Als mkb-bedrijf niets doen aan NIS2 is geen neutrale keuze. Je riskeert boetes tot €10 miljoen, persoonlijke aansprakelijkheid als bestuurder en het verlies van klanten die compliance steeds vaker als voorwaarde stellen. De Cyberbeveiligingswet maakt NIS2 in Nederland bindend en naar verwachting treedt die wet rond medio 2026 in werking. Hieronder krijg je antwoord op de meest gestelde vragen over wat er concreet op het spel staat.
Welke sancties riskeer je als je niet voldoet aan NIS2?
Als je niet voldoet aan de NIS2-verplichtingen, riskeer je als mkb-bedrijf boetes tot €10 miljoen of 2% van de wereldwijde jaaromzet, afhankelijk van welk bedrag hoger uitvalt. Wat NIS2 fundamenteel anders maakt dan eerdere regelgeving: de wet legt de verantwoordelijkheid expliciet bij het management, niet bij de IT-afdeling. Bestuurders kunnen persoonlijk aansprakelijk worden gesteld als ze aantoonbaar tekortgeschoten zijn in hun toezichthoudende rol.
Dat betekent concreet dat een directeur of eigenaar niet kan zeggen: “mijn IT-beheerder had dit moeten regelen.” De toezichthouder kijkt naar het bestuur. Naast financiële sancties kan de toezichthouder ook corrigerende maatregelen opleggen, zoals verplichte audits, aanwijzingen om bepaalde systemen offline te halen of publicatie van de overtreding. Die laatste maatregel, openbaarmaking, kan op zichzelf al reputatieschade veroorzaken die groter is dan de boete zelf.
Voor veel mkb-bedrijven is de bestuurdersaansprakelijkheid het meest ingrijpende onderdeel van NIS2. Dit is nieuw terrein. Waar compliance vroeger een organisatorisch risico was, is het nu een persoonlijk financieel risico voor iedereen die tekent als directeur of bestuurslid.
| Afspraak maken |
Wat gebeurt er als een cyberincident plaatsvindt zonder NIS2-maatregelen?
Als je geen NIS2-maatregelen hebt getroffen en er toch een cyberincident plaatsvindt, loop je een dubbel risico: je hebt niet alleen schade door het incident zelf, maar je kunt ook worden gesanctioneerd voor het ontbreken van de verplichte beveiligingsmaatregelen en meldprocedures. NIS2 verplicht bedrijven om significante incidenten binnen 24 uur te melden bij de toezichthouder. Wie geen incidentresponseprocedure heeft, kan die termijn simpelweg niet halen.
De praktische gevolgen van een cyberincident zonder voorbereiding zijn groot. Denk aan:
- Langdurige downtime doordat er geen herstelplan klaarligt
- Dataverlies omdat back-upbeleid ontbreekt of niet getest is
- Aanvullende boetes voor het niet tijdig melden van het incident
- Civiele aansprakelijkheid richting klanten of partners die schade lijden door jouw beveiligingsfalen
Zonder basismaatregelen zoals endpoint protection en monitoring is de kans op een succesvol incident bovendien groter. En als het dan misgaat, is de schade disproportioneel: je mist de tools om snel te detecteren, in te grijpen en te rapporteren. Dat maakt een incident niet alleen duurder, maar ook juridisch gevaarlijker.
Verlies je klanten en contracten als je niet NIS2-compliant bent?
Ja, en dit risico wordt in 2026 steeds concreter. Grote organisaties die zelf onder NIS2 vallen, zijn verplicht om ook hun toeleveranciers en ketenpartners te beoordelen op cybersecurity. Als jij als mkb-bedrijf geen aantoonbare beveiligingsmaatregelen hebt, ben je een risicofactor in hun keten. Dat kan betekenen dat ze je als leverancier uitsluiten of aanvullende contracteisen stellen die je niet kunt invullen.
Dit is de ketenverantwoordelijkheid die NIS2 introduceert: compliance is niet alleen een interne aangelegenheid. Opdrachtgevers in de zorg, overheid, industrie en logistiek gaan compliance steeds vaker als selectiecriterium gebruiken. Wie geen beveiligingsbeleid kan aantonen, verliest opdrachten aan concurrenten die dat wel kunnen.
Daar komt bij dat klanten na een incident waarbij hun data betrokken is, juridische stappen kunnen ondernemen. Als blijkt dat je geen redelijke beveiligingsmaatregelen had getroffen, staat je aansprakelijkheid al snel vast. Investeren in NIS2-compliance is in die zin ook investeren in het behoud van bestaande klantrelaties.
Wanneer moet een mkb-bedrijf uiterlijk compliant zijn?
De Nederlandse Cyberbeveiligingswet, die NIS2 in nationale wetgeving omzet, wordt naar verwachting rond medio 2026 van kracht. Dat klinkt als ruimte, maar dat is het niet. Compliance opbouwen kost tijd: een nulmeting, het opstellen van beleid, het implementeren van technische maatregelen en het trainen van medewerkers zijn geen kwestie van weken. Wie nu nog niets heeft gedaan, heeft weinig marge meer.
Bovendien geldt: de wet treedt in werking, niet de verplichting om dan te beginnen. Op het moment dat de Cyberbeveiligingswet van kracht is, wordt er al van je verwacht dat je compliant bent. Toezichthouders kunnen direct handhaven. Er is geen ingroeiperiode of gedoogfase aangekondigd.
Bedrijven die nu beginnen met een nulmeting hebben nog voldoende tijd om stap voor stap te werken naar een aantoonbaar beveiligingsniveau. Wacht je langer, dan wordt de druk groter en de kosten hoger, omdat je in korte tijd meer moet regelen. Plan een gesprek in om te weten waar je nu staat en wat er nog moet gebeuren.
| Afspraak maken |
Wat zijn de minimale stappen om NIS2-risico’s te beperken?
De minimale stappen om je NIS2-risico als mkb-bedrijf te beperken zijn een nulmeting uitvoeren, een basisniveau van technische beveiliging implementeren, incidentresponseprocedures vastleggen en zorgen dat je de meldplicht kunt nakomen. Je hoeft niet in één keer volledig compliant te zijn, maar je moet aantoonbaar bezig zijn en een verdedigbaar beveiligingsniveau kunnen laten zien.
Concreet betekent dit:
- Nulmeting: Breng in kaart waar je nu staat ten opzichte van de NIS2-vereisten. Dit is de basis voor alles wat volgt.
- Security baseline: Zorg voor endpoint protection, netwerkbeveiliging, patchbeheer en een getest back-upbeleid. Dit zijn de technische fundamenten.
- Incidentresponseprocedure: Leg vast wie wat doet als er een incident plaatsvindt en hoe je binnen 24 uur meldt bij de toezichthouder.
- Informatiebeveiligingsbeleid: Documenteer je aanpak. Een toezichthouder wil niet alleen zien wat je doet, maar ook dat je het bewust en gestructureerd doet.
- Bewustwording bij medewerkers: Techniek alleen is niet genoeg. Medewerkers moeten weten hoe ze phishing herkennen en wat ze doen bij een verdachte situatie.
TCA is een managed IT-partner die mkb-organisaties begeleidt bij precies deze stappen. De aanpak is gebaseerd op het ISO 27001-raamwerk, waarbinnen TCA al gecertificeerd werkt sinds 2017. De begeleiding begint altijd met een gratis nulmeting: een online assessment waarna je binnen 48 uur een persoonlijk rapport ontvangt over waar je staat en wat er nog moet gebeuren. Zo weet je snel wat de prioriteiten zijn, zonder dat je meteen een groot traject hoeft te starten.
Niets doen aan NIS2 is geen optie meer. Maar je hoeft het ook niet alleen uit te zoeken. Maak een afspraak en zet de eerste stap naar aantoonbare compliance.