NIS2 voor het MKB: zo voldoet u aan de zorgplicht
NIS2 maakt van cybersecurity een bestuurlijk onderwerp. Het gaat om risicomanagement dat aantoonbaar is: er ligt vastgesteld beleid, de maatregelen draaien en er is bewijs dat ze werken. In Nederland wordt de richtlijn omgezet in de Cyberbeveiligingswet. Dit artikel legt uit wat de zorgplicht inhoudt en waar een MKB-bedrijf het beste mee kan beginnen.
Valt uw organisatie onder NIS2?
Dat hangt af van sector en omvang. NIS2 geldt voor middelgrote en grote organisaties in sectoren die als essentieel of belangrijk zijn aangemerkt, zoals energie, vervoer, zorg, digitale infrastructuur en delen van de maakindustrie. Kleine bedrijven vallen meestal buiten de wet, al zijn er uitzonderingen.
Doe direct de officiële NIS2-zelfevaluatie van de overheid om te controleren wat er voor uw organisatie geldt.
NIS2 in de leveranciersketen
Valt uw organisatie formeel buiten de wet? Juist in het MKB is de kans groot dat u er via uw klantenkring direct mee te maken krijgt. NIS2-plichtige organisaties zijn wettelijk verplicht om hun gehele leveranciersketen te beveiligen.
Grotere opdrachtgevers stellen strikte security-eisen aan hun ketenpartners en vragen om bewijs van uw risicomanagement. Wie dat bewijs niet kan leveren, riskeert het verlies van belangrijke contracten. De kans is groot dat deze organisaties liever voor een leverancier kiezen die de beveiliging en bewijsvoering al op orde heeft.
Wat de zorgplicht inhoudt
De wet vraagt om passende en evenredige maatregelen, afgestemd op de risico’s van de organisatie. Het bestuur is verantwoordelijk voor de naleving: het keurt de maatregelen goed, houdt toezicht en moet zelf voldoende kennis hebben van cyberrisico’s.
Een grondige IT-risicoanalyse is hierbij de eerste stap. Daarin brengt u in kaart welke systemen, data en leveranciers kritiek zijn voor de bedrijfsvoering, welke dreigingen er spelen en wat de impact van een verstoring is. Met deze analyse onderbouwt u gemaakte keuzes richting toezichthouders en auditors.
Waar ISO 27001 past
Certificering is onder NIS2 niet verplicht. ISO 27001 is wel een bruikbaar kader, omdat de onderwerpen sterk overlappen met de wet: risicoanalyse, incidentafhandeling, bedrijfscontinuïteit en ketenbeveiliging. Een certificaat betekent niet automatisch dat een organisatie aan de wet voldoet, maar het levert wel een gestructureerd managementsysteem en documentatie op die bij een audit goed van pas komen.
Technische maatregelen in de praktijk
De wet schrijft concrete doelen voor. In de praktijk vormen de volgende maatregelen een stabiel fundament:
- Netwerksegmentatie: Door het netwerk op te delen in zones blijft de schade van een inbraak beperkt tot een specifiek onderdeel.
- Multi-factor authenticatie: Eerst voor beheerdersaccounts, externe toegang en cloudbeheer, daarna voor de overige gebruikers. Een gestolen wachtwoord geeft zo geen directe toegang meer.
- Logging en monitoring: Zonder continu inzicht in het netwerkverkeer is een incident niet tijdig te herkennen of te beoordelen.
- Patch en kwetsbaarheden beheer: Inclusief back-ups die regelmatig op herstelbaarheid worden getest (RTO/RPO).
Incidenten melden
NIS2 kent korte meldtermijnen voor significante incidenten: een vroege waarschuwing binnen 24 uur, een incidentmelding binnen 72 uur en een eindrapport binnen een maand. Voor de praktijk betekent dit dat vooraf helder moet zijn wie een incident beoordeelt, wanneer het als significant geldt en wie de melding doet. Oefen dit proces; een incident is niet het moment om de procedure voor het eerst uit te zoeken.
Ketenbeveiliging en leveranciers
Een organisatie blijft verantwoordelijk voor de veiligheid van de gehele keten. Dat begint met een overzicht van leveranciers die kritiek zijn voor de dienstverlening. Leg per leverancier contractueel vast welke securityeisen gelden, binnen welke termijn incidenten worden gemeld, hoe onderaannemers worden betrokken en welke auditrechten bestaan. Beoordeel leveranciers daarna periodiek.
Testen en aantonen
Beveiliging zit niet in beleid op papier, maar in een actieve controle. Met periodieke kwetsbaarheidsscans, hersteltests van back-ups en ethische penetratietesten (pentests) verkrijgt u concrete resultaten. Deze bevindingen vloeien direct terug in het beleid. Met dit dossier levert u het bewijs richting toezichthouders, klanten en auditors.
Medewerkers en bestuur
Vele incidenten beginnen met een klik op een phishingmail. Regelmatige security awareness trainingen voor medewerkers horen daarom bij de basis. Dat geldt ook voor bestuurders, die onder NIS2 zelf kennis van cyberrisico’s moeten opbouwen en bijhouden.
Praktisch beginnen
- Nulmeting uitvoeren: Bepaal de huidige staat van de IT-infrastructuur en bewustwording ten opzichte van de NIS2-eisen.
- IT-risicoanalyse maken: Breng kwetsbaarheden in kaart en stel prioriteiten.
- Beleid vastleggen: Laat de richtlijnen formeel goedkeuren door het bestuur.
- Maatregelen doorvoeren: Begin direct bij de grootste risico’s.
- Testen, documenteren en herhalen: Zorg voor een continue cyclus van beheer en controle.
Hulp nodig bij een nulmeting of risicoanalyse? eXpertiZe denkt graag mee over een aanpak die past bij de omvang en de risico’s van uw organisatie.
