NIS2-checklist: wat moet je als MKB'er regelen?
Registreren, zorgplicht, meldplicht en een bestuur dat meetekent
Valt je organisatie onder de Cyberbeveiligingswet? Dan gelden vier verplichtingen. Deze checklist zet ze op een rij, in begrijpelijke taal.
Door Vincent Barink · bijgewerkt op 4 oktober 2026
De vier verplichtingen
| Verplichting | Wat het inhoudt |
|---|---|
| Registreren | Je organisatie aanmelden in het nationaal entiteitenregister van het NCSC, via mijn.ncsc.nl |
| Zorgplicht | Passende en evenredige maatregelen nemen om de risico's voor je netwerk- en informatiesystemen te beheersen |
| Meldplicht | Significante incidenten melden bij je CSIRT en toezichthouder: binnen 24 uur een eerste waarschuwing |
| Bestuur | Het bestuur keurt de maatregelen goed, houdt toezicht en volgt passende training |
De zorgplicht: tien onderwerpen
De NIS2-richtlijn (artikel 21) noemt tien onderwerpen waar je maatregelen voor moet hebben. Hoe ver je daarin gaat, hangt af van je risico's en je omvang.
| Onderwerp | In de praktijk bij het MKB |
|---|---|
| Risicoanalyse en beveiligingsbeleid | Weten wat je belangrijkste systemen en risico's zijn, en dat vastleggen |
| Incidentbehandeling | Een plan voor wat je doet bij een hack of storing, met rollen |
| Bedrijfscontinuïteit | Geteste back-ups, een herstelplan en crisisbeheer |
| Beveiliging van de toeleveringsketen | Weten welke leveranciers toegang hebben en eisen aan hen stellen |
| Veilige aanschaf, ontwikkeling en onderhoud | Updates en patches op tijd, en kwetsbaarheden afhandelen |
| Effectiviteit toetsen | Regelmatig controleren of je maatregelen werken |
| Basishygiëne en training | Medewerkers trainen, bijvoorbeeld in het herkennen van phishing |
| Cryptografie | Versleuteling waar dat nodig is, zoals op laptops en verbindingen |
| Personeel, toegang en assets | Alleen de toegang die nodig is, en een actueel overzicht van apparaten en accounts |
| Multifactorauthenticatie | MFA en beveiligde communicatie waar dat passend is |
Waar begin je?
Stel vast of je eronder valt
Doe de NIS2 Quick Check of de officiële zelfevaluatie.
Registreer je bij het NCSC
Er is geen algemene overgangstermijn: de registratieplicht geldt sinds 15 augustus 2026.
Maak een nulmeting
Leg de tien onderwerpen naast wat je al hebt. Vaak is MFA, back-up en patchbeleid al een flink deel.
Leg het vast en laat het bestuur tekenen
Het bestuur moet de maatregelen goedkeuren en zelf voldoende kennis hebben.
Veelgestelde vragen
Toezichthouders kunnen boetes opleggen. Voor essentiële entiteiten kan dat oplopen tot € 10 miljoen of 2% van de wereldwijde jaaromzet, voor belangrijke entiteiten tot € 7 miljoen of 1,4%.
Ja. Bestuurders moeten voldoende kennis en vaardigheden hebben om cyberrisico's te herkennen en maatregelen te beoordelen, en passende training volgen.
Bronnen
NCSC: Cyberbeveiligingswet (NIS2)
NIS2-richtlijn (EU) 2022/2555, artikel 21
Clyde & Co: Dutch Cybersecurity Act enters into force on 15 August 2026
Dit artikel is een praktische uitleg en geen juridisch advies. Laat bij twijfel over je situatie een specialist meekijken.
Hulp nodig bij NIS2?
We helpen MKB-bedrijven met een praktische NIS2-scan en een verbeterplan.
Vraag een adviesgesprek aan Of mail direct: contact@cloudliftoff.nl