijn wij.
Wat is de eerste stap om van IT-beveiliging naar NIS2-compliance te groeien?
| Afspraak maken |
De eerste stap is een nulmeting: breng in kaart waar je organisatie nu staat op het gebied van technische beveiliging, beleid en documentatie, en vergelijk dat met wat NIS2 vereist. Zonder die gap-analyse weet je niet wat er ontbreekt en kun je geen prioriteiten stellen. Een nulmeting op basis van het ISO 27001-raamwerk geeft de meest bruikbare output, omdat NIS2 en ISO 27001 sterk op elkaar aansluiten.
Vanuit die nulmeting werk je stapsgewijs naar volledige compliance:
- Technische maatregelen versterken waar nodig: endpoint protection, netwerksegmentatie, back-upbeleid en monitoring.
- Beleid en procedures opstellen: informatiebeveiligingsbeleid, incidentresponseprocedures en meldplichtprotocollen.
- Bestuur betrekken: zorg dat de directie de risico’s begrijpt, het beleid formeel goedkeurt en de verantwoordelijkheid kan dragen.
- Keten regelen: maak afspraken met leveranciers over hun beveiligingsniveau en leg die vast.
- Registreren en borgen: meld je aan bij de bevoegde toezichthouder en plan periodieke herbeoordelingen in.
TCA is ISO 27001-gecertificeerd sinds 2017 en begeleidt MKB-bedrijven door dit hele traject, van eerste assessment tot doorlopende compliance. Als managed IT-partner blijft TCA betrokken na de implementatie: monitoring, bijsturing en periodieke audits zitten in het pakket. Bekijk de certificeringen van TCA voor meer informatie over de kwaliteitsnormen waarop de dienstverlening is gebaseerd.
IT-beveiliging en NIS2-compliance zijn verwante, maar verschillende doelen. Goede beveiliging is de technische fundering; compliance is de aantoonbare, bestuurlijk verankerde structuur daaromheen. Wil je weten hoe ver jouw organisatie al is en wat er nog moet gebeuren? Vraag de gratis securitycheck aan via tca.nl en ontvang binnen 48 uur een persoonlijk rapport.