Informatiebeveiliging · NIS2
De Europese NIS2-richtlijn legt essentiële en belangrijke entiteiten een zorgplicht en meldplicht op en maakt het bestuur verantwoordelijk. Via de keten raakt dat ook leveranciers in het MKB. Ritzky helpt u de impact te bepalen en de maatregelen te organiseren in een systeem dat werkt.
“NIS2 is wetgeving, geen norm.”
Herkenbaar?
De richtlijn zegt wat u moet bereiken, niet hoe.
De sectorlijst is lang en de criteria voor essentiële en belangrijke entiteiten zijn niet in één oogopslag duidelijk. Ook wie niet rechtstreeks onder de wet valt, krijgt via klanten met de eisen te maken.
Entiteiten moeten de beveiliging van hun toeleveringsketen beheersen. Leveranciers in het MKB krijgen daardoor contractuele eisen en vragenlijsten van klanten die onder NIS2 vallen.
NIS2 legt de verantwoordelijkheid voor de maatregelen bij het bestuur, inclusief toezicht en opleiding. Losse maatregelen zonder risicobeheer zijn dan niet genoeg.
Hoe Ritzky helpt
Wij vertalen de zorgplicht naar maatregelen die passen bij uw risico's en organiseren die in een managementsysteem, aantoonbaar voor klanten, toezichthouder en bestuur.
Voor wie
Valt uw organisatie onder NIS2, als essentiële of belangrijke entiteit, of indirect via klanten? Wij bepalen het op basis van sector, omvang en dienstverlening.
Wij toetsen uw huidige maatregelen aan de zorgplicht en brengen in kaart wat ontbreekt, van risicobeheer en incidentafhandeling tot ketenbeveiliging en cyberhygiëne.
De zorgplicht vraagt passende maatregelen op basis van risico's. Een ISMS volgens ISO 27001 is daarvoor de praktische route en levert een certificeerbaar systeem op.
Informatiebeveiligingsbeleid, procedures voor toegang, leveranciers en continuïteit, en een incidentproces dat de meldplicht binnen de wettelijke termijnen haalbaar maakt.
Basis-cyberhygiëne en training van medewerkers zijn onderdeel van de zorgplicht. Wij maken de afspraken concreet en controleerbaar.
Wij informeren het bestuur over verantwoordelijkheden en risico's en richten de rapportage zo in dat het bestuur kan sturen en toezicht houden.
Bepalen of en hoe NIS2 op uw organisatie van toepassing is, inclusief eisen die via klanten binnenkomen.
Huidige maatregelen toetsen aan zorgplicht en meldplicht; rapport met prioriteiten voor bestuur en management.
Plan van aanpak met maatregelen, verantwoordelijken en planning, afgestemd met uw ICT-partner.
Risicobeheer, beleid, procedures, incidentproces en leveranciersafspraken, waar mogelijk in uw bestaande managementsysteem.
Interne audit, rapportage aan het bestuur, actualisatie bij wijzigingen in wet, organisatie of dreigingen, en desgewenst ISO 27001-certificering.
Resultaat
U weet of en hoe NIS2 voor u geldt en waar u staat ten opzichte van de zorgplicht. Geen aannames, geen onnodige investeringen.
Maatregelen zijn gekoppeld aan risico's en vastgelegd in een systeem. Dat kunt u laten zien aan toezichthouder, klanten en bestuur.
Een werkend incidentproces waarmee u de meldplicht haalt, en een beveiliging waarop klanten onder NIS2 aantoonbaar kunnen vertrouwen.
Wat klanten zeggen
“Danny en Bert zijn praktisch ingesteld, oplossingsgericht en flexibel.”
NIS2 is de Europese richtlijn Network and Information Security Directive 2, de opvolger van de eerste NIS-richtlijn. De richtlijn is bedoeld om de cybersecurity en veerkracht van netwerk- en informatiesystemen binnen de Europese Unie te versterken. NIS2 legt verplichtingen op aan organisaties die essentiële of belangrijke diensten leveren: zij moeten passende beveiligingsmaatregelen implementeren en significante incidenten melden aan de nationale autoriteiten. Het doel is de bescherming van kritieke infrastructuur en digitale diensten te verbeteren en de samenwerking tussen EU-lidstaten te bevorderen.
NIS2 maakt onderscheid tussen essentiële entiteiten en belangrijke entiteiten, afhankelijk van sector en omvang; essentiële entiteiten vallen onder actiever toezicht. De richtlijn noemt onder meer de sectoren energie, transport, gezondheidszorg, drinkwater en afvalwaterbeheer, digitale infrastructuur, overheid, post, afvalbeheer, chemie, voedsel, maakindustrie en digitale dienstverleners. In de regel gaat het om middelgrote en grote organisaties; voor sommige diensten geldt de plicht ongeacht de omvang.
Daarnaast heeft NIS2 een keteneffect. Entiteiten moeten de beveiliging van hun toeleveringsketen beheersen en leggen daarom eisen op aan leveranciers. Zo komt NIS2 ook terecht bij ICT-dienstverleners, installateurs, onderhoudsbedrijven en andere toeleveranciers in het MKB die zelf niet onder de wet vallen.
Zorgplicht. Entiteiten moeten passende en evenredige technische, operationele en organisatorische maatregelen nemen om de risico’s voor hun netwerk- en informatiesystemen te beheersen. De richtlijn noemt onder meer: beleid voor risicoanalyse en beveiliging, incidentafhandeling, bedrijfscontinuïteit en back-up, beveiliging van de toeleveringsketen, beoordeling van de effectiviteit van maatregelen, basis-cyberhygiëne en training, cryptografie, toegangsbeveiliging en multifactorauthenticatie.
Meldplicht. Significante incidenten meldt u in stappen bij uw CSIRT en toezichthouder: een vroegtijdige waarschuwing binnen 24 uur, een melding binnen 72 uur en een eindverslag binnen een maand. Dat vereist een incidentproces dat vooraf is ingericht en geoefend.
Verantwoordelijkheid van het bestuur. Het bestuur moet de maatregelen goedkeuren, toezicht houden op de uitvoering en zelf opleiding volgen. Bestuurders kunnen aansprakelijk worden gesteld als de verplichtingen niet worden nagekomen.
In Nederland is NIS2 uitgewerkt in de Cyberbeveiligingswet (Cbw), die op 15 augustus 2026 in werking is getreden. De wet regelt onder meer welke organisaties onder de zorg- en meldplicht vallen, de registratie in het entiteitenregister van het NCSC en het toezicht per sector. Lees meer in De Cyberbeveiligingswet is van kracht. Of en hoe de wet voor u geldt, nemen wij mee in de impactanalyse.
NIS2 schrijft geen norm of certificaat voor, maar de zorgplicht komt neer op risicogestuurd beheer van informatiebeveiliging. Een ISMS volgens ISO 27001 dekt die eisen af: risicobeoordeling, beheersmaatregelen, incidentbeheer, leveranciersbeheer, bedrijfscontinuïteit en bewustwording, met interne audit en directiebeoordeling als bestuurlijke borging. Zorgaanbieders combineren dit met NEN 7510. Meer over onze aanpak leest u op de pagina Informatiebeveiliging.
FAQ
Ja. De Cyberbeveiligingswet, de Nederlandse uitwerking van NIS2, geldt sinds 15 augustus 2026. Organisaties stellen zelf vast of zij eronder vallen en moeten zich dan registreren in het entiteitenregister van het NCSC. Welke toezichthouder voor u geldt, hangt af van uw sector.
Nee, NIS2 schrijft geen certificaat voor. Een ISMS volgens ISO 27001 is wel een beproefde manier om de zorgplicht in te vullen en aantoonbaar te maken. Certificering is daarbij een keuze.
Dan krijgt u de eisen via uw klant: contractuele afspraken, vragenlijsten of audits. Wij vertalen die eisen naar maatregelen die passen bij uw rol in de keten, zonder meer te doen dan nodig is.
In een vrijblijvend gesprek bekijken wij wat uw organisatie nodig heeft, wat er al ligt en wat een realistische aanpak is. U weet daarna precies waar u aan toe bent.
