De Network and Information Security Directive 2 (NIS2) legt organisaties in achttien sectoren strenge beveiligingseisen op. In Nederland is de richtlijn omgezet in de Cyberbeveiligingswet, die sinds 15 augustus 2026 geldt. Voor essentiële entiteiten is de maximale boete ten minste EUR 10 miljoen of 2% van de wereldwijde jaaromzet, welk bedrag hoger is. Om naleving aan te tonen heb je in de regel vijf rollen nodig: een GRC- of NIS2-specialist, een CISO, een security architect, SOC-capaciteit en een privacy officer.
Wat is NIS2 en wie valt eronder?
NIS2 is de opvolger van de NIS-richtlijn uit 2016 en breidt het toepassingsgebied flink uit: van zeven naar achttien sectoren. Organisaties vallen daarin als essentiële of als belangrijke entiteit onder de wet.
De sectoren met een hoog kritiek niveau zijn onder meer energie, transport, bankwezen, financiële marktinfrastructuur, gezondheidszorg, drinkwater, afvalwater, digitale infrastructuur, ICT-dienstverlening (B2B), openbaar bestuur en ruimtevaart. Daarnaast vallen andere kritieke sectoren onder de wet, zoals post- en koeriersdiensten, afvalbeheer, chemie, voedselproductie, maakindustrie, digitale aanbieders en onderzoeksorganisaties.
In Nederland vallen ruim 8.000 organisaties onder de Cyberbeveiligingswet. Organisaties moeten zelf nagaan of dat voor hen geldt en zich registreren in het entiteitenregister van het NCSC. Door de breedte van de wet gaat het ook om middelgrote organisaties die eerder buiten beeld bleven.
De belangrijkste NIS2 vereisten
De Cyberbeveiligingswet kent een registratieplicht, een zorgplicht en een meldplicht. In de praktijk komt het neer op deze kernvereisten:
- Een risicoanalyse en passende, proportionele maatregelen om netwerk- en informatiesystemen te beveiligen, vastgelegd in beleid dat je regelmatig herziet.
- Procedures om incidenten te detecteren, te melden en af te handelen. Bij een significant incident volgt binnen 24 uur een vroegtijdige waarschuwing, binnen 72 uur een incidentmelding en uiterlijk een maand later een eindrapport.
- Bedrijfscontinuïteit: een continuïteitsplan, zodat je bij een storing of cyberaanval je dienstverlening overeind houdt en kunt herstellen.
- Ketenbeveiliging: aandacht voor de beveiliging bij je leveranciers en dienstverleners. Mijn advies is om dat vast te leggen in contractuele afspraken en leveranciers periodiek te beoordelen. Welke vragen je een TPRM-specialist daarover stelt, lees je in interviewvragen voor een TPRM-specialist.
- Betrokkenheid van het bestuur: het bestuur is eindverantwoordelijk, keurt de maatregelen goed, houdt toezicht op de uitvoering en volgt training. NIS2 bevat bovendien bepalingen over de aansprakelijkheid van bestuurders.
Het talenttekort: de grootste uitdaging
In de NIS2-trajecten die ik zie, is talent vaker de bottleneck dan technologie of budget. De markt voor ervaren securityprofessionals was al krap, en de Cyberbeveiligingswet dwingt duizenden organisaties tegelijk om hun capaciteit uit te breiden.
Voor NIS2 heb je verschillende specialismen nodig. GRC-consultants doen de risicoanalyse en schrijven beleid, SOC-analisten monitoren en handelen incidenten af, security architects ontwerpen de technische maatregelen. Weinig organisaties vangen dat volledig intern op zonder flink te investeren in personeel.
Welke profielen heb je nodig?
Ik zie deze vijf profielen als de kern van een NIS2-traject (zie ook onze GRC-expertise):
- Een GRC-consultant of NIS2-specialist voor de gapanalyse, de risicoanalyse en het beleid. Dit profiel vertaalt de wettelijke eisen naar concrete maatregelen en is de ruggengraat van het traject.
- Een CISO, interim of vast, die het traject aanstuurt en het bestuur informeert over voortgang en risico's. Hoe je die rol tegenover risicobeheer en audit positioneert, lees je in het three lines of defence model.
- Een security architect die de technische maatregelen ontwerpt, zoals netwerksegmentatie, versleuteling en monitoring.
- SOC-capaciteit voor monitoring, detectie en incident response, zodat je incidenten op tijd ziet en binnen de termijnen meldt.
- Een DPO of privacy officer, omdat NIS2 en de AVG overlappen, onder meer bij incidentmeldingen.
NIS2-compliance aantonen: checklist
Bij aantonen gaat het om bewijs. Zorg dat je voor deze punten documenten en resultaten paraat hebt:
- Scope en registratie: vastgelegd of je een essentiële of belangrijke entiteit bent, en geregistreerd in het entiteitenregister van het NCSC.
- Risicoanalyse en maatregelen: een actuele risicoanalyse, bijgehouden door iemand in een IT-risk-managementrol, met passende maatregelen, zoals incidentbehandeling, bedrijfscontinuïteit, ketenbeveiliging, toegangsbeheer met MFA en versleuteling.
- Meldproces: een werkend proces voor significante incidenten: vroegtijdige waarschuwing binnen 24 uur, melding binnen 72 uur en een eindrapport binnen een maand.
- Bestuur: aantoonbaar dat het bestuur de maatregelen heeft goedgekeurd, toezicht houdt en training volgt.
- Documentatie: beleid, procedures, testresultaten en verbeteracties in één ISMS. Een ISO 27001-certificering is niet verplicht, maar helpt veel bij het aantonen.
Het opzetten en bijhouden van dit dossier is typisch werk voor een GRC- of compliancespecialist. Zie GRC- en compliancespecialist inhuren.
Waarom je nu moet handelen
De Europese omzettingstermijn voor NIS2 liep af op 17 oktober 2024. De Nederlandse Cyberbeveiligingswet geldt sinds 15 augustus 2026. Wie nog niet begonnen is, riskeert boetes en lastige vragen aan het bestuur, dat eindverantwoordelijk is.
Daar komt bij dat veel organisaties tegelijk capaciteit zoeken voor dezelfde wet. Wie wacht, vist straks in een kleinere vijver. Voor energiebedrijven met OT-omgevingen werkten we de benodigde rollen uit in OT-security in de energiesector.
Hoe MVPeople Group helpt met NIS2 compliance
MVPeople Group ondersteunt organisaties op meerdere manieren bij hun NIS2 compliance traject. Via MVProjects bieden wij NIS2-gapanalyses en roadmap trajecten aan op basis van een Statement of Work, met een vaste projectprijs en duidelijke deliverables: een gapanalyse ten opzichte van de NIS2-vereisten, een geprioriteerde roadmap en ondersteuning bij de implementatie.
Daarnaast levert MVPeople via de freelance en interim dienstverlening direct inzetbare cybersecurity specialisten die je interne team versterken. Of het nu gaat om een interim CISO die het NIS2 traject aanstuurt of SOC-analisten die je monitoringcapaciteit opbouwen, wij presenteren de eerste kandidaat binnen 4 uur.
Wil je weten wat de wet van jouw organisatie vraagt? Lees onze NIS2-pagina of bel of mail me voor een gesprek over je capaciteitsbehoefte.
