Definitief: NIS2 Cyberbeveiligingswet start 15 augustus

De Cyberbeveiligingswet is de Nederlandse uitwerking van de Europese NIS2-richtlijn. Het doel is om organisaties beter te beschermen tegen digitale risico’s. Ongeveer 10.000 grote Nederlandse bedrijven en instellingen vallen direct onder de wet. Zij moeten passende maatregelen nemen om cyberrisico’s te beheersen. Ook moeten zij kunnen aantonen dat hun cybersecurity op orde is. De gevolgen gaan verder dan deze organisaties alleen. Ook veel kleinere bedrijven krijgen indirect met NIS2 te maken. Dat komt vooral door hun rol als leverancier.

Organisaties die onder de NIS2 Cyberbeveiligingswet vallen, moeten ook risico’s bij leveranciers beheersen. Een cyberincident bij een leverancier kan namelijk grote gevolgen hebben. Denk aan uitval van systemen, verlies van gegevens of verstoring van belangrijke bedrijfsprocessen. Daarom moeten organisaties die direct onder de wet vallen risico’s in hun leveranciersketen beoordelen en passende maatregelen nemen. Voor leveranciers betekent dit dat klanten vaker vragen kunnen stellen over cybersecurity. Bijvoorbeeld:

• Welke beveiligingsmaatregelen heeft je organisatie genomen?
• Hoe bescherm je systemen en gegevens?
• Wat doe je bij een cyberincident?
• Kun je aantonen dat maatregelen echt zijn uitgevoerd?

Ook als je zelf niet direct onder NIS2 valt, kun je dus met deze eisen te maken krijgen.

Alleen zeggen dat je veilig werkt, is niet genoeg. Grote klanten willen steeds vaker bewijs zien. Dat kan bijvoorbeeld met beleid, rapportages, controles of onafhankelijke certificering. Zo krijgt een klant meer zekerheid over de digitale veiligheid van een leverancier. Kun je geen bewijs geven? Dan kan dat gevolgen hebben voor de samenwerking. Een klant kan extra controles uitvoeren of aanvullende eisen stellen. In sommige gevallen kan dit ook invloed hebben op nieuwe opdrachten of lopende contracten. Een passende certificering, zoals NIS2 Supply Chain, kan helpen om cybersecurity aantoonbaar te maken. Afhankelijk van het risico van een leverancier kan een passend niveau worden gekozen, zoals NIS2 SC10, SC20 of SC30.

Start met het in kaart brengen van je situatie. Kijk niet alleen naar de vraag of je direct onder NIS2 valt. Onderzoek ook of je levert aan organisaties die onder de Cyberbeveiligingswet vallen. Breng daarna je belangrijkste risico’s in beeld. Controleer welke maatregelen al aanwezig zijn en waar nog verbeteringen nodig zijn. Denk ook na over hoe je bewijs verzamelt en actueel houdt. Dit kan bijvoorbeeld met de ondersteuning en certificeringsmogelijkheden van Samen Digitaal Veilig.

15 augustus 2026 is niet het moment om pas te beginnen. Vanaf die datum gelden de verplichtingen. Door nu te starten, heb je meer tijd om risico’s te beoordelen, maatregelen te nemen en afspraken met leveranciers goed vast te leggen.

Dit artikel is tot stand gekomen in samenwerking met Samen Digitaal Veilig, het onafhankelijke cyberplatform van meer dan 100 brancheorganisaties.