Wat moet je als mkb’er weten over de NIS2-richtlijn?

NIS2: van richtlijn naar realiteit

De NIS2-richtlijn (voluit: Network and Information Security Directive 2) is opgesteld om de digitale veiligheid in Europa te verbeteren. Waar de vorige versie van de wet (NIS1) vooral gericht was op vitale sectoren zoals energie, water en telecom, is de nieuwe wet veel breder van toepassing.

Organisaties in onder andere de zorg, transport, logistiek, softwareontwikkeling en financiële dienstverlening vallen er nu ook onder. Wat belangrijk is om te begrijpen: NIS2 kijkt niet alleen naar sector of omvang, maar ook naar impact. Als jouw bedrijf digitale processen draait die een belangrijke rol spelen voor anderen — klanten, partners of burgers — dan kun je onder de wetgeving vallen. Zelfs als je ‘maar’ een mkb’er bent met een klein team.

Voor veel ondernemers is dat even schakelen. Want waar je vroeger misschien het idee had dat beveiliging vooral iets voor de IT-afdeling was, wordt het nu een bestuursverantwoordelijkheid. Bestuurders kunnen zelfs persoonlijk aansprakelijk worden gesteld bij ernstige nalatigheid.

Wat wordt er van je verwacht?

In de basis vraagt NIS2 iets heel simpels: laat zien dat je digitale processen serieus neemt. Dat je risico’s kent, passende maatregelen hebt genomen, en weet hoe je moet handelen als er iets misgaat. Dat klinkt logisch, maar in de praktijk zijn dit precies de punten waar het vaak ontbreekt aan structuur.

Veel mkb’ers hebben hun IT grotendeels uitbesteed, maar missen overzicht. Er is misschien wel een firewall, antivirussoftware of back-up, maar het is onduidelijk of dat voldoet aan de laatste standaarden. Wie toegang heeft tot welke systemen? Wanneer updates worden uitgevoerd? Wat je doet bij een incident? Het zijn vragen die vaak pas worden gesteld als het te laat is.

Met NIS2 wordt het verplicht om hier over na te denken vóórdat het misgaat. Niet alleen met techniek, maar ook met beleid en bewustwording binnen je organisatie. Medewerkers spelen daar een grote rol in. Een fout geklikte phishingmail kan grote gevolgen hebben. Training en heldere afspraken zijn dus geen luxe, maar noodzaak.

Wat als je niets doet?

De wet is inmiddels actief. Organisaties die onder NIS2 vallen en niet aan de eisen voldoen, riskeren hoge boetes en juridische gevolgen. Maar zelfs als je formeel net buiten de wettelijke verplichting valt, is het verstandig om wél actie te ondernemen.

Steeds meer opdrachtgevers, vooral grotere organisaties of overheidsinstellingen, eisen dat hun leveranciers digitaal veilig werken. Als jij daar niets over kunt aantonen, kan dat betekenen dat je opdrachten misloopt. Daarnaast geldt: een goed beveiligde IT-omgeving is ook gewoon belangrijk voor je bedrijfscontinuïteit. Een hack of datalek kan wekenlange uitval en forse reputatieschade veroorzaken.

Hoe weet je waar je staat?

De eerste stap is overzicht. Wat is er geregeld, en wat niet? Bij STH helpen we ondernemers in de regio met een praktische IT-scan. Geen ingewikkelde rapporten of technische praat, maar een helder beeld van je huidige situatie.

We kijken naar zaken zoals toegang en gebruikersbeheer, back-up en herstelmogelijkheden, software-updates, netwerkbeveiliging en de bewustheid van je medewerkers. Op basis daarvan krijg je een concreet advies. Niet alles hoeft in één keer, maar je weet wel waar je moet beginnen.

Wat kun je nu al doen?

Begin met kleine maar effectieve stappen. Bespreek intern wie verantwoordelijk is voor IT-beheer. Check of je back-ups getest worden. Vraag je af wat je doet als er morgen een aanval plaatsvindt. En misschien wel het belangrijkste: praat met je medewerkers over veilig digitaal gedrag. Want technologie is belangrijk, maar mensen maken het verschil.

Bij STH Automatisering helpen we organisaties om structureel veiliger te werken. Dat doen we met heldere oplossingen, afgestemd op jouw situatie. Denk aan Microsoft 365-beheer, beveiliging, firewall-inrichting, monitoring en security awareness trainingen. Geen standaardpakket, maar een aanpak die werkt voor jouw organisatie.

Klaar voor NIS2, ook als je niet ‘hoeft’

De NIS2-richtlijn is een kans om zaken goed te regelen. Of je nu verplicht bent of niet, digitaal veilig werken is een must in 2025. Hoe eerder je begint, hoe beter je voorbereid bent — op regelgeving, maar vooral op de praktijk.

Wil je weten hoe jouw organisatie ervoor staat? We helpen je graag op weg.

Vraag een gratis IT-scan aan en ontdek waar je staat.