NIS2 is voor KMO's geen theorie meer

Sept 29, 2026

NIS2 klinkt als ver van je bed. Een Europese richtlijn voor energiebedrijven, ziekenhuizen, telecom. Als jouw KMO geen essentiële dienst verleent, ben je er toch niet aan onderworpen?

Wettelijk klopt dat, in veel gevallen. En toch merken we bijna elke KMO die we spreken dat de druk aankomt. Niet van de regulerende kant, wel vanuit de keten.

De vragen komen van klanten, niet van de overheid

Bedrijven in de supply chain van een NIS2-organisatie krijgen steeds vaker vragenlijsten: hoe staat jullie beveiliging ervoor, wie heeft toegang tot welke systemen, hoe gaan jullie met onze data om. Het CCB, het Belgische cybercentrum, adviseert expliciet dat elke organisatie in zo'n keten minstens CyberFundamentals Basic implementeert. Dat is het Belgische framework dat aansluit op NIS2.

Daarom zit de veiligheidsverantwoordelijke van je grootste klant tegenwoordig aan tafel vragen te stellen die drie jaar geleden niemand stelde. Wie aantoont dat de zaken op orde zijn, krijgt de klus. Wie het niet kan aantonen, valt af. Die vraag is puur commercieel geworden, zonder dat er één boete in het spel is.

Ook verzekeraars bewegen mee. Wie cyberverzekering aanvraagt, krijgt vragen over MFA, back-ups en toegangsbeheer. Wie ze niet kan beantwoorden, betaalt meer of krijgt niets.

Wat je NIET moet doen

Paniek kopen. Een duur security-platform omdat "we onder NIS2 vallen" terwijl niemand heeft nagegaan water werkelijk gevraagd wordt. We zagen het al een paar keer: de angst voor de regel leidt tot aankopen die het probleem niet raken.

CyFun Basic is geen absurde norm. Het vraagt om de basis: sterke authenticatie, beheer van toegang, patching, back-ups, een incidentplan en een minimum aan rapportering. Voor een KMO is dat haalbaar, mitsiemand het bijhoudt.

Van onbekend naar verdedigbaar

Wat je nodig hebt, is weten waar je staat voor je kan aantonen dat je het waard bent. Een onafhankelijke Security Audit zet je omgeving naast CyberFundamentals Basic en Important, met per bevinding de koppeling aan de vereisten. Je krijgt een verslag dat je aan een klant, verzekeraar of auditor kan tonen, en een prioriteitsplan dat de komende maanden stuurbaar maakt

Plan je audit. De vragen uit de keten komen hoe dan ook. Met een rapport kan je ze beantwoorden in plaats van ontwijken.