Geen juridisch stuk vol wetsartikelen. Gewoon een eerlijk antwoord op waar je praktisch mee kunt beginnen, met de kanttekening dat de exacte regelgeving nog in beweging is.

[list] In het kort

• NIS2 (de Cyberbeveiligingswet) verplicht bepaalde bedrijven om hun digitale weerbaarheid aantoonbaar op orde te hebben, niet alleen "iets doen", maar het ook kunnen laten zien.
• Of jouw bedrijf eronder valt, hangt af van sector en omvang, en dat is niet altijd op het eerste gezicht duidelijk, en verdient een bewuste check in plaats van een gok.
• Een eerste zelfcheck begint bij overzicht: welke systemen, leveranciers en processen zijn kritiek voor je bedrijfsvoering?
• Dit is geen kwestie van eenmalig afvinken: het vraagt om een structuur die je blijft onderhouden, niet een lijstje dat je één keer afwerkt.
• De grootste valkuil is niet te laat beginnen, maar te lang wachten tot alles helemaal duidelijk is voordat je begint, terwijl de basis (overzicht, MFA, back-up, een aanspreekpunt) toch al hoort te staan.

NIS2 voelt voor veel ondernemers als iets voor grote, internationale bedrijven. Voor een deel van het mkb wordt dat een misvatting. En zelfs voor wie er niet direct onder valt, is de onderliggende basis gewoon verstandig.

[question] Waar begin ik als ik nog niets heb gedaan aan NIS2?

Bij overzicht, niet bij de wet zelf. Voordat je kunt bepalen wat je moet aantonen, moet je weten wat er eigenlijk staat: welke systemen zijn kritiek voor je bedrijfsvoering, welke leveranciers heb je daarvoor nodig, en wie is binnen je bedrijf verantwoordelijk als er iets misgaat. Die inventarisatie is de basis waar alles verder op voortbouwt. Zonder overzicht kun je geen zinnig plan maken, hoeveel wetsartikelen je ook leest.

[key] Hoe weet ik zeker of mijn bedrijf hier wel of niet onder valt?

Dat hangt af van je sector en je omvang, en is niet altijd meteen duidelijk: sommige bedrijven vallen eronder omdat ze in een aangewezen sector zitten (bijvoorbeeld energie, digitale infrastructuur of bepaalde industrie), andere omdat ze als toeleverancier van een bedrijf dat eronder valt, indirect worden meegetrokken. Een gok is hier niet genoeg: laat dit concreet checken in plaats van aan te nemen dat het je "wel niet zal raken" omdat je een klein bedrijf bent.

Let op: de wet is nog in beweging. De Cyberbeveiligingswet (de Nederlandse omzetting van NIS2) is op het moment van schrijven nog niet volledig in werking getreden, en de exacte status en planning verandert regelmatig. Wil je weten hoe het er op dit moment voor staat, en of jouw sector inmiddels concreet is aangewezen? Check de actuele stand op ncsc.nl. Daar staat altijd de meest recente informatie, actueler dan wij hier bij kunnen houden.

[check] Welk document of overzicht helpt het meest bij een eerste zelfcheck?

Een simpel overzicht van drie dingen: je kritieke systemen (wat mag echt niet uitvallen), je kritieke leveranciers (van wie ben je afhankelijk om te kunnen werken), en je huidige basismaatregelen (staat MFA overal aan, is er een werkende back-up, is er iemand aanspreekbaar bij een incident). Dat overzicht is geen formeel NIS2-document, maar wel de bouwstenen waarmee je, ongeacht of je er wettelijk onder valt, structureel iets aantoonbaars neerzet.

[warning] Is dit iets wat ik alleen kan afvinken, of vraagt het echt actie?

Het vraagt echt actie, en dat is precies waar het verschilt van een simpele checklist. NIS2 draait niet om het eenmalig invullen van een formulier, maar om een structuur die je blijft onderhouden: nieuwe risico's, nieuwe leveranciers, nieuwe systemen veranderen continu wat "op orde" betekent. Een bedrijf dat het één keer heeft afgevinkt en daarna niets meer bijhoudt, voldoet op papier misschien even, maar in de praktijk niet blijvend.

[wrench] Verandert er iets aan hoe de productie werkt door deze voorbereiding?

Voor de meeste bedrijven verandert er weinig aan het dagelijkse werk op de vloer zelf. Wat wél verandert, is dat er beter zicht komt op wat er gebeurt als er iets misgaat: wie wordt geïnformeerd, welke stappen worden gezet, en hoe snel kan er worden gereageerd. Dat is meer een kwestie van structuur en afspraken dan van een andere manier van werken op de vloer.

[question] Wat is de grootste valkuil die bedrijven maken bij het voorbereiden hierop?

Wachten tot alles helemaal duidelijk is voordat je begint. NIS2 als wet is nog in beweging, en dat maakt het verleidelijk om te denken "we wachten wel tot het definitief is". Maar de onderliggende basis (overzicht van kritieke systemen, MFA overal aan, een werkende back-up, een duidelijk aanspreekpunt bij een incident) is sowieso verstandig, wettelijke verplichting of niet. Wie daarmee wacht tot de wet volledig is uitgekristalliseerd, wacht op iets wat niet nodig is om nu al te beginnen.

[clock] Tot slot

NIS2 is minder een kwestie van een dik wetboek doorworstelen, en meer een kwestie van beginnen bij wat je toch al zou moeten hebben: overzicht van wat kritiek is, de basis op orde, en een structuur die je blijft onderhouden. Of je er wettelijk onder valt of niet, die basis is sowieso het fundament waar de rest op voortbouwt.

Lees ook: "NIS2 en de maakindustrie: wat moet je nu regelen?" voor de verdieping specifiek gericht op productiebedrijven.

Wil je weten of, en waar, jullie NIS2-basis staat?

Plan een afspraak met Marcel

Wil je eerst weten waar jullie nu staan?

Doe de ICT Quickscan →