De eerste stappen naar NIS2-compliance voor mkb zijn: bepalen of jouw bedrijf onder de richtlijn valt, een nulmeting uitvoeren om de huidige beveiligingssituatie in kaart te brengen, en vervolgens prioriteit geven aan de verplichte technische en organisatorische maatregelen. Dit geldt voor bedrijven in aangewezen sectoren met 50 of meer medewerkers of een jaaromzet boven €10 miljoen. In dit artikel beantwoorden we de meest gestelde vragen over NIS2-compliance voor mkb, van toepasselijkheid tot kosten en deadlines.
Valt mijn mkb-bedrijf onder de NIS2-richtlijn?
Jouw mkb-bedrijf valt onder de NIS2-richtlijn als je actief bent in een van de aangewezen sectoren én voldoet aan de drempelwaarden: minimaal 50 medewerkers of een jaaromzet en balanstotaal van meer dan €10 miljoen. Sectoren die onder NIS2 vallen zijn onder andere zorg, transport en logistiek, voedselproductie, maakindustrie, afvalbeheer en digitale dienstverlening.
De richtlijn maakt onderscheid tussen twee categorieën: essentiële entiteiten en belangrijke entiteiten. Essentiële entiteiten vallen in de zwaarste categorie en worden actief gecontroleerd. Belangrijke entiteiten worden reactief gecontroleerd, maar de verplichtingen zijn grotendeels gelijk.
Wat het lastig maakt: de sectoromschrijvingen zijn breed geformuleerd. Een transportbedrijf dat ook logistiek uitvoert, een zorginstelling die ook software gebruikt, een maakindustrie die ook digitale diensten levert aan andere bedrijven in de keten. In al die gevallen kan NIS2 van toepassing zijn. Bovendien speelt ketenverantwoordelijkheid een steeds grotere rol: ook als jij zelf net buiten de drempelwaarden valt, kunnen opdrachtgevers die wél onder NIS2 vallen eisen dat jij als toeleverancier aantoonbaar veilig werkt.
Twijfel je of jouw bedrijf onder de richtlijn valt? Maak een afspraak voor een gratis nulmeting en ontvang binnen 48 uur inzicht in jouw situatie.
Wat zijn de concrete verplichtingen onder NIS2 voor mkb?
| Afspraak maken |
Onder NIS2 zijn mkb-bedrijven verplicht om aantoonbare risicobeheersmaatregelen te nemen op het gebied van cybersecurity, incidenten binnen 24 uur te melden bij de bevoegde autoriteit, en het bestuur verantwoordelijk te stellen voor informatiebeveiliging. Dit zijn geen aanbevelingen, maar wettelijke verplichtingen.
Concreet gaat het om de volgende verplichtingen:
- Risicobeoordeling: je moet systematisch in kaart brengen welke risico’s jouw organisatie loopt en hoe je die beheert.
- Technische beveiligingsmaatregelen: denk aan toegangsbeheer, encryptie, netwerksegmentatie, back-upbeleid en endpoint protection.
- Incidentrespons: je hebt een gedocumenteerde procedure nodig voor het detecteren, melden en afhandelen van beveiligingsincidenten.
- Meldplicht: ernstige incidenten moeten binnen 24 uur gemeld worden bij de toezichthouder, met een volledig rapport binnen 72 uur.
- Ketenbeveiliging: je bent mede verantwoordelijk voor de beveiliging van jouw toeleveranciers en partners.
- Bewustwording en training: medewerkers moeten aantoonbaar getraind zijn in informatiebeveiliging.
- Bestuursverantwoordelijkheid: het management is persoonlijk verantwoordelijk voor naleving en moet de beveiligingsstrategie goedkeuren.
Dit laatste punt is voor veel directeuren een verrassing: NIS2 legt de verantwoordelijkheid expliciet bij het bestuur, niet bij de IT-afdeling. Als er iets misgaat, ben jij als bestuurder aansprakelijk.
Wat zijn de gevolgen als een mkb-bedrijf niet voldoet aan NIS2?
Een mkb-bedrijf dat niet voldoet aan NIS2 riskeert boetes tot €10 miljoen of 2% van de wereldwijde jaaromzet, afhankelijk van welk bedrag hoger is. Daarnaast kunnen bestuurders persoonlijk aansprakelijk worden gesteld. Dit zijn maximumboetes voor essentiële entiteiten; voor belangrijke entiteiten ligt het maximum op €7 miljoen of 1,4% van de omzet.
Maar de financiële risico’s gaan verder dan boetes alleen. Opdrachtgevers in de keten gaan compliance steeds vaker eisen als voorwaarde voor samenwerking. Wie niet aantoonbaar veilig werkt, verliest contracten. Dit speelt nu al in sectoren als zorg en overheid, en breidt zich snel uit naar andere sectoren.
Daarnaast geldt: een beveiligingsincident bij een niet-compliant bedrijf kan leiden tot reputatieschade, aansprakelijkheidsclaims van klanten en partners, en in ernstige gevallen tijdelijke stillegging van bedrijfsactiviteiten. De combinatie van boetes, contractverlies en reputatieschade maakt non-compliance een serieus bedrijfsrisico.
Hoe begin je als mkb met NIS2-compliance: wat zijn de eerste stappen?
Begin met een nulmeting: breng in kaart waar jouw organisatie nu staat op het gebied van informatiebeveiliging en wat het verschil is met wat NIS2 vereist. Vanuit die analyse stel je een prioriteitenlijst op en werk je stap voor stap naar compliance toe. Probeer niet alles tegelijk te doen.
Een praktisch stappenplan voor mkb ziet er als volgt uit:
- Bepaal of NIS2 op jou van toepassing is op basis van sector en bedrijfsomvang.
- Voer een nulmeting uit om de huidige beveiligingssituatie te beoordelen ten opzichte van de NIS2-vereisten.
- Stel een informatiebeveiligingsbeleid op dat door het bestuur wordt goedgekeurd en gedragen.
- Implementeer een security baseline: toegangsbeheer, back-ups, endpoint protection, netwerksegmentatie en monitoring. Bekijk wat een security baseline voor jouw organisatie betekent.
- Documenteer incidentresponsprocedures zodat je weet wat je doet als er iets misgaat.
- Train medewerkers op bewustwording rondom phishing, wachtwoordbeheer en veilig werken.
- Breng ketenafspraken in kaart en maak afspraken met leveranciers over hun beveiligingsniveau.
- Registreer je bij de toezichthouder zodra de Cyberbeveiligingswet van kracht is.
TCA werkt bij dit proces op basis van het ISO 27001-raamwerk, een internationaal erkende standaard voor informatiebeveiliging. Dat geeft structuur en zorgt dat de maatregelen die je treft ook aantoonbaar zijn richting toezichthouders en opdrachtgevers. Meer over de aanpak en achtergrond vind je op de pagina wie TCA is en hoe ze werken.
Wat kost NIS2-compliance voor een mkb-bedrijf?
De kosten van NIS2-compliance voor mkb variëren sterk en hangen af van de huidige beveiligingssituatie, de sector en de bedrijfsomvang. Een bedrijf dat al een solide IT-basis heeft, is met gerichte aanvullingen compliant te maken. Een bedrijf dat nog geen beveiligingsbeleid heeft, heeft meer werk te verzetten.
In de praktijk bestaan de kosten uit drie onderdelen:
- Eenmalige implementatiekosten: nulmeting, het opstellen van beleid en procedures, en de technische maatregelen die nog ontbreken.
- Doorlopende beheerkosten: monitoring, updates, periodieke audits en awarenesstraining voor medewerkers.
- Eventuele aanpassingen aan bestaande systemen: als jouw huidige IT-omgeving niet voldoet aan de basisvereisten voor beveiliging.
Wat je ook meeneemt in de afweging: de kosten van non-compliance zijn doorgaans veel hoger dan de investering in compliance. Een datalek, een boete of het verlies van een groot contract weegt zwaarder dan de kosten van een gestructureerd beveiligingsprogramma. De gratis nulmeting van TCA geeft je snel inzicht in wat er nodig is en wat dat concreet betekent voor jouw organisatie, zonder dat je ergens aan vastzit.
Wanneer moet een mkb-bedrijf compliant zijn met de Cyberbeveiligingswet?
| Afspraak maken |
De Cyberbeveiligingswet, de Nederlandse implementatie van NIS2, wordt naar verwachting medio 2026 van kracht. Op dat moment moeten bedrijven die onder de wet vallen aantoonbaar voldoen aan de verplichtingen. Er is geen uitgestelde inwerkingtreding voor mkb: de wet geldt direct voor alle entiteiten die binnen de scope vallen.
Dat betekent dat de tijd om te beginnen nu is. Compliance opbouwen kost tijd: beleid opstellen, technische maatregelen implementeren, medewerkers trainen en ketenafspraken maken gaat niet van de ene op de andere dag. Wie in 2026 wil voldoen, moet in 2025 en begin 2026 al concrete stappen zetten.
Bovendien geldt: opdrachtgevers en aanbestedende partijen wachten de formele inwerkingtreding niet af. In de zorg, bij overheden en in andere gereguleerde sectoren wordt compliance nu al gevraagd als onderdeel van contractonderhandelingen. Wie te laat begint, loopt niet alleen juridisch risico maar ook commercieel.
Wil je weten waar jouw organisatie nu staat en wat er nog nodig is? Plan een gratis securitycheck en ontvang binnen 48 uur een persoonlijk rapport. TCA begeleidt je van nulmeting tot doorlopende compliance, als managed IT-partner die meedenkt over continuïteit en veiligheid.