NIS2: geldt dat voor mij? Wat de cyberbeveiligingswet betekent voor kleine en middelgrote bedrijven

Heb je de afgelopen maanden een mail gekregen waarin „NIS2” vetgedrukt stond en het woord „boete” niet ver weg was? Haal even diep adem.

NIS2 is een EU-richtlijn voor meer cyberveiligheid. In Duitsland geldt ze sinds 6 december 2025 via het NIS2-Umsetzungsgesetz, de Duitse omzettingswet, die vooral het BSI-Gesetz (BSIG) heeft herschreven. Een overgangstermijn was er niet. Veel kleine bedrijven vragen zich sindsdien af: val ik eronder? Het eerlijke antwoord is voor de meesten: waarschijnlijk niet direct – maar misschien wel via hun klanten.

Wie er direct onder valt

De wet maakt onderscheid tussen „bijzonder belangrijke” en „belangrijke entiteiten”. Of jij daarbij hoort, hangt vooral van twee dingen af:

• Branche: Het gaat om bepaalde sectoren, zoals energie, transport, gezondheidszorg, water, digitale infrastructuur, IT-dienstverlening voor bedrijven, post en koeriers, afval, chemie, levensmiddelen, delen van de industrie en digitale aanbieders.
• Omvang: Meestal gaat het om middelgrote en grote bedrijven – grofweg vanaf 50 medewerkers of meer dan 10 miljoen euro jaaromzet en balanstotaal. Het BSI (het Duitse federale bureau voor informatiebeveiliging) beoordeelt de omvang volgens aanbeveling 2003/361/EG van de EU. Voor sommige diensten geldt de wet ongeacht de omvang.

Het BSI biedt online een vrijblijvende check aan of je eronder valt. Die vervangt geen juridisch advies, maar geeft je in een paar minuten een eerste richting.

Wat organisaties die eronder vallen moeten doen

• Registreren: uiterlijk drie maanden nadat je als betrokken geldt, via het gezamenlijke portaal van BSI en BBK (§ 33 BSIG).
• Voorzorg: passende maatregelen voor informatiebeveiliging doorvoeren – van noodplan en back-ups tot toegangscontrole (§ 30 BSIG).
• Melden: Ernstige beveiligingsincidenten worden in drie stappen bij het BSI gemeld (§ 32 BSIG).
• Directie betrekken: De bedrijfsleiding moet de maatregelen doorvoeren, de uitvoering bewaken en regelmatig trainingen volgen (§ 38 BSIG).

Hoeveel het er echt zijn

Tot en met 30 september 2026 hadden zich volgens het BSI (het Duitse federale bureau voor informatiebeveiliging) 20.141 organisaties geregistreerd: 6.837 bijzonder belangrijke en 13.252 belangrijke entiteiten, plus enkele bijzondere gevallen. In dezelfde periode kwamen er 1.272 eerste meldingen van beveiligingsincidenten binnen. Dat laat zien: het geldt voor veel bedrijven – maar lang niet voor elk bedrijf.

De indirecte weg: als je klant eronder valt

Hier wordt het interessant voor kleine bedrijven. Betrokken ondernemingen moeten ook de beveiliging van hun toeleveringsketen in de gaten houden. Lever je IT-diensten, software, onderhoud of onderdelen aan een betrokken onderneming, dan is de kans groot dat je klant vragen stelt of bewijs wil zien. Hebben jullie een noodplan? Hoe beveiligen jullie toegang? Zijn er back-ups die getest worden?

Dat is geen pesterij, maar de manier waarop de wet in de breedte doorwerkt. Wie deze vragen rustig en eerlijk kan beantwoorden, heeft een voordeel – ook bij nieuwe opdrachten.

Goede basisbeveiliging die altijd helpt

Of je er nu onder valt of niet: wat NIS2 eist, is in de kern verstandig huiswerk. Een noodplan op één pagina. Tweefactorauthenticatie voor e-mail en belangrijke accounts. Back-ups die apart staan en getest zijn. Updates die niet maandenlang blijven liggen. En een team dat weet wie het moet bellen als er iets raars is. Hoe dat met de back-ups werkt, lees je in De back-up die je echt redt.

Wat we in gesprekken het vaakst horen

„We zijn een ambachtelijk bedrijf met twaalf mensen. Vallen wij eronder?” In de regel niet. Ambachtsbedrijven horen meestal niet bij de betrokken sectoren, en de omvang ligt onder de drempels. Uitzonderingen zijn er bijvoorbeeld als jullie deel uitmaken van de energievoorziening.

„We zijn een klein IT-bedrijf.” Hier loont het om beter te kijken. Beheerde IT-diensten voor bedrijven zijn een betrokken sector. Of jullie eronder vallen, hangt dan vooral af van de omvang. En zelfs als dat niet zo is: jullie klanten gaan ernaar vragen.

„Onze klant wil een zelfverklaring. Wat schrijven we daarin?” De waarheid, in rustige woorden. Wat jullie al doen, wat jullie van plan zijn en wanneer. Niemand verwacht van een bedrijf met tien mensen de beveiligingsafdeling van een concern. Wel wordt verwacht dat jullie weten waar je risico's liggen en dat jullie eraan werken.

Wil je weten waar je staat? Het Auditmonster bekijkt samen met jou of NIS2 op jou van toepassing is en schrijft begrijpelijk op wat zinvol is. Voor noodplan, meldroutes en training is het Cybermonster er.

Let op: Dit artikel geeft een algemeen overzicht (stand: 22.10.2026) en is geen juridisch advies. Vraag voor jouw specifieke situatie een advocaat om raad.