NIS2: je klant stelt eisen maar je valt er zelf niet onder

Waarschijnlijk val je er zelf niet onder. De Cyberbeveiligingswet, de Nederlandse uitwerking van de Europese NIS2-richtlijn, geldt sinds 15 augustus 2026 voor ongeveer achtduizend organisaties in aangewezen sectoren, en pas vanaf vijftig medewerkers. Toch krijg je er als kleiner bedrijf mee te maken, want je klanten die er wel onder vallen moeten hun leveranciers controleren. Die vragenlijst komt dus jouw kant op.

In het kort

• De Cyberbeveiligingswet geldt sinds 15 augustus 2026 voor aangewezen sectoren en pas vanaf vijftig medewerkers.
• Het typische MKB-bedrijf valt er zelf niet onder, maar krijgt wel vragenlijsten van klanten die er wel onder vallen.
• Achter die lijsten zitten steeds dezelfde vijf onderwerpen: toegang, beveiliging, back-ups, incidenten en je eigen leveranciers.
• Vul niets in wat niet klopt en zet je antwoorden één keer goed op papier, want de volgende lijst komt zeker.

Dat is een vervelende positie. Je bent niet verplicht om iets te doen, maar je kunt wel een opdracht mislopen omdat je een formulier niet kunt invullen. Hieronder wat er precies geldt, wat je klant echt van je wil weten, en hoe je dat regelt zonder een duur compliancetraject in te gaan.

Wanneer val je er zelf onder

De wet werkt met twee filters die allebei moeten kloppen.

Het eerste filter is de sector. Er zijn twee bijlagen: essentiële sectoren zoals energie, drinkwater, gezondheidszorg, digitale infrastructuur en bankwezen, en belangrijke sectoren zoals post- en koeriersdiensten, afvalbeheer, de chemische en de voedingsmiddelenindustrie, en de vervaardiging van bepaalde producten. Zit je sector er niet bij, dan houdt het op.

Het tweede filter is de omvang. Voor de categorie middelgroot geldt: minstens vijftig medewerkers, of meer dan tien miljoen euro omzet of balanstotaal. Voor groot: minstens tweehonderdvijftig medewerkers, of meer dan vijftig miljoen omzet in combinatie met meer dan drieënveertig miljoen balanstotaal.

Kleine bedrijven zijn dus grotendeels uitgezonderd. Er zijn een paar uitzonderingen waarbij de omvang niet uitmaakt, zoals aanbieders van vertrouwensdiensten en domeinregistrars, maar dat raakt de meeste bedrijven niet.

De praktische conclusie voor het typische MKB-bedrijf van vijf tot veertig man in de bouw, installatie, techniek of handel: je valt er niet onder.

Waarom je er dan toch mee te maken krijgt

De wet verplicht organisaties die er wel onder vallen om risico's in hun toeleveringsketen te beheersen. Dat betekent concreet dat zij moeten kunnen aantonen dat ze weten met wie ze zaken doen en dat hun leveranciers geen onaanvaardbaar risico vormen.

Hoe ze dat doen is niet voorgeschreven. In de praktijk gebeurt het met vragenlijsten. Grote opdrachtgevers sturen die naar hun leveranciers, ook naar de kleine. Soms is dat een keurige lijst van tien vragen, soms een bestand met tweehonderd regels dat duidelijk voor een ander soort bedrijf is gemaakt.

Je bent niet verplicht om te antwoorden. Maar als de opdracht ervan afhangt, is dat een theoretische vrijheid.

Wat je klant eigenlijk wil weten

Achter al die vragenlijsten zitten steeds dezelfde vijf vragen. Als je die kunt beantwoorden, kom je een heel eind.

• Wie heeft toegang tot wat. Kun je laten zien wie er bij welke gegevens kan, en dat toegang wordt ingetrokken als iemand weggaat. Gedeelde accounts en wachtwoorden die iedereen kent zijn het klassieke struikelblok.

• Hoe zijn de gegevens beveiligd. Waar staan ze, wie beheert dat, is er tweestapsverificatie, en zijn de verbindingen versleuteld.

• Hoe zit het met back-ups. Niet alleen of ze er zijn, maar ook of ze zijn getest. Een back-up waarvan nooit een herstel is geprobeerd telt niet echt.

• Wat gebeurt er bij een incident. Wie merkt het, wie belt wie, en binnen hoeveel tijd meld je het bij je klant. Dat laatste staat soms letterlijk in het contract.

• Wie zijn jouw leveranciers. De keten gaat verder dan jou. Als jij een pakket of een hostingpartij gebruikt, wil je klant weten welke.

Wat dit met software te maken heeft

Hier komt het bij mij op tafel, want de meeste van die vragen gaan eigenlijk over hoe je systemen in elkaar zitten.

Een bedrijf dat werkt met gedeelde Excel-bestanden op een netwerkschijf, een paar mailboxen en een pakket waar iedereen hetzelfde inlogaccount voor gebruikt, kan die vragenlijst niet eerlijk invullen. Niet omdat er slecht gewerkt wordt, maar omdat er niets is vastgelegd. Wie wat heeft gewijzigd is niet te achterhalen, en toegang intrekken betekent een wachtwoord veranderen dat vervolgens weer rondgaat.

Een bedrijf waar het werk in een eigen systeem zit met persoonlijke accounts, rollen en een logboek van wijzigingen kan diezelfde vragen in een half uur beantwoorden. Niet omdat het duurder is gebouwd, maar omdat die dingen erin zitten.

Dat is geen NIS2-project. Dat is gewoon fatsoenlijk gebouwde software. Het verschil merk je pas op het moment dat iemand ernaar vraagt.

Wat ik zou doen als je zo'n lijst krijgt

• Vraag eerst waarom. Niet uit onwil, maar omdat het antwoord bepaalt hoeveel werk het is. Een klant die zelf onder de wet valt heeft andere eisen dan een klant die de lijst van zijn eigen klant heeft doorgestuurd.

• Vul niets in wat niet klopt. De verleiding is groot om overal ja te zetten. Dat is de slechtste optie, want je legt jezelf contractueel vast op iets wat je niet doet. Nee met een korte uitleg is beter dan een ja die je niet waar kunt maken.

• Zet het één keer goed op papier. De tweede vragenlijst komt gegarandeerd. Maak een document met je antwoorden op die vijf onderwerpen hierboven, met de namen van je leveranciers erbij. Dan is de volgende lijst een kwestie van overschrijven.

• Pak de dingen op die je toch al wilde. Persoonlijke accounts in plaats van gedeelde, tweestapsverificatie, een geteste back-up. Dat zijn geen compliancemaatregelen, dat is gewoon je bedrijf niet onnodig kwetsbaar maken.

Waar ik bij help

Ik doe geen NIS2-audits en ik verkoop geen certificeringstraject. Waar ik wel bij help is het onderliggende punt: dat het werk in systemen zit waar toegang, rollen en wijzigingen gewoon geregeld zijn, zodat je die vragen kunt beantwoorden zonder dat het een project wordt.

In de praktijk komt dat vaak neer op het weghalen van gedeelde bestanden en losse lijstjes, en het vervangen daarvan door iets waar mensen op hun eigen naam in werken. Dat levert ook zonder vragenlijst al winst op.

Loop je hier tegenaan? Plan een vrijblijvend gesprek, dan kijken we samen wat er in jouw geval echt nodig is en wat je gerust kunt laten.