NIS2-toezicht krijgt vorm: kun jij deze 3 vragen over cyberrisico’s beantwoorden?
De Cyberbeveiligingswet is van kracht en het toezicht krijgt steeds meer vorm. Op 7 oktober legden het NCSC en vier toezichthouders vast hoe zij gaan samenwerken. Een goed moment om kritisch naar je eigen cyberrisico’s te kijken. Want hoe weet je eigenlijk of jouw organisatie voldoende grip heeft op de risico’s? Met drie praktische vragen kom je al een heel eind.
NIS2: van wetgeving naar toezicht in de praktijk
Sinds 15 augustus 2026 is de Cyberbeveiligingswet, de Nederlandse uitwerking van de Europese NIS2-richtlijn, officieel van kracht.
Op 7 oktober zetten het Nationaal Cyber Security Centrum (NCSC) en de toezichthouders RDI, ILT, ANVS en NVWA tijdens de ONE Conference hun handtekening onder nieuwe samenwerkingsafspraken. Daarin staat onder andere hoe zij informatie uitwisselen, hun werkzaamheden op elkaar afstemmen en samenwerken bij de uitvoering van de wet. Ook de toezichthouders onderling legden afspraken vast.
De afspraken gaan over de samenwerking tussen het NCSC en de toezichthouders, niet over nieuwe verplichtingen voor organisaties. Ze laten wel zien dat het toezicht steeds concreter wordt.
De vraag is dus niet langer alleen wat NIS2 van jouw organisatie vraagt, maar vooral hoe je daar in de praktijk invulling aan geeft.
Wat betekent dit voor jouw organisatie?
De Cyberbeveiligingswet raakt ruim 8.000 organisaties in Nederland die essentiële of belangrijke diensten leveren.
Op 14 augustus 2026 waren er volgens gepubliceerde NCSC-cijfers 2.942 registraties in het entiteitenregister. Wanneer ook de verbonden organisaties worden meegeteld, ging het om 4.144 organisaties. Naar schatting vallen in totaal 8.000 tot 10.000 organisaties onder de wet. Deze cijfers geven de situatie vlak voor de inwerkingtreding weer.
Organisaties die onder de wet vallen, krijgen te maken met drie verplichtingen:
Registratieplicht
Je organisatie registreert zich in het nationale entiteitenregister van het NCSC, via mijn.ncsc.nl.
Zorgplicht
Je neemt passende en evenredige maatregelen om cyberrisico’s te beheersen en incidenten te voorkomen of de gevolgen ervan te beperken.
Meldplicht
Significante incidenten meld je bij het aangewezen CSIRT en je toezichthouder. Binnen 24 uur nadat je kennis hebt gekregen van het incident volgt een vroegtijdige waarschuwing, binnen 72 uur een incidentmelding en binnen één maand na die melding een eindverslag. Is het incident dan nog niet afgehandeld, dan volgt een voortgangsverslag. Het eindverslag volgt binnen één maand na afhandeling.
Daarnaast heeft het bestuur een expliciete verantwoordelijkheid. Bestuurders moeten beveiligingsmaatregelen goedkeuren, toezicht houden op de uitvoering en zelf genoeg kennis hebben om cyberrisico’s te beoordelen. Dat vraagt om meer dan een beveiligingsbeleid op papier. Het vraagt om inzicht in de risico’s, duidelijke verantwoordelijkheden en de mogelijkheid om te beoordelen of maatregelen echt werken.
Grip op cyberrisico’s? Begin met deze 3 vragen
Beginnen met risicobeheer hoeft niet ingewikkeld te zijn.
Kies één cyberrisico met grote gevolgen voor jouw organisatie. Denk aan ransomware, het uitvallen van een belangrijke IT-dienst of een cyberincident bij een leverancier. Stel jezelf dan deze drie vragen.
1. Wie is verantwoordelijk voor dit risico?
Wie houdt het risico in de gaten? Wie bepaalt welke maatregelen nodig zijn? En wie neemt een beslissing als het risico groter blijkt dan verwacht? Een IT-afdeling kan maatregelen uitvoeren. Daarmee is nog niet duidelijk wie eigenaar is van het bedrijfsrisico.
Praktische check: kun je één verantwoordelijke aanwijzen die het risico begrijpt, de voortgang bewaakt en hierover rapporteert?
2. Welke maatregelen hebben we genomen?
Misschien gebruikt jouw organisatie multifactorauthenticatie, maakt ze back-ups en is er een incidentresponsplan. Dat is een goed begin. Maar sluiten deze maatregelen aan op de belangrijkste risico’s? En zijn ze overal ingevoerd waar dat nodig is?
Praktische check: kun je per belangrijk risico aangeven welke maatregelen er zijn en welke kwetsbaarheden nog aandacht vragen?
3. Hoe weten we dat die maatregelen werken?
Dit is misschien wel de belangrijkste vraag. Een back-up hebben is niet hetzelfde als weten dat je systemen binnen de gewenste tijd kunt herstellen. En een incidentresponsplan op papier betekent niet dat medewerkers bij een incident weten wat ze moeten doen. Daarom zijn controles, tests en evaluaties zo belangrijk.
Praktische check: kun je met recente testresultaten, rapportages of oefeningen aantonen dat de maatregelen effectief zijn?
Zo pas je de drie vragen direct toe
Plan een kort overleg met de risico-eigenaar, de IT- of securityverantwoordelijke en eventueel iemand uit het management. Neem één belangrijk risico en leg vier zaken vast:
- Het risico: wat kan er gebeuren en wat is de mogelijke impact op de organisatie?
- De verantwoordelijkheid: wie is eigenaar van het risico?
- De beheersing: welke maatregelen zijn er en hoe is gecontroleerd dat ze werken?
- De vervolgactie: wat ontbreekt nog, wie pakt het op en wanneer?
Je hoeft niet direct een compleet risicomanagementprogramma op te tuigen om waarde uit deze oefening te halen. Het belangrijkste is dat je ontdekt waar verantwoordelijkheden onduidelijk zijn, waar maatregelen ontbreken of waar de werking onvoldoende wordt gecontroleerd.
Deze oefening vervangt geen volledige risicoanalyse of NIS2-beoordeling, maar helpt je wel om gericht te beginnen.
NIS2 vraagt ook iets van bestuurders
Cybersecurity is allang niet meer alleen een technisch onderwerp. Bestuurders moeten begrijpen welke cyberrisico’s de continuïteit van hun organisatie bedreigen, welke maatregelen nodig zijn en hoe ze op de uitvoering toezien.
Je hoeft daarvoor geen cybersecurityspecialist te worden. Je moet wel de juiste vragen kunnen stellen en onderbouwde beslissingen kunnen nemen.
Precies daarom biedt OptiSec de NIS2 Boardroomtraining voor bestuur en directie. In deze praktijkgerichte training leren bestuurders onder andere:
- cyberrisico’s herkennen en beoordelen
- hun verantwoordelijkheden onder de Cyberbeveiligingswet begrijpen
- beveiligingsmaatregelen en restrisico’s beoordelen
- gerichter sturen op risicomanagement, incidentmanagement en continuïteit
De training is beschikbaar als klassikale training, incompanytraining en e-learning.
Bekijk de NIS2 Boardroomtraining van OptiSec
En voor professionals die NIS2 in de praktijk uitvoeren?
Ook voor IT-, security-, risk- en complianceprofessionals is kennis van de NIS2-verplichtingen belangrijk. OptiSec biedt daarom aanvullende trainingen:
NIS2 Directive Foundation: voor professionals die de belangrijkste eisen, verantwoordelijkheden en uitgangspunten van NIS2 willen begrijpen
NIS2 Directive Lead Implementer: voor professionals die de NIS2-eisen willen vertalen naar een gestructureerd cybersecurityprogramma, inclusief risicomanagement, maatregelen en monitoring
Wacht niet tot de toezichthouder aanklopt
De nieuwe samenwerkingsafspraken laten zien dat het toezicht op de Cyberbeveiligingswet steeds verder wordt georganiseerd. Kijk daarom niet alleen naar je verplichtingen, maar vooral naar je daadwerkelijke digitale weerbaarheid.
Begin vandaag met één belangrijk cyberrisico en stel drie vragen: Wie is verantwoordelijk? Welke maatregelen hebben we genomen? En hoe weten we dat ze werken?
De antwoorden kunnen verrassend veel duidelijk maken.
Wil je als bestuurder beter begrijpen wat NIS2 van jou vraagt en hoe je daar praktisch invulling aan geeft?