Ketenbeveiliging is de verplichting om niet alleen je eigen systemen te beveiligen, maar ook de digitale veiligheid van alle leveranciers en derde partijen in jouw toeleveringsketen te beheren en te bewaken. Onder de NIS2-richtlijn is dit geen vrijblijvende best practice meer, maar een wettelijke eis waaraan organisaties aantoonbaar moeten voldoen. In dit artikel beantwoorden we de meest gestelde vragen over ketenbeveiliging en NIS2, van de concrete verplichtingen tot de eerste stappen die je kunt zetten.

Welke verplichtingen legt NIS2 op aan ketenbeveiliging?

De NIS2-richtlijn verplicht organisaties om de beveiligingsrisico’s van hun toeleveringsketen actief te identificeren, te beoordelen en te beheersen. Dit betekent dat je als organisatie verantwoordelijk bent voor de digitale weerbaarheid van de keten als geheel, niet alleen voor je eigen infrastructuur. Leveranciers en derde partijen die toegang hebben tot jouw systemen of data vallen expliciet onder deze zorgplicht.

Concreet schrijft de NIS2-richtlijn voor dat organisaties:

• Een risicoanalyse uitvoeren die de toeleveringsketen omvat
• Contractuele beveiligingseisen stellen aan leveranciers
• Periodiek de naleving van die eisen controleren
• Beveiligingsincidenten die via de keten binnenkomen tijdig melden bij de bevoegde autoriteiten
• Bestuurders persoonlijk verantwoordelijk houden voor de naleving van deze verplichtingen

In Nederland wordt NIS2 omgezet in de Cyberbeveiligingswet, die naar verwachting in het tweede kwartaal van 2026 van kracht wordt. Organisaties die onder deze wet vallen, moeten dan kunnen aantonen dat zij hun leveranciersbeveiliging serieus nemen. Daarbij geldt: ook als jouw organisatie zelf niet direct onder NIS2 valt, maar wel levert aan partijen die dat doen, zul je aan hun beveiligingseisen moeten voldoen.

Wat zijn de grootste risico’s in een digitale toeleveringsketen?

De grootste risico’s in een digitale toeleveringsketen ontstaan doordat aanvallers bewust zoeken naar de zwakste schakel. Een leverancier met onvoldoende beveiliging kan fungeren als toegangspoort tot jouw netwerk, zonder dat jij daar direct zicht op hebt. Supply chain security is daarom zo complex: de aanval begint niet bij jou, maar de schade wel.

De meest voorkomende risico’s zijn:

• Gecompromitteerde softwareupdates: aanvallers plaatsen malware in legitieme updates van een leverancier, die vervolgens automatisch worden uitgerold bij alle klanten
• Onbeveiligde externe toegang: leveranciers die via VPN of remote desktop inloggen zonder sterke authenticatie vormen een open deur
• Gedeelde inloggegevens: wanneer leveranciers dezelfde credentials gebruiken voor meerdere klanten, verspreidt een lek zich razendsnel
• Onvoldoende contractuele afspraken: als beveiligingseisen niet zijn vastgelegd, weet je niet wat een leverancier wel of niet doet
• Gebrek aan zichtbaarheid: organisaties weten vaak niet precies welke derde partijen toegang hebben tot welke systemen

Wat dit extra gevaarlijk maakt, is dat een aanval via de keten lang onopgemerkt kan blijven. De aanvaller beweegt zich immers via een vertrouwde verbinding door jouw netwerk. Security binnen Microsoft 365 biedt technische maatregelen die helpen verdachte activiteiten te detecteren, ook wanneer die via een externe partij binnenkomen.

Hoe beoordeel je de beveiligingsstatus van een leverancier?

De beveiligingsstatus van een leverancier beoordeel je door een gestructureerde combinatie van documentatieanalyse, vragenlijsten en technische verificatie. Een eenmalige check is daarbij niet voldoende: leveranciersbeveiliging vereist periodieke herbeoordeling, omdat de situatie bij een leverancier voortdurend verandert.

Een praktische aanpak omvat de volgende stappen:

1. Stel een leveranciersregister op waarin je vastlegt welke partijen toegang hebben tot jouw systemen, data of netwerk, en in welke mate
2. Gebruik een beveiligingsvragenlijst gebaseerd op erkende frameworks zoals ISO 27001 of de NIS2-vereisten zelf
3. Vraag om certificeringen zoals ISO 27001, SOC 2 of vergelijkbare aantoonbare kwaliteitsstandaarden
4. Leg eisen contractueel vast met daarin minimale beveiligingsnormen, meldplichten bij incidenten en het recht op audit
5. Monitor doorlopend via periodieke gesprekken, rapportages of geautomatiseerde tooling die afwijkingen signaleert

Prioriteer leveranciers op basis van risico. Een partij die alleen facturen stuurt, vraagt een andere aanpak dan een beheerpartij die dagelijks in jouw Microsoft 365-omgeving werkt. Breng het risiconiveau van elke leverancier in kaart en stem de diepgang van de beoordeling daarop af.

Wat is het verschil tussen directe en indirecte ketenrisico’s?

Directe ketenrisico’s ontstaan bij leveranciers die rechtstreeks toegang hebben tot jouw systemen, netwerken of data. Indirecte ketenrisico’s ontstaan bij partijen die jouw leveranciers op hun beurt gebruiken, de zogeheten subleveranciers. Het onderscheid is cruciaal omdat indirecte risico’s vaak volledig buiten beeld blijven, terwijl ze dezelfde schade kunnen veroorzaken.

Een voorbeeld maakt dit concreet: jouw ICT-beheerder heeft toegang tot jouw netwerk (direct risico). Die beheerder maakt op zijn beurt gebruik van een monitoringtool van een derde partij (indirect risico). Als die tool wordt gecompromitteerd, heeft een aanvaller via twee schakels toch toegang tot jouw omgeving, zonder dat jij ooit een relatie had met die derde partij.

Onder NIS2 ben je als organisatie verantwoordelijk voor het in kaart brengen van beide categorieën. Dat betekent niet dat je elke subleverancier persoonlijk moet beoordelen, maar wel dat je van jouw directe leveranciers mag verwachten dat zij hun eigen keten beheersen. Leg dit vast in contracten: vraag leveranciers aantoonbaar te maken hoe zij hun eigen toeleveringsketen beveiligen.

Wat zijn de gevolgen van niet voldoen aan de NIS2-keteneisen?

Organisaties die niet voldoen aan de NIS2-keteneisen riskeren forse boetes, operationele verstoringen en persoonlijke aansprakelijkheid van bestuurders. De NIS2-richtlijn introduceert een handhavingsregime dat aanzienlijk strenger is dan de oorspronkelijke NIS1-richtlijn, met sancties die vergelijkbaar zijn met die van de AVG.

De gevolgen kunnen zijn:

• Bestuurlijke boetes tot 10 miljoen euro of 2% van de wereldwijde jaaromzet voor essentiële entiteiten
• Persoonlijke aansprakelijkheid van bestuurders die aantoonbaar hebben nagelaten de vereiste maatregelen te treffen
• Reputatieschade doordat toezichthouders handhavingsmaatregelen openbaar kunnen maken
• Operationele gevolgen zoals tijdelijke verboden om bepaalde diensten te verlenen
• Ketenschade: als een incident via jouw keten andere organisaties treft, vergroot dit de juridische en financiële blootstelling

Naast de juridische risico’s is er ook een praktisch gevaar: organisaties die hun ketenbeveiliging niet op orde hebben, lopen een reëel verhoogd risico op succesvolle cyberaanvallen. De reputatie- en continuïteitsschade van een incident is in de praktijk vaak groter dan de boete zelf.

Hoe begin je met een NIS2-conforme ketenbeveiligingsaanpak?

Begin met een nulmeting: breng in kaart welke leveranciers en derde partijen toegang hebben tot jouw systemen en data, en welk risico zij vertegenwoordigen. Zonder dit overzicht is elke volgende stap gebouwd op een onzeker fundament. Vanuit die inventarisatie werk je stapsgewijs naar een volledige ketenbeveiligingsaanpak.

Een praktische startaanpak ziet er als volgt uit:

1. Maak een leveranciersregister met alle partijen die toegang hebben tot jouw digitale omgeving
2. Classificeer leveranciers op risiconiveau op basis van toegangsrechten, dataverwerking en kritikaliteit
3. Stel minimale beveiligingseisen op die je contractueel vastlegt bij nieuwe en bestaande leveranciers
4. Voer een risicoanalyse uit die zowel directe als indirecte ketenrisico’s adresseert
5. Implementeer technische maatregelen zoals meervoudige authenticatie, least-privilege toegang en monitoring van externe verbindingen
6. Borg periodieke herbeoordeling zodat de aanpak meebeweegt met veranderingen in de keten

Vergeet ook de menselijke kant niet. Medewerkers die samenwerken met externe partijen moeten weten hoe zij verdachte activiteiten herkennen en melden. Bewustwordingsprogramma’s helpen om ketenbeveiliging niet alleen technisch, maar ook organisatorisch te verankeren.

Hoe Puur ICT helpt met ketenbeveiliging en NIS2

Als Microsoft 365-specialist en gecertificeerde ICT-dienstverlener helpen wij organisaties stap voor stap naar een NIS2-conforme aanpak voor ketenbeveiliging. We begrijpen dat dit voor veel directeuren en IT-managers een complexe opgave is, en we doorlopen dit traject graag samen met je, in begrijpelijke taal en zonder onnodig jargon.

Wat wij voor je kunnen doen:

• Nulmeting en risicoanalyse: we brengen jouw huidige beveiligingssituatie en leveranciersketen in kaart en identificeren de grootste risico’s
• Advies en implementatie: we adviseren over de juiste technische en organisatorische maatregelen binnen het Microsoft-ecosysteem, van toegangsbeheer tot monitoring
• Contractuele ondersteuning: we helpen bij het opstellen van beveiligingseisen voor leveranciers en het vastleggen van meldplichten
• Bestuurderstraining: we verzorgen trainingen waarmee bestuurders aantoonbaar voldoen aan de opleidingsplicht onder de Cyberbeveiligingswet
• Doorlopend beheer en rapportage: we monitoren de beveiligingsstatus van jouw omgeving en rapporteren proactief over risico’s en aanbevelingen

Wil je weten waar jouw organisatie nu staat op het gebied van ketenbeveiliging en NIS2-compliance? Neem contact op met Puur ICT voor een vrijblijvend gesprek. We helpen je graag verder, in kleine stappen en met een aanpak die past bij jouw organisatie.

Als je organisatie nog niets heeft geregeld voor NIS2, begin je het best met een eerlijke nulmeting: breng in kaart of je onder de richtlijn valt, welke verplichtingen voor jou gelden en waar de grootste gaten zitten. Dat klinkt overweldigend, maar de praktijk is overzichtelijker dan veel organisaties denken. In dit artikel beantwoorden we de meest gestelde vragen over NIS2, zodat je weet waar je staat en hoe je de eerste stap zet.

Welke organisaties vallen eigenlijk onder de NIS2-richtlijn?

De NIS2-richtlijn geldt voor organisaties in sectoren die als kritiek of belangrijk worden beschouwd voor de samenleving. In Nederland wordt NIS2 omgezet in de Cyberbeveiligingswet, die naar verwachting in het tweede kwartaal van 2026 in werking treedt. Of jouw organisatie onder de wet valt, hangt af van je sector en je omvang.

De richtlijn maakt onderscheid tussen twee categorieën:

• Essentiële entiteiten: grote organisaties in sectoren zoals energie, transport, gezondheidszorg, drinkwater en digitale infrastructuur.
• Belangrijke entiteiten: middelgrote organisaties in sectoren zoals ICT-dienstverlening, voedselproductie, logistiek, financiële dienstverlening en overheidsnabije instellingen.

Als vuistregel geldt: organisaties met meer dan 50 medewerkers of een jaaromzet boven de 10 miljoen euro in een aangewezen sector vallen hoogstwaarschijnlijk binnen de scope. Maar ook kleinere organisaties die onderdeel zijn van de toeleveringsketen van een NIS2-plichtige partij, kunnen te maken krijgen met contractuele eisen op het gebied van cybersecurity. Twijfel je of jouw organisatie in scope valt? Dan is dat op zichzelf al een signaal om actie te ondernemen.

Wat zijn de concrete verplichtingen die NIS2 oplegt?

NIS2 legt organisaties vier hoofdverplichtingen op: een zorgplicht voor risicobeheer, een meldplicht bij beveiligingsincidenten, een registratieplicht bij de bevoegde autoriteit, en een toezichtverplichting waarbij bestuurders persoonlijk aansprakelijk zijn voor naleving. Dit zijn geen papieren verplichtingen, maar actieve eisen die aantoonbaar moeten worden nageleefd.

Concreet betekent dit dat je als organisatie onder andere het volgende moet regelen:

• Een actuele risicoanalyse van je digitale omgeving
• Technische en organisatorische maatregelen zoals multifactorauthenticatie, encryptie en patchbeheer
• Een incident response plan waarmee je snel kunt handelen bij een cyberaanval of datalek
• Ketenbeveiliging: aantoonbaar toezicht op de cybersecurity van leveranciers en partners
• Bewustwording en aantoonbare training van bestuurders en medewerkers
• Tijdige melding van significante incidenten bij de bevoegde autoriteit, doorgaans binnen 24 uur voor een eerste melding

Wat NIS2 onderscheidt van eerdere wetgeving, is de nadruk op bestuurlijke verantwoordelijkheid. Bestuurders kunnen persoonlijk aansprakelijk worden gesteld als blijkt dat zij onvoldoende toezicht hebben gehouden op de cyberweerbaarheid van hun organisatie. Dat maakt NIS2-compliance niet alleen een IT-vraagstuk, maar een strategische prioriteit.

Hoe voer je een nulmeting uit voor NIS2?

Een NIS2-nulmeting breng je in kaart door je huidige beveiligingssituatie te toetsen aan de verplichtingen uit de richtlijn. Je kijkt daarbij naar drie lagen: technische maatregelen, organisatorische processen en bestuurlijk bewustzijn. Het resultaat is een helder beeld van wat al geregeld is en waar de prioriteiten liggen.

Een praktische aanpak voor de nulmeting ziet er als volgt uit:

1. Bepaal of je in scope bent: Controleer aan de hand van je sector en omvang of je als essentiële of belangrijke entiteit kwalificeert.
2. Inventariseer je huidige maatregelen: Welke technische beveiligingsmaatregelen zijn al actief? Denk aan firewalls, toegangsbeheer, back-ups en monitoring.
3. Beoordeel je processen: Zijn er gedocumenteerde procedures voor incidentrespons, patchbeheer en leveranciersbeheer?
4. Toets bestuurlijk bewustzijn: Begrijpen bestuurders en het MT hun rol en aansprakelijkheid onder de Cyberbeveiligingswet?
5. Stel een prioriteitenlijst op: Welke gaten zijn het meest urgent om te dichten, gezien de risico’s en de verwachte inwerkingtreding van de wet?

Een nulmeting hoeft niet perfect te zijn om waardevol te zijn. Zelfs een globale inventarisatie geeft je genoeg inzicht om gerichte keuzes te maken en een realistisch stappenplan op te stellen.

Waar begin je als de achterstand groot is?

Als je achterstand groot is, begin je met de maatregelen die het meeste risico wegnemen en tegelijkertijd de basis vormen voor verdere compliance. Dat zijn doorgaans: sterke toegangsbeveiliging, een werkend back-upsysteem en een basisproces voor incidentmelding. Daarna bouw je stap voor stap verder.

Een grote achterstand voelt ontmoedigend, maar NIS2 vraagt geen perfectie op dag één. Wat het wel vraagt, is aantoonbare voortgang en een serieuze aanpak. De volgende prioritering helpt je om gestructureerd te beginnen:

• Stap 1 – Zet de basis op orde: Multifactorauthenticatie, sterk wachtwoordbeleid en actuele software-updates zijn laaghangend fruit met grote impact.
• Stap 2 – Regel je back-ups en herstelplan: Zorg dat je kritieke data regelmatig wordt geback-upt en dat je weet hoe je systemen herstelt na een incident.
• Stap 3 – Documenteer wat je doet: NIS2 vereist aantoonbaarheid. Leg maatregelen, besluiten en incidenten schriftelijk vast.
• Stap 4 – Train je bestuur: Bestuurders moeten aantoonbaar kennis hebben van cyberrisico’s. Plan een training in voordat de wet van kracht is.
• Stap 5 – Betrek je leveranciers: Breng in kaart welke partijen toegang hebben tot jouw systemen en stel minimale beveiligingseisen.

Kleine stappen in begrijpelijke taal zijn effectiever dan een groot project dat strandt op complexiteit. Prioriteer op risico, niet op volledigheid.

Welke rol speelt de IT-partner bij NIS2-compliance?

Een IT-partner speelt een centrale rol bij NIS2-compliance door technische maatregelen te implementeren, je beveiligingssituatie te monitoren en je te begeleiden bij het aantoonbaar voldoen aan de verplichtingen. Omdat NIS2 zowel technische als organisatorische eisen stelt, is een partner die beide domeinen begrijpt van grote waarde.

Concreet kan een IT-partner je ondersteunen bij:

• Het uitvoeren van een nulmeting en het opstellen van een NIS2-stappenplan
• De technische implementatie van beveiligingsmaatregelen binnen je bestaande infrastructuur
• Het inrichten van monitoring en alerting, zodat incidenten snel worden gesignaleerd
• Het documenteren van maatregelen en processen voor aantoonbaarheid richting toezichthouders
• Bestuurders- en medewerkerstrainingen om bewustwording te borgen

Belangrijk aandachtspunt: je IT-partner valt zelf ook onder de NIS2-richtlijn als ICT-dienstverlener. Dat betekent dat een goede partner niet alleen jouw compliance ondersteunt, maar ook zelf aantoonbaar voldoet aan de eisen. Vraag daar actief naar. Een partner die ICT-beheer en ondersteuning biedt en zelf NIS2-compliant is, geeft je extra zekerheid over de veiligheid van je keten.

Wat gebeurt er als je niet voldoet aan NIS2?

Als je niet voldoet aan de NIS2-verplichtingen, riskeer je bestuurlijke boetes, aanwijzingen van de toezichthouder en in ernstige gevallen persoonlijke aansprakelijkheid van bestuurders. De hoogte van de boetes verschilt per categorie: voor essentiële entiteiten kan dit oplopen tot 10 miljoen euro of 2% van de wereldwijde jaaromzet, voor belangrijke entiteiten tot 7 miljoen euro of 1,4% van de omzet.

Naast financiële sancties zijn er nog andere consequenties om rekening mee te houden:

• Reputatieschade: Toezichthouders kunnen besluiten overtredingen openbaar te maken, wat directe gevolgen heeft voor klantvertrouwen en marktpositie.
• Operationele maatregelen: De toezichthouder kan organisaties verplichten om specifieke maatregelen te treffen binnen een vastgestelde termijn.
• Persoonlijke aansprakelijkheid: Bestuurders kunnen individueel aansprakelijk worden gesteld als zij aantoonbaar hebben nagelaten toezicht te houden op cybersecurity.
• Ketenrisico: Klanten en opdrachtgevers die zelf NIS2-plichtig zijn, kunnen eisen dat jij als leverancier aantoonbaar voldoet. Doe je dat niet, dan loop je het risico contracten te verliezen.

De kern van de boodschap is: niet voldoen aan de cybersecuritywetgeving is geen administratief risico, maar een strategisch risico dat raakt aan continuïteit, reputatie en bestuurlijke controle tegelijk.

Hoe Puur ICT helpt met NIS2-compliance

Wij begrijpen dat NIS2 voor veel organisaties een complexe opgave is, zeker als je nog weinig hebt geregeld. Als Microsoft 365-specialist en ISO 9001-gecertificeerde ICT-dienstverlener helpen wij je stap voor stap naar aantoonbare naleving, in begrijpelijke taal en met een persoonlijke aanpak.

Wat wij voor je doen:

• Nulmeting (Digicheck): We brengen je huidige beveiligingssituatie in kaart en bepalen samen waar de prioriteiten liggen.
• Technische implementatie: We implementeren de juiste beveiligingsmaatregelen binnen het Microsoft-ecosysteem, van toegangsbeheer en monitoring tot ketenbeveiliging.
• Bestuurderstraining: We verzorgen een interactieve training voor bestuurders en MT, zodat zij aantoonbaar voldoen aan de opleidingsplicht uit de Cyberbeveiligingswet.
• Doorlopend beheer en rapportage: Na implementatie blijven we actief betrokken als vertrouwde partner die proactief meedenkt en je op de hoogte houdt van relevante ontwikkelingen.
• Documentatie en aantoonbaarheid: We helpen je de juiste processen en bewijslast op te bouwen, zodat je bij een toezichtcontrole kunt aantonen wat je hebt gedaan en waarom.

Je hoeft NIS2 niet alleen op te lossen. Neem contact op met Puur ICT en ontdek hoe wij jouw organisatie op een pragmatische manier naar volledige compliance begeleiden.

NIS2-compliance kost een middelgrote organisatie gemiddeld tussen de 20.000 en 80.000 euro in het eerste jaar, afhankelijk van de huidige volwassenheid van de beveiliging, de omvang van de organisatie en de sector. Structurele jaarlijkse kosten voor beheer en monitoring liggen daarna doorgaans tussen de 10.000 en 30.000 euro. In dit artikel beantwoorden we de meest gestelde vragen over NIS2-compliancekosten, zodat je als beslisser een realistisch budget kunt bepalen.

Welke kostenposten vallen onder NIS2-compliance?

De NIS2-compliancekosten bestaan uit meerdere categorieën: technische maatregelen, organisatorische ingrepen, training en opleiding, en doorlopend beheer. Samen vormen deze posten het totaalplaatje dat een organisatie moet meenemen bij het bepalen van het benodigde budget voor NIS2-implementatie.

De voornaamste kostenposten zijn:

• Nulmeting en gap-analyse: Voordat je iets kunt aanpakken, breng je in kaart waar je nu staat. Een professionele nulmeting kost doorgaans enkele duizenden euro’s, maar vormt de basis voor alle vervolgstappen.
• Technische maatregelen: Denk aan security-oplossingen binnen je IT-omgeving, zoals multifactorauthenticatie, encryptie, netwerkmonitoring en patchmanagement. Dit is vaak de grootste kostenpost.
• Risicobeheer en documentatie: Het opstellen van risicoanalyses, een incident response plan en beleidsdocumenten kost intern tijd of extern advies.
• Bestuurderstraining en cyber awareness: De Cyberbeveiligingswet verplicht bestuurders aantoonbaar kennis te hebben van cyberrisico’s. Training en bewustwordingsprogramma’s zijn dus geen optie, maar een verplichting.
• Ketenbeveiliging: Je moet ook aantonen dat leveranciers en partners aan voldoende beveiligingseisen voldoen. Dit vraagt om contractuele aanpassingen en soms aanvullende audits.
• Doorlopend beheer en monitoring: Compliance is geen eenmalig project. Structurele monitoring, periodieke evaluaties en actualisering van maatregelen zijn terugkerende kosten.

Hoeveel budget moet een middelgrote organisatie reserveren?

Een middelgrote organisatie met 100 tot 600 werkplekken reserveert voor het eerste jaar realistisch gezien 30.000 tot 80.000 euro voor NIS2-implementatie. Organisaties die al investeerden in basisbeveiliging kunnen aan de onderkant van dit bereik uitkomen; organisaties die vrijwel vanaf nul beginnen, zitten dichter bij of boven het hogere bedrag.

Na het eerste jaar dalen de kosten aanzienlijk, omdat de eenmalige investeringen in techniek en documentatie zijn gedaan. Jaarlijkse beheerskosten voor monitoring, updates en trainingen liggen voor deze groep doorgaans tussen de 10.000 en 30.000 euro.

Het is belangrijk om dit budget niet te zien als een kostenpost, maar als een investering in continuïteit. De kosten van een beveiligingsincident, inclusief herstel, reputatieschade en mogelijke boetes, overtreffen de compliancekosten in vrijwel alle gevallen ruimschoots.

Wat bepaalt of de kosten hoger of lager uitvallen?

De uiteindelijke NIS2-compliancekosten voor een middelgrote organisatie worden bepaald door vier factoren: de huidige beveiligingsvolwassenheid, de sector, de complexiteit van de IT-omgeving en de mate waarin externe expertise nodig is.

Concreet geldt:

• Huidige volwassenheid: Wie al beschikt over een moderne, goed beheerde IT-omgeving met actuele beveiligingsmaatregelen, hoeft minder te investeren dan een organisatie die nog werkt met verouderde systemen en geen geformaliseerd beveiligingsbeleid heeft.
• Sector en classificatie: Essentiële entiteiten (zoals zorg, energie en transport) vallen onder strengere eisen dan belangrijke entiteiten. Hoe hoger de classificatie, hoe uitgebreider de vereiste maatregelen.
• Complexiteit van de IT-omgeving: Een organisatie met veel legacy-systemen, meerdere locaties of complexe ketens heeft meer werk aan integratie en documentatie.
• Intern vs. extern: Organisaties met een sterke interne IT-afdeling kunnen een deel van de werkzaamheden zelf uitvoeren. Wie afhankelijk is van externe partijen, betaalt meer aan advies en implementatie.

Welke NIS2-maatregelen kan een organisatie zelf uitvoeren?

Een deel van de NIS2-maatregelen is goed intern uit te voeren, mits er voldoende kennis en capaciteit aanwezig is. Zelfuitvoering verlaagt de kosten, maar vraagt wel om discipline en aantoonbaarheid.

Maatregelen die organisaties doorgaans zelf kunnen oppakken:

• Het opstellen en bijhouden van een risicoregister
• Het formuleren van beveiligingsbeleid en procedures
• Het organiseren van interne awareness-sessies voor medewerkers
• Het doorvoeren van basismaatregelen zoals sterk wachtwoordbeleid en toegangsbeheer
• Het bijhouden van een incidentenlogboek

Maatregelen waarvoor je doorgaans externe expertise nodig hebt:

• Technische beveiligingsaudits en penetratietests
• Implementatie van geavanceerde monitoring- en detectieoplossingen
• Juridische beoordeling van leverancierscontracten en verwerkersovereenkomsten
• Bestuurderstraining die voldoet aan de aantoonbaarheidseisen van de Cyberbeveiligingswet

Wat zijn de financiële risico’s van niet-naleving?

Organisaties die niet voldoen aan de NIS2-verplichtingen riskeren aanzienlijke boetes: voor essentiële entiteiten tot 10 miljoen euro of 2% van de wereldwijde jaaromzet, voor belangrijke entiteiten tot 7 miljoen euro of 1,4% van de omzet. Bovendien worden bestuurders persoonlijk aansprakelijk gesteld voor aantoonbare nalatigheid.

Naast directe boetes zijn er indirecte financiële risico’s die minstens zo zwaar kunnen wegen:

• Herstelkosten na een incident: Een cyberaanval of datalek leidt tot directe herstelkosten, juridische kosten en mogelijke schadevergoedingen aan derden.
• Reputatieschade: Klanten en partners die ontdekken dat een organisatie niet aan de NIS2-eisen voldoet, kunnen contracten beëindigen of nieuwe samenwerking weigeren.
• Operationele uitval: Zonder adequate beveiligingsmaatregelen is de kans op verstoring van bedrijfsprocessen groter. Uitval kost geld, klanten en vertrouwen.
• Uitsluiting van aanbestedingen: Opdrachtgevers, zeker in de publieke sector, stellen NIS2-compliance steeds vaker als voorwaarde voor samenwerking.

De conclusie is helder: de kosten van niet-naleving overtreffen de investering in compliance in vrijwel elk scenario.

Hoe verlaag je de totale NIS2-compliancekosten?

De totale NIS2-compliancekosten zijn te verlagen door slim te prioriteren, bestaande technologie optimaal te benutten en compliance te integreren in bredere IT-beheertrajecten. Wie NIS2 behandelt als een losstaand project, betaalt meer dan nodig.

Praktische manieren om kosten te beheersen:

• Start met een nulmeting: Een goede gap-analyse voorkomt dat je investeert in maatregelen die je al hebt of die niet prioritair zijn.
• Benut bestaande Microsoft 365-functionaliteit: Veel organisaties beschikken al over beveiligingsfuncties die ze niet volledig inzetten. Denk aan Microsoft Defender, Conditional Access en Purview. Een gestructureerde aanpak van je Microsoft-modules kan al een groot deel van de technische NIS2-eisen afdekken.
• Combineer trainingen: Bestuurderstraining en medewerkersbewustwording zijn efficiënter als ze tegelijk worden opgepakt, in plaats van als losse trajecten.
• Kies een partner die ontzorgt: Eén partij die advies, implementatie en beheer combineert, is goedkoper dan meerdere losse leveranciers te coördineren.
• Plan voor de lange termijn: Wie compliance inbouwt in doorlopend ICT-beheer en ondersteuning, vermijdt dure ad-hoc-ingrepen achteraf.

Hoe Puur ICT helpt met NIS2-compliance

Wij begrijpen dat NIS2-compliance voor veel organisaties een complexe en kostbare opgave lijkt. Als Microsoft 365-specialist en gecertificeerde ICT-dienstverlener helpen wij je stap voor stap naar aantoonbare naleving, zonder dat je losse leveranciers hoeft te coördineren. Wat we concreet voor je doen:

• Nulmeting en gap-analyse: We brengen je huidige beveiligingssituatie in kaart en bepalen precies welke stappen nodig zijn, zodat je niet investeert in wat je al hebt.
• Technische implementatie: We zetten de juiste beveiligingsmaatregelen in binnen het Microsoft-ecosysteem, van multifactorauthenticatie tot geavanceerde monitoring.
• Bestuurderstraining en cyber awareness: We verzorgen de verplichte bestuurderstraining inclusief Digicheck, seminar, e-learning en phishingcampagne, zodat je aantoonbaar voldoet aan de opleidingsplicht van de Cyberbeveiligingswet.
• Doorlopend beheer en rapportage: We monitoren, actualiseren en rapporteren structureel, zodat compliance geen eenmalig project is maar een geborgd onderdeel van je bedrijfsvoering.

Wil je weten wat NIS2-compliance concreet kost voor jouw organisatie en waar de grootste risico’s zitten? Neem contact op met Puur ICT voor een vrijblijvend gesprek.

Ja, de NIS2-richtlijn kan ook gelden voor organisaties die formeel buiten de directe scope vallen. Dit komt doordat NIS2-plichtige organisaties verplicht zijn hun gehele toeleveringsketen te beveiligen, waardoor indirecte verplichtingen ontstaan voor leveranciers en partners. In dit artikel beantwoorden we de meest gestelde vragen over indirecte NIS2-verplichtingen, wat dit betekent voor jouw organisatie en hoe je praktisch aan de slag gaat.

Hoe bepaal je of jouw organisatie indirect onder NIS2 valt?

Je organisatie valt indirect onder de NIS2-scope als je producten of diensten levert aan organisaties die wél direct NIS2-plichtig zijn. De NIS2-richtlijn verplicht essentiële en belangrijke entiteiten namelijk om risico’s in hun leveranciersketen te beheersen, wat betekent dat zij eisen stellen aan de beveiliging van hun toeleveranciers. Indirecte NIS2-verplichtingen vloeien dus voort uit contractuele en operationele afhankelijkheden.

Stel jezelf de volgende vragen om te bepalen of dit op jouw organisatie van toepassing is:

• Lever je diensten of producten aan organisaties in sectoren zoals energie, zorg, transport, financiële dienstverlening of ICT?
• Heb je toegang tot systemen, netwerken of gevoelige data van klanten die onder NIS2 vallen?
• Ben je als ICT-dienstverlener, softwareleverancier of onderhoudsbedrijf onderdeel van een kritisch bedrijfsproces bij een klant?
• Verwerkt of beheert jouw organisatie gegevens die essentieel zijn voor de continuïteit van een NIS2-plichtige partij?

Als je één of meer van deze vragen met “ja” beantwoordt, is de kans groot dat jouw klanten al eisen aan je stellen of dat binnenkort zullen doen. De beveiliging van digitale omgevingen wordt daarmee niet alleen een interne keuze, maar een externe verwachting vanuit de markt.

Wat zijn de gevolgen als een toeleverancier niet aan NIS2 voldoet?

Als een toeleverancier niet voldoet aan de beveiligingseisen die NIS2-plichtige klanten stellen, riskeer je het verlies van contracten, uitsluiting van aanbestedingen en reputatieschade. NIS2-plichtige organisaties zijn wettelijk verplicht om hun ketenbeveiliging aantoonbaar te borgen en mogen leveranciers die onvoldoende beveiliging bieden niet langer inzetten voor kritieke processen.

De praktische gevolgen kunnen ingrijpend zijn:

• Contractbeëindiging: Klanten mogen leveranciers die niet aan hun beveiligingseisen voldoen van hun leverancierslijst verwijderen.
• Aansprakelijkheid: Als een incident bij jou leidt tot schade bij een NIS2-plichtige klant, kan die klant jou aansprakelijk stellen voor de gevolgen.
• Uitsluiting bij aanbestedingen: Overheids- en semipublieke opdrachtgevers nemen cybersecurity-eisen steeds vaker op als selectiecriterium.
• Indirecte boetes: Hoewel de boetes direct bij de NIS2-plichtige organisatie terechtkomen, kan een leverancier via contractuele bepalingen alsnog financieel aansprakelijk worden gesteld.

Het risico zit dus niet alleen in directe handhaving, maar ook in de commerciële en juridische gevolgen van het niet voldoen aan de verwachtingen van jouw klanten.

Welke beveiligingsmaatregelen verwachten NIS2-plichtige klanten van hun leveranciers?

NIS2-plichtige klanten verwachten van hun leveranciers aantoonbare maatregelen op het gebied van risicobeheersing, toegangsbeveiliging, incidentrespons en continuïteit. De exacte eisen variëren per klant en sector, maar er zijn duidelijke gemeenschappelijke verwachtingen die steeds vaker contractueel worden vastgelegd.

De meest gevraagde maatregelen zijn:

• Risicoanalyse: Een actueel overzicht van de risico’s die jouw dienstverlening met zich meebrengt voor de klant.
• Toegangsbeheer: Strikte controle over wie toegang heeft tot systemen en data, inclusief multifactorauthenticatie en het principe van minimale rechten.
• Encryptie: Versleuteling van data in transit en in rust, zodat gevoelige informatie beschermd blijft.
• Incidentmelding: Duidelijke afspraken over hoe en wanneer je een beveiligingsincident meldt aan de klant.
• Continuïteitsplan: Een aantoonbaar plan voor herstel bij uitval of een cyberaanval.
• Bewustwording en training: Medewerkers die weten hoe ze phishing en andere dreigingen herkennen.

Klanten leggen deze eisen steeds vaker vast in verwerkersovereenkomsten of specifieke leveranciersbeoordelingen. Het is verstandig om proactief met jouw klanten in gesprek te gaan over hun verwachtingen, zodat je niet voor verrassingen komt te staan.

Hoe verschilt de aanpak voor organisaties die wél in scope vallen?

Organisaties die direct onder de NIS2-scope vallen, hebben wettelijke verplichtingen met bijbehorende handhaving, terwijl organisaties buiten de directe scope alleen indirecte, contractueel gedreven verplichtingen hebben. Het verschil zit niet zozeer in de maatregelen zelf, maar in de juridische basis, de toezichthouder en de consequenties bij niet-naleving.

Voor organisaties die wél direct in scope vallen, gelden onder de Nederlandse Cyberbeveiligingswet, die naar verwachting in het tweede kwartaal van 2026 in werking treedt, de volgende concrete verplichtingen:

• Registratieplicht bij de bevoegde nationale autoriteit.
• Verplichte melding van significante incidenten binnen 24 uur na ontdekking.
• Een aantoonbaar risicomanagementproces dat periodiek wordt geëvalueerd.
• Persoonlijke aansprakelijkheid van bestuurders voor naleving van de zorgplicht.
• Verplichte bestuurderstraining om kennis en vaardigheden op het gebied van cyberbeveiliging aantoonbaar te borgen.

Voor organisaties buiten de directe scope ontbreken deze formele verplichtingen, maar de praktische beveiligingsmaatregelen die klanten vragen zijn grotendeels vergelijkbaar. Het grote verschil is dat je bij directe scope te maken hebt met toezichthouders en boetes, terwijl je bij indirecte scope te maken hebt met marktdruk en contractuele eisen.

Wanneer is het verstandig om NIS2-maatregelen toch door te voeren?

Het is verstandig om NIS2-maatregelen door te voeren als je levert aan NIS2-plichtige organisaties, werkt met gevoelige of kritieke data, of als je organisatie sterk digitaal afhankelijk is. Zelfs zonder directe wettelijke verplichting bieden de maatregelen uit de NIS2-richtlijn een solide basis voor digitale weerbaarheid die elke organisatie ten goede komt.

Er zijn een aantal situaties waarin het doorvoeren van NIS2-maatregelen bijzonder verstandig is:

• Je wil groeien in de markt: Organisaties die aantoonbaar veilig werken, onderscheiden zich positief bij aanbestedingen en in commerciële gesprekken.
• Je werkt met persoonsgegevens of bedrijfskritieke informatie: De AVG en andere wetgeving stellen al eisen aan beveiliging; NIS2-maatregelen versterken deze naleving.
• Je wil continuïteitsrisico’s beperken: Cyberaanvallen zijn voor elke organisatie een reëel risico. Een goed ingerichte beveiliging beperkt de kans op uitval en de schade bij een incident.
• Je klanten vragen er expliciet om: Als klanten al beveiligingseisen stellen of dat binnenkort wordt verwacht, is proactief handelen efficiënter dan reactief aanpassen.

Cyberbeveiliging en NIS2 zijn geen doel op zich, maar een middel om de continuïteit, reputatie en grip op je digitale omgeving te borgen. Dat zijn belangen die voor elke organisatie relevant zijn, ongeacht de formele scope.

Hoe begin je met NIS2-voorbereiding als je buiten de directe scope valt?

Begin met een nulmeting van je huidige beveiligingssituatie, zodat je weet waar de grootste risico’s en lacunes zitten. Vanuit die basis kun je prioriteiten stellen en stap voor stap de maatregelen doorvoeren die het meest relevant zijn voor jouw organisatie en klanten. Je hoeft niet alles tegelijk aan te pakken; een gestructureerde aanpak in kleine stappen is effectiever dan een alles-of-niets benadering.

Een praktische aanpak ziet er als volgt uit:

1. Breng je digitale omgeving in kaart: Welke systemen, applicaties en data zijn kritiek voor jouw bedrijfsvoering en voor je klanten?
2. Voer een risicoanalyse uit: Wat zijn de meest waarschijnlijke dreigingen en wat is de impact als het misgaat?
3. Stel basismaatregelen in: Denk aan multifactorauthenticatie, patchbeheer, back-ups en toegangsbeheer. Veel hiervan is al beschikbaar binnen platforms zoals Microsoft 365.
4. Documenteer je maatregelen: Zorg dat je aantoonbaar kunt maken wat je doet en waarom. Dit is essentieel als klanten om bewijs vragen.
5. Train je medewerkers: Bewustwording is een van de meest effectieve beveiligingsmaatregelen. Zorg dat iedereen weet hoe phishing en andere dreigingen eruitzien.
6. Maak afspraken over incidentrespons: Wat doe je als er toch iets misgaat? Een helder plan voorkomt paniek en beperkt schade.

Een goede start hoeft niet complex of kostbaar te zijn. De beschikbare modules en diensten voor ICT-beheer en beveiliging bieden vaak al een stevige basis waarop je verder kunt bouwen.

Hoe Puur ICT helpt met NIS2-voorbereiding

Of je nu direct onder de NIS2-scope valt of indirect via je klanten te maken krijgt met beveiligingseisen, wij helpen je stap voor stap naar een aantoonbaar veilige digitale omgeving. Als Microsoft 365-specialist en gecertificeerde ICT-dienstverlener combineren we technische expertise met een pragmatische aanpak in begrijpelijke taal.

Dit is wat wij voor je doen:

• Nulmeting en risicoanalyse: We brengen je huidige beveiligingssituatie in kaart en bepalen samen waar de prioriteiten liggen.
• Technische implementatie: Van toegangsbeheer en encryptie tot incidentrespons, we implementeren de juiste maatregelen binnen het Microsoft-ecosysteem.
• Bestuurderstraining en cyber awareness: We maken bestuurders en medewerkers handelingsbekwaam, zodat beveiliging geen papieren exercitie blijft, maar een levend onderdeel van de organisatie.
• Doorlopend beheer en rapportage: We monitoren, beheren en rapporteren proactief, zodat je altijd inzicht hebt in je beveiligingsstatus.
• Één aanspreekpunt: Geen losse leveranciers te coördineren, maar één partner die volledig ontzorgt van advies tot beheer.

Wil je weten waar jouw organisatie nu staat en wat de volgende stap is? Neem contact op met Puur ICT voor een vrijblijvend gesprek. We denken graag met je mee, in kleine stappen en zonder onnodig jargon.