De NIS2 richtlijn geldt niet voor elke organisatie op dezelfde manier. Toch worstelen veel bedrijven en instellingen met een ogenschijnlijk simpele vraag: val ik er eigenlijk onder? Het antwoord hangt af van een combinatie van factoren, waaronder de sector waarin je opereert, de omvang van je organisatie en je positie in de keten. In dit artikel doorloop je stap voor stap het proces om te bepalen of de NIS2 verplichting op jouw organisatie van toepassing is, en wat je vervolgens moet doen.
De Cyberbeveiligingswet, de Nederlandse vertaling van de NIS2 richtlijn, is op 4 juni 2025 ingediend bij de Tweede Kamer. Inwerkingtreding wordt verwacht in het tweede kwartaal van 2026. Dat betekent dat de tijd om je voor te bereiden nu al loopt. Wie nu in kaart brengt of en hoe de wet op hem van toepassing is, staat straks een stuk sterker.
Controleer in welke sector jouw organisatie actief is
De eerste stap is bepalen of jouw organisatie actief is in een van de sectoren die de NIS2 richtlijn aanwijst. De wet maakt onderscheid tussen twee categorieën: sectoren met hoge kritikaliteit en andere kritieke sectoren. Hoe hoger de kritikaliteit, hoe strenger het toezicht.
Sectoren met hoge kritikaliteit zijn onder andere energie, transport, bankwezen, financiële marktinfrastructuur, gezondheidszorg, drinkwater, afvalwater, digitale infrastructuur en overheidsinstanties. Andere kritieke sectoren omvatten onder meer post en koeriersdiensten, afvalbeheer, chemische stoffen, voedsel, de maakindustrie en digitale aanbieders.
- Zoek de volledige sectorenlijst op via de NIS2 zelfevaluatietool of de NCSC-overzichtspagina op ncsc.nl/cyberbeveiligingswet-nis2.
- Identificeer de primaire activiteit van jouw organisatie en match deze aan de sectoromschrijvingen in de wet.
- Controleer of jouw organisatie een overheidsinstantie is. Gemeenten, provincies, waterschappen en ministeries vallen automatisch onder de wet als essentiële entiteit, ongeacht hun omvang.
Na deze stap weet je of jouw sector in scope is. Als dat niet het geval is, hoef je de volgende stappen niet te doorlopen. Is jouw sector wel aangewezen, ga dan verder met de omvangstoets.
Toets de omvang van jouw organisatie aan de drempelwaarden
Valt jouw sector binnen de reikwijdte van de NIS2 richtlijn, dan is de volgende vraag of jouw organisatie groot genoeg is om verplicht mee te doen. De wet hanteert drempelwaarden op basis van het aantal medewerkers en de jaaromzet of het jaarlijkse balanstotaal.
De NIS2 drempelwaarden zijn als volgt ingedeeld:
- Grote organisaties: 250 of meer medewerkers, of een jaaromzet van meer dan 50 miljoen euro en een balanstotaal van meer dan 43 miljoen euro. Deze vallen als essentiële entiteit onder de strengste verplichtingen.
- Middelgrote organisaties: 50 tot 249 medewerkers, of een jaaromzet van 10 tot 50 miljoen euro. Deze worden doorgaans aangemerkt als belangrijke entiteit.
- Kleine organisaties: minder dan 50 medewerkers en een omzet onder 10 miljoen euro. Zij vallen in principe buiten de directe reikwijdte, tenzij ze een bijzondere rol vervullen.
- Stel het gemiddeld aantal FTE’s in jouw organisatie vast over het afgelopen boekjaar.
- Bepaal de jaaromzet en het balanstotaal uit de meest recente jaarrekening.
- Vergelijk deze cijfers met de drempelwaarden en noteer in welke categorie jouw organisatie valt.
Let op: voor overheidsinstanties geldt het omvangscriterium uitdrukkelijk niet. Gemeenten, provincies en waterschappen zijn automatisch een essentiële entiteit, ongeacht hun grootte. Controleer na deze stap of jouw organisatie boven de drempel uitkomt, en ga dan verder met de ketenanalyse.
Bepaal of jouw rol in de keten NIS2-verplichtingen meebrengt
Ook als jouw organisatie zelf net onder de drempelwaarden valt, kun je toch te maken krijgen met NIS2 verplichtingen. De NIS2 richtlijn verplicht organisaties die wel onder de wet vallen namelijk om de cybersecurity van hun toeleveringsketen te beoordelen en te beheersen. Als jij een kritieke leverancier bent voor een essentiële of belangrijke entiteit, zul je in de praktijk moeten aantonen dat jouw beveiliging op orde is.
Breng de volgende vragen in kaart om jouw ketenrol te beoordelen:
- Lever jij producten of diensten aan organisaties die wel direct onder de NIS2 vallen?
- Heb je toegang tot de systemen, netwerken of data van die organisaties?
- Ben jij een kritieke schakel in de bedrijfscontinuïteit van een of meer van die klanten?
- Ontvang je al contractuele eisen op het gebied van cybersecurity van je opdrachtgevers?
Als je een of meerdere van deze vragen met ja beantwoordt, is de kans groot dat je in de praktijk aan NIS2-eisen moet voldoen, ook zonder directe wettelijke plicht. Klanten zijn immers verplicht hun toeleveringsketen te beveiligen en zullen die verantwoordelijkheid via contracten doorleggen. Met dit inzicht ben je klaar voor de formele zelfbeoordeling.
Doe de zelfbeoordeling en leg het resultaat vast
Organisaties zijn zelf verantwoordelijk om te bepalen of zij onder de Cyberbeveiligingswet vallen. Er zijn officieel erkende hulpmiddelen beschikbaar die dit proces ondersteunen. Gebruik ze, en documenteer je conclusies zorgvuldig.
- Ga naar de NIS2 Zelfevaluatie op regelhulpenvoorbedrijven.nl/NIS-2-NL/ en doorloop de vragen. De tool leidt je stap voor stap door de sectorcheck, de omvangstoets en eventuele uitzonderingen.
- Gebruik aanvullend de Flowchart Registratieplicht van het NCSC om te bepalen of jouw organisatie zich moet registreren in het entiteitenregister.
- Stel een intern document op waarin je vastlegt op basis van welke criteria je tot je conclusie bent gekomen. Noteer de gebruikte bronnen, de datum van de beoordeling en wie verantwoordelijk was voor de analyse.
- Herhaal deze beoordeling jaarlijks of bij significante wijzigingen in de organisatie, zoals fusies, groei of een nieuw dienstenaanbod.
Na afronding van de zelfevaluatie heb je een gedocumenteerde positiebepaling. Als je conclusie is dat je niet onder de wet valt, bewaar dit document als onderbouwing. Als je wel onder de wet valt, is registratie bij het NCSC-portaal de volgende verplichte stap. Je ontvangt dan ook informatie over actuele cyberdreigingen.
Wat te doen als jouw bedrijf onder NIS2 valt
Heb je vastgesteld dat jouw organisatie onder de NIS2 richtlijn valt? Dan begint het echte werk. De wet legt een brede zorgplicht op: je moet passende technische en organisatorische maatregelen nemen om de continuïteit van je dienstverlening te waarborgen en de vertrouwelijkheid, integriteit en beschikbaarheid van informatie te beschermen.
De minimummaatregelen die de wet voorschrijft, zijn onder meer:
- Een beleid voor risicoanalyse en beveiliging van informatiesystemen
- Maatregelen voor bedrijfscontinuïteit en crisisbeheer
- Beveiliging van de toeleveringsketen
- Gebruik van cryptografie en encryptie
- Toegangsbeveiliging en multi-factorauthenticatie
- Procedures voor incidentmelding: een eerste melding binnen 24 uur, een vervolgmelding binnen 72 uur en een eindverslag binnen een maand
Registreer je organisatie zo snel mogelijk bij het NCSC-portaal, ook als de wet nog niet formeel in werking is getreden. Vrijwillige registratie is al mogelijk en geeft je toegang tot dreigingsinformatie. Zorg daarnaast dat bestuurders aantoonbaar betrokken zijn bij cybersecurity: de wet legt de verantwoordelijkheid expliciet bij de politieke of bestuurlijke leiding. Voor een goed inzicht in je huidige beveiligingsniveau is een onafhankelijke analyse een logische eerste stap.
Hoe Q-Cyber helpt met NIS2-compliance
NIS2 is meer dan een afvinklijst. Het vraagt om een structurele integratie van cybersecurity in beleid, processen en bestuur. Wij begeleiden organisaties door dit traject, van de eerste positiebepaling tot een volledig ingericht compliance-programma.
Wat wij concreet voor je doen:
- Gap-analyse: we brengen in kaart waar jouw organisatie nu staat ten opzichte van de NIS2-vereisten en wat er nog ontbreekt.
- Beleidsvorming op maat: we schrijven beleid dat aansluit op jouw specifieke risicoprofiel en sector, zonder generieke sjablonen.
- Bestuurderstraining: we verzorgen gerichte trainingen zodat jouw leiding de verantwoordelijkheid die de wet oplegt ook daadwerkelijk kan dragen.
- Technische toetsing: via penetratietesten en vulnerability scans toetsen we of jouw technische maatregelen in de praktijk standhouden.
- Virtuele CISO: via ons Continuous-Q programma krijg je doorlopende begeleiding van een team van specialisten, zonder de kosten van een fulltime CISO.
Wij werken volledig onafhankelijk, zonder binding aan softwarepartijen of andere toeleveranciers. Dat betekent dat ons advies altijd in jouw belang is. Wacht niet tot de wet formeel van kracht is: de risico’s zijn er nu al, en wie nu begint, is straks beter voorbereid. Neem contact op en ontdek hoe we jouw organisatie concreet verder helpen.
Gerelateerde artikelen
- Wat is een security baseline?
- Hoe lang mag je persoonsgegevens bewaren?
- Wat is privacy by default?
- NIS2-richtlijn uitgelegd: verplichtingen voor het mkb
- Wat is de impact van AI op pentesten in 2026?
- Wat is het verschil tussen pentesten en vulnerability scanning?
- Wat zijn red team vs blue team oefeningen?
- Wat zijn de ethische aspecten van pentesten?
- Hoe valideer je pentest bevindingen?
- Hoe communiceer je pentest resultaten?