Waarom NIS2 ook jouw organisatie raakt

De nieuwe Cyberbeveiligingswet (NIS2) treedt op 15 augustus 2026 in werking. Daarmee wordt digitale weerbaarheid een randvoorwaarde om zaken te kunnen doen, legt Menno Jongerius (CTO bij Bergler) in zijn expertblog uit. Niet alleen voor de bedrijven die formeel onder de wet vallen, maar ook voor partijen in de (inhuur)keten.

Cybersecurity is de afgelopen jaren verschoven van een technisch aandachtspunt naar een bestuurlijke verantwoordelijkheid. Incidenten raken allang niet meer alleen IT‑systemen, maar ook direct de continuïteit van organisaties en de maatschappij als geheel. Met de komst van de Europese NIS2‑richtlijn wordt die realiteit expliciet gemaakt.

Vanuit CTO‑perspectief is NIS2 daarom minder interessant als ‘nieuwe wet’ en veel relevanter als signaal: digitale weerbaarheid wordt gezien als randvoorwaardelijk voor zaken doen. Niet alleen voor organisaties die formeel onder de richtlijn vallen, maar voor complete ketens.

Wat is NIS2 en voor wie geldt het?

NIS2 is de opvolger van de oorspronkelijke NIS‑richtlijn uit 2016 en heeft als doel het algemene niveau van cyberbeveiliging binnen de Europese Unie structureel te verhogen. De aanleiding is duidelijk: digitalisering, geopolitieke spanningen en een sterke toename van cyberaanvallen maken dat verstoringen steeds vaker directe maatschappelijke en economische impact hebben.

Waar de eerste NIS‑richtlijn relatief beperkt van scope was, is NIS2 aanzienlijk breder. De richtlijn is van toepassing op organisaties in achttien sectoren die door de EU als (zeer) kritisch zijn aangemerkt. Denk aan energie, zorg, transport, financiële dienstverlening, digitale infrastructuur, overheid, waterbeheer en bepaalde productiesectoren. In de praktijk gaat het vooral om middelgrote en grote organisaties, maar er zijn uitzonderingen: ook kleinere organisaties kunnen onder NIS2 vallen als zij een kritieke rol vervullen binnen een sector of keten.

In Nederland wordt NIS2 geïmplementeerd via de Cyberbeveiligingswet. Die treedt definitief in werking per 15 augustus. Daarmee krijgt de richtlijn juridische werking en toezicht. Belangrijk detail: NIS2 is geen IT‑norm, maar bestuurlijke wetgeving. Bestuur en directie worden expliciet verantwoordelijk gemaakt voor cyberrisico’s, risicobeheersmaatregelen en naleving.

Er is een zelfscan op de website van de Rijksoverheid om te bepalen of de NIS2 richtlijn op je organisatie van toepassing is.

De impact van NIS2 op organisaties

Voor veel organisaties voelt NIS2 in eerste instantie als ‘meer regels’. Vanuit CTO‑perspectief is dat maar een deel van het verhaal. De echte impact zit in drie structurele verschuivingen.

Ten eerste: cybersecurity wordt governance. NIS2 maakt expliciet dat cyberrisico’s onderdeel zijn van ondernemingsrisico’s. Bestuurders moeten maatregelen goedkeuren, toezicht houden op de uitvoering en aantoonbaar kennis hebben van cybersecurity. Dat betekent dat informatiebeveiliging niet langer uitsluitend bij IT- of securityteams ligt, maar structureel op de bestuursagenda thuishoort. Voor CTO’s betekent dit vaker: vertalen van technische risico’s naar bestuurbare besluitvorming.

Ten tweede: aantoonbaarheid wordt belangrijker dan intentie. Veel organisaties doen al ‘iets’ aan security. NIS2 vraagt niet of je goede intenties hebt, maar of je kunt laten zien dat je risico’s structureel beheerst. Risicoanalyses, incidentprocessen, monitoring, back‑ups, leveranciersafspraken: alles moet niet alleen bestaan, maar ook aantoonbaar werken. Dit verschuift de focus van losse maatregelen naar volwassen processen.

Ten derde: de keten wordt onderdeel van je risicoprofiel. Een van de meest onderschatte aspecten van NIS2 is de expliciete aandacht voor supply‑chain security. Organisaties die onder NIS2 vallen, zijn verplicht risico’s bij leveranciers en partners mee te nemen in hun eigen beveiliging. Een zwakke schakel bij een leverancier wordt daarmee automatisch jouw probleem. Voor veel CTO’s betekent dit dat vendor management, contracten en technische architectuur opnieuw tegen het licht moeten worden gehouden.

Waarom NIS2 ook relevant is als je niet in scope bent

Een veelgehoorde reactie is: “Wij vallen niet onder NIS2, dus dit geldt niet voor ons.” Juridisch kan dat kloppen, maar praktisch steeds minder.

Organisaties die wél onder NIS2 vallen, krijgen een zorgplicht voor hun keten. Dat betekent dat zij eisen gaan stellen aan leveranciers, IT‑dienstverleners, softwarepartners en soms zelfs onderaannemers. Die eisen landen niet in wetgeving, maar in contracten, aanbestedingen, security‑assessments en audits.

Voor bedrijven die zaken doen met NIS2‑plichtige organisaties ontstaat daarmee een nieuwe realiteit: je hoeft formeel niet onder de wet te vallen om ermee geconfronteerd te worden. Aantoonbare basismaatregelen op het gebied van cybersecurity worden steeds vaker een voorwaarde om überhaupt mee te mogen doen.

Daar zit tegelijkertijd ook een voordeel. Organisaties die hun security-basis op orde hebben, risico’s structureel beheren en transparant kunnen uitleggen hoe zij omgaan met incidenten en leveranciers, onderscheiden zich. Niet omdat ze ‘compliant’ zijn, maar omdat ze voorspelbaar en betrouwbaar opereren in een digitale keten.

NIS2 versus ISO 27001

Wie zich verdiept in NIS2 komt al snel bij ISO 27001 uit. Dat is logisch: beide gaan over informatiebeveiliging, risicobeheersing en continuïteit. Toch bedienen ze een ander doel en het is belangrijk dat onderscheid scherp te houden.

ISO 27001 is een vrijwillige internationale norm voor het opzetten en onderhouden van een Information Security Management System (ISMS). Het beschrijft hoe je informatiebeveiliging structureel organiseert: risicobeoordeling, beleid, processen, controles en continue verbetering.

NIS2 is wetgeving. Het schrijft niet voor hoe je cybersecurity organiseert, maar wel wat je minimaal moet bereiken. Voor organisaties die onder NIS2 vallen is naleving verplicht en afdwingbaar, inclusief toezicht en sancties. Dat juridische karakter is het fundamentele verschil.

De overlap tussen NIS2 en ISO 27001 is groot. Diverse analyses komen uit op ongeveer 70 tot 80 procent inhoudelijke aansluiting. Denk aan risicomanagement, incidentafhandeling, toegangsbeveiliging, back‑ups, continuïteitsplanning en leveranciersbeheer.

Voor CTO’s betekent dit: als je ISO 27001 serieus implementeert, ben je inhoudelijk al een heel eind op weg richting NIS2. ISO 27001 biedt structuur, taal en discipline om risico’s aantoonbaar te beheersen, precies wat NIS2 verwacht, maar zelf niet uitwerkt.

De belangrijkste verschillen zitten niet zozeer in techniek, maar in juridische en bestuurlijke accenten.

NIS2 legt expliciete verantwoordelijkheid bij bestuur en directie, inclusief mogelijke aansprakelijkheid. Daarnaast kent NIS2 harde meldtermijnen voor incidenten (bijvoorbeeld eerste melding binnen 24 uur), sectorspecifiek toezicht en een sterke nadruk op ketenverantwoordelijkheid. ISO 27001 kent deze verplichtingen niet in die vorm.

Ook belangrijk: ISO 27001 is certificeerbaar, NIS2 niet. Er bestaat geen ‘NIS2‑certificaat’. NIS2‑compliance wordt beoordeeld door toezichthouders, niet door certificerende instellingen.

ISO 27001-certificering niet altijd nodig

Moet je ISO 27001 gecertificeerd zijn als je NIS2‑plichtig bent? Kort antwoord: nee, dat hoeft niet. NIS2 schrijft geen specifieke norm of certificering voor. Juridisch volstaan passende en aantoonbare maatregelen.

Praktisch gezien kiezen veel organisaties er wél voor. ISO 27001 is een bewezen manier om structuur aan te brengen, aantoonbaarheid te organiseren en richting klanten en ketenpartners duidelijkheid te bieden. Het fungeert daarmee vaak als fundament onder NIS2‑compliance, maar het vervangt NIS2 nooit volledig.

Voor organisaties die niet direct onder NIS2 vallen, maar wel leveren aan NIS2‑plichtige partijen, geldt hetzelfde principe. ISO 27001 is geen wettelijke eis, maar steeds vaker een marktverwachting.

NIS2 als marktstandaard, niet als checkbox

Vanuit CTO‑perspectief is de grootste valkuil om NIS2 te benaderen als een compliance‑oefening. Dat leidt vaak tot veel papier en weinig daadwerkelijke verbetering. De organisaties die hier structureel voordeel uit halen, zijn degenen die NIS2 benaderen als aanleiding om hun digitale weerbaarheid volwassen te organiseren.

Dat betekent: duidelijke keuzes, heldere verantwoordelijkheden, realistische maatregelen en vooral aansluiten bij hoe de organisatie daadwerkelijk werkt. NIS2 dwingt tot nadenken over continuïteit, afhankelijkheden en vertrouwen. Precies de thema’s waar technologie en ondernemerschap elkaar raken.

Of je nu formeel onder de richtlijn valt of niet: in de praktijk beweegt NIS2 zich snel richting een nieuwe ondergrens voor zakendoen in digitale ketens.