NIS2 eenvoudig uitgelegd
Kort antwoord
NIS2 is een Europese wet die hogere eisen stelt aan cyberbeveiliging voor organisaties in specifieke sectoren — denk aan energie, zorg, digitale infrastructuur en vervoer — en dan vooral de middelgrote en grote spelers daarbinnen. De meeste kleine MKB-bedrijven vallen er niet onder, maar 'waarschijnlijk niet' is geen zekerheid: check je eigen situatie bij het Digital Trust Center of de NCSC, niet op basis van een vermoeden.
NIS2 (Network and Information Security Directive 2) is de opvolger van de eerste Europese NIS-richtlijn en stelt strengere eisen aan hoe organisaties in bepaalde sectoren omgaan met cyberrisico's: risicobeheer, het melden van incidenten, en verantwoordelijkheid die nu expliciet ook bij de bestuurder zelf ligt, niet alleen bij een IT-afdeling.
De wet richt zich op sectoren die zijn aangemerkt als 'essentieel' of 'belangrijk' — onder andere energie, gezondheidszorg, drinkwater, digitale infrastructuur, vervoer en delen van de financiële sector — en binnen die sectoren vooral op middelgrote en grote organisaties. Een lokale webshop, een eenmanszaak of een klein dienstverlenend bedrijf buiten deze sectoren valt doorgaans niet onder NIS2. Dat 'doorgaans' is met opzet voorzichtig geformuleerd: de precieze afbakening hangt af van sector, omvang en soms van de rol die een bedrijf speelt in een keten (bijvoorbeeld als belangrijke leverancier van een organisatie die wél onder NIS2 valt).
Valt een organisatie onder NIS2, dan gelden er verplichtingen rond risicobeheer en het melden van incidenten, en kan niet-naleving leiden tot aanzienlijke boetes — de exacte hoogte en voorwaarden daarvan verschillen per situatie en staan in de officiële regelgeving, niet hier.
Omdat de afbakening preciezer is dan met één alinea te vangen, is de enige betrouwbare manier om te weten of jouw bedrijf eronder valt: het navragen bij het Digital Trust Center of de officiële NIS2-informatie van de rijksoverheid, in plaats van af te gaan op een vermoeden of op wat een ander bedrijf in jouw sector doet.
Bronnen
Bijgewerkt 7 november 2026.
Veelgestelde vragen
Geldt NIS2 voor een klein marketingbureau of webshop?
In de meeste gevallen niet — NIS2 richt zich op specifieke sectoren en vooral op middelgrote en grote organisaties daarbinnen. Zeker weten doe je het alleen via de officiële check.
Wanneer moet mijn bedrijf voldoen aan NIS2?
Dat hangt af van de Nederlandse implementatie van de richtlijn en de sector waarin je actief bent; een precieze datum voor jouw situatie vind je bij het Digital Trust Center of de officiële overheidsinformatie, niet hier.
Wat gebeurt er als een bedrijf dat eronder valt niet voldoet?
De wet voorziet in toezicht en kan oplopen tot aanzienlijke boetes, met zwaardere gevolgen voor organisaties in de 'essentiële' categorie. De exacte bedragen en voorwaarden staan in de officiële regelgeving.
We zijn leverancier van een bedrijf dat wél onder NIS2 valt. Raakt ons dat?
Mogelijk wel — grotere organisaties die onder NIS2 vallen, stellen soms eisen door aan hun leveranciers. Vraag dat concreet aan je klant, en check je eigen positie bij het Digital Trust Center.