NIS2-compliance aantonen tegenover opdrachtgevers doe je door aantoonbare documentatie te overleggen: een informatiebeveiligingsbeleid, een risicoanalyse, incidentresponseprocedures en bewijs van technische maatregelen zoals monitoring en toegangsbeheer. Opdrachtgevers vragen hier steeds vaker om als voorwaarde voor samenwerking, zeker nu de Cyberbeveiligingswet in 2026 van kracht wordt. Dit artikel beantwoordt de meest gestelde vragen over wat je nodig hebt, hoe je het aanpakt en wat er op het spel staat als je niets doet.
Welke documenten verwachten opdrachtgevers als bewijs van NIS2-compliance?
Opdrachtgevers verwachten bij NIS2-compliance doorgaans een combinatie van beleids- en proceduredocumenten, technische bewijsstukken en eventueel een auditrapport of verklaring van een externe partij. Er bestaat geen officieel standaardformat, maar de kern bestaat uit vier categorieën: risicobeleid, incidentprocedures, technische maatregelen en leveranciersafspraken.
In de praktijk vragen inkopers en opdrachtgevers steeds vaker om de volgende documenten:
- Informatiebeveiligingsbeleid: een vastgesteld document dat aantoont dat jouw organisatie bewust omgaat met informatiebeveiliging en dat het management dit beleid heeft goedgekeurd.
- Risicoanalyse: een overzicht van de risico’s die jouw organisatie heeft geïdentificeerd en de maatregelen die je hebt genomen om die te beheersen.
- Incidentresponseprocedure: een beschrijving van hoe jouw organisatie reageert op een cyberincident, inclusief meldprocedures richting toezichthouders.
- Bewijs van technische maatregelen: denk aan rapportages van endpointbescherming, back-upbeleid, netwerksegmentatie en monitoring.
- Leveranciersafspraken: contractuele bepalingen of verwerkersovereenkomsten die aantonen dat ook jouw toeleveranciers aan beveiligingseisen voldoen.
Heb je een ISO 27001-certificering, dan is dat voor veel opdrachtgevers al een sterk bewijs. Maar ook zonder certificering kun je compliance aantonen, mits je de documentatie op orde hebt.
Wat is het verschil tussen NIS2-compliance en een ISO 27001-certificering?
| Afspraak maken |
NIS2-compliance is een wettelijke verplichting die voortvloeit uit de Cyberbeveiligingswet. ISO 27001 is een vrijwillige internationale norm voor informatiebeveiliging. Het verschil is dat NIS2 een minimumstandaard oplegt die de overheid handhaaft, terwijl ISO 27001 een certificering is die een onafhankelijke auditor toekent op basis van een uitgebreid managementsysteem.
In de praktijk overlappen de twee sterk. Veel maatregelen die NIS2 vereist, zoals risicobeoordelingen, toegangsbeheer en incidentprocedures, zijn ook onderdeel van ISO 27001. Dat maakt ISO 27001 een uitstekende basis voor NIS2-compliance, maar het is geen automatische garantie dat je volledig compliant bent. NIS2 heeft specifieke eisen rondom meldplicht en ketenverantwoordelijkheid die niet altijd volledig worden afgedekt door een ISO-certificering.
Andersom geldt ook: NIS2-compliant zijn betekent niet dat je ISO 27001-gecertificeerd bent. ISO 27001 vraagt een formeel managementsysteem, jaarlijkse interne audits en certificering door een geaccrediteerde externe partij. Dat gaat verder dan wat NIS2 strikt genomen vereist. Voor opdrachtgevers die zekerheid willen, is een ISO 27001-certificering wel het sterkste bewijs dat je informatiebeveiliging serieus neemt.
Hoe voer je een NIS2-gap-analyse uit voor je eigen organisatie?
Een NIS2-gap-analyse vergelijkt je huidige beveiligingssituatie met de eisen die de Cyberbeveiligingswet stelt. Je brengt in kaart wat je al hebt geregeld en wat er nog ontbreekt. Het resultaat is een concreet overzicht van de acties die nodig zijn om compliant te worden.
Een praktische gap-analyse doorloopt de volgende stappen:
- Stel vast of je onder NIS2 valt: controleer of jouw sector en organisatieomvang binnen de reikwijdte van de richtlijn vallen. Essentiële en belangrijke entiteiten hebben verschillende verplichtingen.
- Breng je huidige maatregelen in kaart: welke technische en organisatorische beveiligingsmaatregelen zijn er al? Denk aan firewalls, back-ups, toegangsbeheer en bewustzijnstraining.
- Toets aan de NIS2-vereisten: vergelijk wat je hebt met de verplichte maatregelen, zoals risicobeheersing, incidentmelding binnen 24 uur en leveranciersbeheer.
- Identificeer de gaps: noteer per vereiste wat er ontbreekt of onvoldoende is geregeld.
- Prioriteer en plan: zet de grootste risico’s bovenaan en stel een realistisch implementatieplan op met eigenaren en deadlines.
Voor veel MKB-bedrijven is een externe nulmeting de snelste manier om dit gestructureerd aan te pakken. TCA biedt een gratis online assessment waarmee je binnen 48 uur een persoonlijk rapport ontvangt over je huidige beveiligingsniveau. Zo weet je precies waar je staat voordat je aan de slag gaat. Je kunt een afspraak maken om de uitkomsten te bespreken met een specialist.
Welke rol speelt ketenverantwoordelijkheid bij NIS2-compliance?
NIS2-ketenverantwoordelijkheid betekent dat jij als organisatie ook verantwoordelijk bent voor de beveiliging van je toeleveranciers en partners. Als een zwakke schakel in jouw keten een incident veroorzaakt, kan dat ook jouw compliance raken. Opdrachtgevers verwachten dat je aantoonbaar grip hebt op de beveiligingsnormen van je leveranciers.
Dit is voor veel MKB-bedrijven een nieuw en oncomfortabel terrein. De praktijk is dat grote opdrachtgevers, zeker in sectoren als zorg, transport en overheid, steeds vaker vragen om een overzicht van leveranciersafspraken. Ze willen weten of jij dezelfde eisen stelt aan jouw toeleveranciers als zij aan jou stellen.
Concreet betekent ketenverantwoordelijkheid dat je:
- beveiligingseisen opneemt in contracten met leveranciers;
- periodiek controleert of leveranciers aan die eisen voldoen;
- afspraken maakt over incidentmelding als een leverancier wordt getroffen;
- kritieke leveranciers identificeert en daar extra aandacht aan besteedt.
Het goede nieuws is dat je dit niet allemaal zelf hoeft te organiseren. Een managed IT-partner die zelf NIS2-compliant is, neemt een groot deel van deze ketenverantwoordelijkheid over en helpt je de juiste afspraken te maken.
Hoe snel moet je NIS2-compliance kunnen aantonen na de Cyberbeveiligingswet?
Zodra de Cyberbeveiligingswet van kracht is, wat naar verwachting medio 2026 het geval is, moet je in principe direct kunnen aantonen dat je aan de verplichtingen voldoet. Er is geen officiële overgangsperiode voor bedrijven die al onder de reikwijdte vallen. Toezichthouders kunnen vanaf dag één handhaven.
In de praktijk zal handhaving in de beginfase waarschijnlijk worden gericht op de meest evidente overtredingen en de grootste risico’s. Maar dat is geen reden om te wachten. Opdrachtgevers lopen op de wetgeving vooruit: zij vragen nu al om bewijs van NIS2-compliance als onderdeel van hun inkoopproces. Wie in 2026 geen documentatie kan overleggen, riskeert niet alleen een boete, maar ook het verlies van contracten.
De boodschap is helder: begin nu. Een gap-analyse, een informatiebeveiligingsbeleid en de eerste technische maatregelen zijn binnen enkele weken te realiseren als je de juiste ondersteuning hebt. Wachten tot de wet van kracht is, betekent dat je te laat bent.
Wat zijn de gevolgen als je geen NIS2-compliance kunt aantonen aan opdrachtgevers?
| Afspraak maken |
Als je geen NIS2-compliance kunt aantonen, riskeer je twee soorten gevolgen: juridische sancties vanuit toezichthouders en commerciële gevolgen vanuit opdrachtgevers. Beide zijn reëel en kunnen ingrijpend zijn voor je bedrijf.
Aan de juridische kant kunnen toezichthouders boetes opleggen tot 10 miljoen euro of 2% van de wereldwijde jaaromzet voor essentiële entiteiten. Daarnaast legt NIS2 expliciet bestuurdersaansprakelijkheid op: als een incident plaatsvindt en blijkt dat het management onvoldoende maatregelen heeft genomen, kunnen bestuurders persoonlijk aansprakelijk worden gesteld. Dit is een wezenlijk verschil met eerdere wetgeving.
Aan de commerciële kant worden de gevolgen steeds concreter. Opdrachtgevers in de zorg, overheid en industrie nemen NIS2-compliance op als contracteis. Wie niet kan aantonen compliant te zijn, komt simpelweg niet meer in aanmerking voor opdrachten. Dat is geen toekomstmuziek: dit speelt nu al in aanbestedingen en inkooptrajecten.
De combinatie van boeterisico, bestuurdersaansprakelijkheid en contractverlies maakt duidelijk dat NIS2-compliance geen IT-kwestie is, maar een bedrijfsrisico dat op directieniveau thuishoort. TCA helpt organisaties dit risico concreet te maken en stap voor stap te beheersen, van de eerste securitycheck tot doorlopende compliance als managed partner.
Wil je weten waar jouw organisatie nu staat? Maak een vrijblijvende afspraak met TCA en ontvang binnen 48 uur inzicht in je beveiligingsniveau. Zo weet je precies wat je moet doen om NIS2-compliance aan te tonen, aan toezichthouders én aan je opdrachtgevers. Plan een gesprek in en zet de eerste stap.