"NIS2, dat is iets voor grote bedrijven." Dat is de meest gehoorde — en de meest misplaatste — reactie op de wet die op 15 augustus 2026 in werking treedt als de Cyberbeveiligingswet (Cbw), de Nederlandse uitvoering van de Europese NIS2-richtlijn. Voor de meeste sectoren geldt inderdaad een omvangsgrens. Maar in de digitale infrastructuur telt niet hoe groot je bent, maar wát je levert: wie bijvoorbeeld DNS-dienstverlening aanbiedt, is een essentiële entiteit — ongeacht omvang. Wij weten dat uit de eerste hand, want wij vallen er zelf onder.
Drie plichten
De wet komt in de kern neer op drie verplichtingen:
- Registratieplicht — je meldt je organisatie aan in het register van het NCSC, inclusief gegevens over je dienstverlening en netwerken.
- Zorgplicht — tien verplichte maatregelen (artikel 21), van risicobeheer en incidentafhandeling tot ketenbeveiliging en MFA. Niet als papieren exercitie, maar aantoonbaar op orde.
- Meldplicht — significante incidenten meld je gefaseerd: een vroegtijdige waarschuwing binnen 24 uur, een volledige melding binnen 72 uur, een eindverslag binnen een maand.
Voor de sector digitale infrastructuur houdt de RDI toezicht, en dat toezicht is bij essentiële entiteiten proactief — de toezichthouder kan langskomen zonder dat er eerst iets mis hoeft te gaan. Voor DNS-dienstverleners en vergelijkbare partijen is er bovendien een Europese uitvoeringsverordening die per maatregel technische eisen stelt én vastlegt wanneer een incident "significant" is. De invulling is daar dus geen kwestie van eigen interpretatie meer.
De tien maatregelen, kort
Risicoanalyse en beveiligingsbeleid; incidentenbehandeling; bedrijfscontinuïteit met back-ups, herstelplan en crisisbeheer; beveiliging van de toeleveringsketen; veilige ontwikkeling en kwetsbaarhedenbeheer; periodieke beoordeling of je maatregelen werken; cyberhygiëne en training; cryptografie; toegangsbeleid en assetbeheer; en MFA met beveiligde communicatie. Wie al serieus aan informatiebeveiliging doet, herkent de lijst — nieuw is vooral dat het aantoonbaar en afdwingbaar wordt, met persoonlijke verantwoordelijkheid voor het bestuur.
Hoe wij het hebben ingericht
De wet kent een evenredigheidsbeginsel: maatregelen moeten passen bij omvang, kosten en risicoprofiel. Dat is geen excuus om minder te doen, wel een aanwijzing om het ánders te doen. Een paar keuzes uit onze eigen inrichting:
- Beleid in versiebeheer — ons risicobeheerbeleid, risico-overzicht en de incidentprocedure leven als tekstbestanden in git. Vastgestelde versies krijgen een ondertekende tag; wat niet in zo'n tag zit, geldt niet als vastgesteld. In diezelfde repository staat ons volledige ISMS: we zijn niet ISO 27001-gecertificeerd, maar hebben ons ISMS wel volgens die norm ingericht, zodat certificering een stap is en geen verbouwing.
- Techniek waar klassieke functiescheiding niet haalbaar is — configuratie in versiebeheer (de configuratie van onze netwerkapparatuur wordt met Oxidized automatisch naar git geback-upt, elke wijziging als commit), geautomatiseerde validatie vóór iets live gaat, en logging en alerting op wijzigingen. Een tweede paar ogen hoeft geen mens te zijn om een fout tegen te houden.
- Een vaste jaarcyclus — het risico-overzicht wordt jaarlijks én na grote wijzigingen geactualiseerd, de effectiviteit van maatregelen jaarlijks getoetst, en er staat elk jaar een incident-response-oefening op de kalender. Een procedure die nooit geoefend is, is een document — geen procedure.
- Concreet, niet abstract — MFA of passkeys op alle beheersystemen, kritieke patches binnen zeven dagen, versleutelde back-ups met een jaarlijkse hersteltest. Een back-up waaruit je nooit hersteld hebt, telt niet.
Wat dit voor jou betekent
Ook wie zelf buiten de wet valt, krijgt ermee te maken — via klanten of leveranciers. Ketenbeveiliging is een van de tien maatregelen, dus NIS2-plichtige organisaties gaan hun leveranciers vragen stellen: waar staat mijn apparatuur en hoe is de stroomvoorziening geborgd, hoe snel hoor ik het bij een incident, wie is mijn contactpunt, en wat gebeurt er bij een DDoS-aanval? Kies je een leverancier die die vragen zelf ook aan zijn toezichthouder moet kunnen beantwoorden, dan koop je dat huiswerk in feite mee.
Wij beantwoorden ze routinematig — voor colocatie, IP-transit en de infrastructuur daarachter. Ben je zelf bezig met NIS2 en wil je weten hoe je infrastructuurleverancier in dat verhaal past: neem contact op, dan lopen we de vragen langs die jouw auditor gaat stellen.