NIS2 wet in werking op 1 juli

Het is definitief: de Cyberbeveiligingswet — de Nederlandse uitwerking van de Europese NIS2-richtlijn — treedt op 1 juli 2026 in werking. Na meerdere verschuivingen is daarmee duidelijkheid over wanneer de verplichtingen echt gaan gelden.

Voor ongeveer 10.000 Nederlandse organisaties begint op die datum een nieuw cybersecurity-regime. Maar de impact reikt veel verder: via de ketenzorgplicht krijgen naar schatting 50.000 tot 100.000 mkb-leveranciers te maken met eisen uit de wet.

Wat verandert er op 1 juli?

Vanaf die datum zijn NIS2-organisaties wettelijk verplicht om:

• Passende technische en organisatorische beveiligingsmaatregelen te treffen
• Significante incidenten te melden bij de toezichthouder (o.a. RDI)
• Cyberrisico's in hun toeleveringsketen actief te beheersen
• Bestuurders persoonlijk aansprakelijk te houden voor cybersecurity

De wet kent twee categorieën: essentiële en belangrijke entiteiten. Voor beide gelden zorgplichten, maar de handhaving verschilt in intensiteit. Boetes kunnen oplopen tot 10 miljoen euro of 2% van de wereldwijde jaaromzet.

De keten is het nieuwe speelveld

Het grootste effect voor het mkb zit in die ketenzorgplicht. Grote klanten — ziekenhuizen, overheden, energiebedrijven, multinationals — moeten aantoonbaar maken dat hun leveranciers digitaal op orde zijn. Dat gaat via contractuele eisen, audits en certificering.

Concreet: ook als jouw bedrijf zelf niet direct onder NIS2 valt, krijg je vragen zodra je levert aan een organisatie die er wél onder valt. Zonder aantoonbare cybersecurity-maatregelen loop je het risico om uit de leverancierspoule te vallen.

Wat nu te doen?

Met nog tien weken tot inwerkingtreding is wachten geen optie meer. Onze dringende aanbeveling:

1. Doe de check — bepaal of jouw bedrijf direct onder NIS2 valt of via de keten wordt geraakt. Start hier.
2. Begin met certificering — NIS2 Supply Chain-certificering is speciaal ontworpen voor mkb-leveranciers van NIS2-organisaties. Schaalbaar en haalbaar.
3. Leg het vast — zorg dat contracten, procedures en bewijsvoering op orde zijn vóór 1 juli.
4. Betrek je IT-partner — de meeste mkb-bedrijven doen dit samen met hun IT-bedrijf of consultant.

Via het SDV-platform, gedragen door meer dan 100 samenwerkende brancheorganisaties, vind je ToDo-lijsten, sjablonen en ondersteunende documenten om dit traject te doorlopen. Meld je aan voor een webinar voor uitleg en antwoord op je vragen.

De wet gaat in op 1 juli. De keten begint nu.