NIS2 klinkt als iets voor de energiesector, ziekenhuizen en de overheid. Grote, kritieke spelers waar jouw bedrijf toch niets mee te maken heeft. Die aanname is precies waarom zoveel ondernemers hier straks door verrast worden.
De oude wet gold voor een handjevol kritieke sectoren. NIS2 trekt die cirkel drastisch groter: naast energie en zorg vallen nu ook productiebedrijven, digitale dienstverleners, voedsel en afvalverwerking eronder, en de drempel om mee te tellen ligt een stuk lager dan voorheen. Veel bedrijven die zichzelf nooit als "kritiek" zouden omschrijven, vallen er ineens gewoon onder.
En zelfs als jouw bedrijf er zelf buiten valt, ontkom je er vaak niet aan. Grote klanten die wél onder NIS2 vallen, zijn verplicht om de risico's in hun hele keten in kaart te brengen. Dat betekent dat zij het bij jou gaan neerleggen: een vragenlijst, een contracteis, soms een audit. Niet omdat jij toevallig NIS2-plichtig bent, maar omdat je hun leverancier bent.
Wat er concreet wordt gevraagd, is minder exotisch dan het klinkt. Risicomanagement op orde, basishygiëne zoals multifactor-authenticatie en een patchbeleid, een plan voor als het misgaat, en incidenten die je binnen een strakke termijn moet melden. Opvallend is dat bestuurders hier persoonlijk op kunnen worden aangesproken. Cybersecurity is met NIS2 geen IT-onderwerp meer, het is een bestuurstaak.
Je hoeft niet met een compliance-project te beginnen. Begin met de basis: weet wie er toegang heeft tot welke systemen, houd een actueel overzicht van je leveranciers bij, en test eens eerlijk of je een incident op tijd zou opmerken. Wie dat op orde heeft, is al een heel eind, met of zonder NIS2 op de deur.
