NIS2 richtlijn: wat het voor uw MKB betekent

Voor wie geldt NIS2?

NIS2 raakt 'essentiële' en 'belangrijke' entiteiten in 18 sectoren — veel breder dan de oude NIS-richtlijn. Belangrijke sectoren waar veel MKB onder valt:

• ICT-dienstverleners (managed service providers, hostingbedrijven, softwareleveranciers)
• Levensmiddelen en voedselverwerking
• Productie van chemicaliën, machines, voertuigen
• Post- en koeriersdiensten
• Afvalbeheer
• Onderzoeksorganisaties
• Digitale dienstverleners (onlineshops, marktplaatsen)
• Gezondheidszorg

Vanaf welke grootte?

NIS2 geldt vanaf 50 medewerkers of €10 miljoen omzet — onder die grens hoeft u niet te voldoen aan de strenge verplichtingen, behalve voor bepaalde kritieke sectoren waar het ongeacht omvang geldt. Werkt u met grote klanten? Zij eisen via supply chain-clausules vaak alsnog NIS2-naleving van u.

Wat moet u doen?

NIS2 vereist een risico-gebaseerde aanpak met minimaal:

• Risicoanalyse en beleid voor informatiebeveiliging
• Incident response en business continuity plannen
• Supply chain security (beoordeling van leveranciers)
• Beveiliging in ontwikkeling en onderhoud van systemen
• Beleid voor toegangsbeheer, MFA en cryptografie
• Bewustwordingstraining voor personeel
• Incident-melding aan de toezichthouder binnen 24 uur (eerste melding) en 72 uur (vervolg)

Aansprakelijkheid van bestuurders

Nieuw onder NIS2: bestuurders zijn persoonlijk aansprakelijk voor naleving. Boetes kunnen oplopen tot €10 miljoen of 2% van wereldwijde omzet. Voor essentiële entiteiten zelfs tot €10 miljoen of 2% — én de toezichthouder kan bestuurders tijdelijk verbieden hun functie uit te oefenen.

Begin nu, niet later

NIS2-naleving is geen project van een week. Het vereist beleid, processen, technische maatregelen en interne audits. Begin vandaag met een GAP-analyse: waar staat u, waar moet u zijn, wat is uw plan? Een goede IT-partner kan u door dit proces begeleiden.