NIS2 en het MKB: geldt het ook voor jou?
De NIS2-richtlijn wordt vaak geassocieerd met grote organisaties in kritieke sectoren. Maar de realiteit is anders: ook het MKB wordt in toenemende mate geraakt door NIS2. Direct, via de scope-criteria van de richtlijn, of indirect, doordat grotere klanten eisen stellen aan hun leveranciers.
In dit artikel leggen we uit wanneer NIS2 voor MKB geldt, hoe je erachter komt of jouw bedrijf onder de richtlijn valt en wat je concreet moet doen.
Wanneer valt een MKB-bedrijf onder NIS2?
De NIS2-richtlijn hanteert twee criteria:
1. Sector + omvang
Je valt direct onder NIS2 als je actief bent in één van de 18 aangewezen sectoren én je organisatie 50+ werknemers heeft of een jaaromzet van €10 miljoen+. De sectoren omvatten onder andere zorg, energie, transport, digitale infrastructuur, financieel, overheid, voeding en industrie.
2. Supply chain — de indirecte route
Ook als je niet direct onder de scope valt, kan NIS2 je raken via de ketenverantwoordelijkheid. De richtlijn verplicht organisaties om de cybersecurity van hun leveranciers te beoordelen. Als je IT-diensten, software, componenten of andere kritieke producten levert aan een NIS2-plichtige organisatie, zullen zij van jou eisen dat je aantoonbaar beveiligd bent.
Dit is de route waarlangs veel MKB-bedrijven geraakt worden. Je grootste klant stuurt een vragenlijst over je security-maatregelen, of eist een NIS2-audit als voorwaarde voor contractverlenging.
Drie vragen om te bepalen of NIS2 voor jou geldt
- 1Lever je producten of diensten waar anderen voor hun continuïteit van afhankelijk zijn? Denk aan: hosting, software, netwerkapparatuur, consultancy, onderhoud.
- 2Zit je in de keten van een NIS2-plichtige organisatie? Check of je klanten in de zorg, energie, overheid, transport of financiële sector zitten.
- 3Zou het uitvallen van jouw organisatie een maatschappelijk risico opleveren? Door kritieke functies, grote klantaantallen of hoge afhankelijkheid.
Beantwoord je één of meer vragen met "ja"? Dan is de kans groot dat NIS2 direct of indirect op jou van toepassing is.
Wat moet een MKB-bedrijf doen voor NIS2?
De kern van NIS2 draait om vijf pijlers:
- 1Risicoanalyse en beleid — Breng je risico's systematisch in kaart en stel passend beleid op.
- 2Technische maatregelen — Denk aan patchmanagement, monitoring, toegangsbeheer, encryptie en detectie.
- 3Incident-response — Zorg dat je ernstige incidenten binnen 24 uur kunt melden aan het NCSC.
- 4Training en awareness — NIS2 verplicht dat medewerkers getraind worden in cyberhygiëne.
- 5Leveranciersbeheer — Toon aan dat jouw leveranciers je security niet verzwakken.
Hulp bij NIS2 voor het MKB
Veel MKB-bedrijven hebben geen dedicated security-afdeling. Dat maakt NIS2 begeleiding door een specialist extra waardevol. Een ervaren partner helpt je om:
- Snel te bepalen of en hoe NIS2 op jou van toepassing is
- Een realistische roadmap op te stellen die past bij je budget
- De technische en organisatorische maatregelen te implementeren
- Awareness-trainingen te verzorgen voor je team
Bij PeopleRock bieden we een NIS2 traject voor bedrijven dat speciaal is ingericht voor het MKB. We combineren Microsoft 365 expertise met NIS2-advies en trainingen in één geïntegreerd traject — zodat je niet met 3 verschillende partijen hoeft te werken.
De commerciële noodzaak
NIS2 compliance is niet alleen een wettelijke verplichting, maar ook een commercieel voordeel. Steeds meer organisaties stellen security-eisen in tenders en bij contractbesprekingen. MKB-bedrijven die kunnen aantonen dat ze NIS2-compliant zijn, onderscheiden zich van concurrenten die dat niet kunnen.
Wacht niet tot je grootste klant het als eis stelt. Neem het initiatief en maak je bedrijf NIS2 compliant — je toekomstige zelf zal je dankbaar zijn.