De Europese NIS2-richtlijn dwingt een groeiend aantal Nederlandse ondernemers om hun digitale beveiliging serieus onder de loep te nemen. Waar cybersecurity eerder vooral een thema was voor grote bedrijven en vitale infrastructuur, trekt de nieuwe regelgeving die grens aanzienlijk breder. Ondernemers die een webshop runnen, digitale diensten leveren of in de toeleveringsketen van een grotere organisatie zitten, krijgen er direct mee te maken.
De richtlijn, formeel bekend als Directive (EU) 2026/2555, werd in december 2026 aangenomen en moest uiterlijk op 17 oktober 2024 in nationale wetgeving zijn omgezet. In Nederland verloopt die implementatie via de Cyberbeveiligingswet, die later dan gepland werd behandeld. De impact is inmiddels voelbaar: bedrijven die onder de reikwijdte vallen, moeten aantoonbaar aan strengere eisen voldoen.
Tegelijkertijd versterkt NIS2 de al bestaande verplichtingen uit de AVG. Voor ondernemers die online verkopen, komt het erop neer dat ze niet alleen hun servers en netwerken moeten beveiligen, maar ook opnieuw moeten controleren of hun dataverwerking op orde is. Wie nog niet is begonnen met je webshop GDPR-compliant maken, loopt het risico op dubbele handhaving vanuit zowel de Autoriteit Persoonsgegevens als de toezichthouder voor cybersecurity.
Welke ondernemers vallen onder de nieuwe regels
NIS2 maakt onderscheid tussen “essentiële” en “belangrijke” entiteiten. De drempel ligt in principe bij middelgrote organisaties: bedrijven met meer dan vijftig medewerkers of een jaaromzet boven de tien miljoen euro. Maar ook kleinere partijen kunnen eronder vallen als ze actief zijn in een van de achttien aangewezen sectoren.
Die sectoren gaan verder dan je misschien verwacht. Naast energie, transport en gezondheidszorg vallen nu ook digitale aanbieders, voedselproducenten, afvalbeheerders en postdiensten onder de richtlijn. Lever je als IT-bedrijf diensten aan een partij in een van die sectoren, dan kun je via de toeleveringsketen alsnog verplichtingen krijgen. De Europese Commissie biedt een overzicht van de getroffen sectoren en de achtergrond van de richtlijn.
Meldplicht en bestuurdersaansprakelijkheid als nieuw risico
Een van de meest ingrijpende veranderingen is de meldplicht bij beveiligingsincidenten. Ondernemers moeten binnen 24 uur een eerste melding doen bij de bevoegde autoriteit en binnen 72 uur een uitgebreider rapport indienen. Dat is een strak tijdschema, zeker voor kleinere organisaties zonder een dedicated security-team.
Daar komt een opvallend element bij: bestuurders zijn persoonlijk aansprakelijk voor het naleven van de cyberbeveiligingsmaatregelen. Bij essentiële entiteiten kunnen boetes oplopen tot tien miljoen euro of twee procent van de wereldwijde jaaromzet, afhankelijk van welk bedrag hoger uitvalt. Dit zet het onderwerp definitief op de agenda van iedere directiekamer, ook die van het mkb.
De overlap met AVG-verplichtingen
NIS2 en de AVG versterken elkaar, maar ze komen uit verschillende hoeken van het EU-recht. De AVG beschermt persoonsgegevens, NIS2 richt zich op de beveiliging van netwerken en informatiesystemen in bredere zin. In de praktijk betekent dit dat een datalek zowel een AVG-melding als een NIS2-melding kan vereisen, bij twee verschillende toezichthouders.
Voor webshophouders is die overlap bijzonder relevant. Klantdata, betaalgegevens en bestelhistorie vallen onder de AVG, terwijl de infrastructuur waarop die data draait onder NIS2 kan vallen. Een GDPR-compliant ingerichte webshop die draait op goed beveiligde Nederlandse servers dekt daarmee een deel van beide kaders tegelijk. Hosting bij een partij als Transip.nl, die data opslaat in Nederlandse datacenters met drievoudige replicatie, kan helpen om aan zowel de opslagvereisten van de AVG als de beveiligingsnormen van NIS2 te voldoen.
Waar te beginnen als ondernemer
De eerste stap is vaststellen of je organisatie onder de reikwijdte van NIS2 valt. Dat klinkt eenvoudig, maar de criteria rond toeleveringsketens maken het voor veel bedrijven minder duidelijk dan verwacht. Het Nationaal Cyber Security Centrum biedt richtlijnen voor Nederlandse organisaties die willen bepalen waar ze staan.
Vervolgens is een risicoanalyse onmisbaar. Breng in kaart welke systemen bedrijfskritisch zijn, waar de kwetsbaarheden zitten en welke maatregelen al genomen zijn. Documenteer alles: NIS2 vereist dat je kunt aantonen dat je aan de eisen voldoet, niet alleen dat je het zegt.
Het privacy- en beveiligingsbeleid van je webshop verdient daarbij extra aandacht. Controleer of je cookiebeleid, verwerkersovereenkomsten en privacyverklaring actueel zijn. Wie daar onzeker over is, doet er goed aan het proces van de webshop GDPR-compliant maken opnieuw door te lopen, nu met de aanvullende NIS2-eisen in het achterhoofd.
Wil je meer van dit soort artikelen lezen? Meld je aan voor onze nieuwsbrief.
