NIS2-stappenplan: zo pak je het aan

De Cyberbeveiligingswet, de Nederlandse invulling van NIS2, geldt sinds 15 augustus 2026 zonder overgangsperiode. Veel organisaties weten inmiddels dat ze iets moeten, maar niet waar ze beginnen. Dit is de volgorde die in de praktijk werkt.

1. Stel vast of je eronder valt

Kijk naar je sector en je omvang: 50 of meer medewerkers, of meer dan €10 miljoen jaaromzet én balanstotaal. Twijfel je, ga dan uit van "waarschijnlijk wel". Lees ook: NIS2: voor wie geldt het?

2. Registreer je

Organisaties die onder de wet vallen, moeten zichzelf registreren bij de toezichthouder. De plicht ligt bij jou, niet bij de overheid. Het NCSC wijst de weg naar de juiste toezichthouder voor jouw sector.

3. Laat het bestuur meedoen

Onder NIS2 is cybersecurity een bestuurstaak. Het bestuur keurt de maatregelen goed, houdt toezicht op de uitvoering en volgt zelf een training om de risico's te kunnen beoordelen. "Dat regelt IT wel" is geen verdediging meer.

4. Maak een nulmeting en een risicoanalyse

Breng in kaart welke systemen en gegevens het belangrijkst zijn, wat er mis kan gaan en wat je al hebt geregeld. Zo zie je waar de grootste gaten zitten en voorkom je dat je geld uitgeeft aan maatregelen die weinig opleveren.

5. Neem eerst de maatregelen die het meeste opleveren

• inloggen in twee stappen (MFA) voor iedereen
• back-ups die je ook echt hebt getest
• updates en beveiliging centraal geregeld op alle apparaten
• toegangsrechten op basis van wat iemand nodig heeft
• afspraken met je leveranciers over hun beveiliging
• training voor medewerkers, want de meeste incidenten beginnen met één klik

6. Richt een meldproces in

Bij een significant incident gelden harde termijnen: binnen 24 uur een eerste melding, binnen 72 uur een uitgebreidere melding en binnen een maand een eindrapport. Leg vast wie beslist, wie meldt en hoe je bereikbaar bent, ook in het weekend. Zonder draaiboek haal je die 24 uur niet.

7. Leg vast en blijf toetsen

Maatregelen die je niet kunt laten zien, tellen bij een toezichthouder niet mee. Houd beleid, besluiten, incidenten en verbeteringen bij op één plek en toets periodiek of alles nog werkt. NIS2 is geen project met een einddatum, maar een cyclus.

Mitchel Verweij · Medeoprichter van Leasa IT

Bestuurlijke ervaring in de zorg. Weet hoe governance, wet- en regelgeving en kwaliteit in de praktijk werken, en wat een bestuur nodig heeft om te sturen. LinkedIn