Terug naar kennisbank

NIS2-ketenzorgplicht: wat is écht verplicht (en wat niet)

Gepubliceerd op 16 juni 2026 · Bijgewerkt op 23 juli 2026

Dit artikel is algemene informatie over wet- en regelgeving en geen juridisch advies.

Rond NIS2 circuleert veel halve waarheid. Dat er een "door de overheid verplichte, officiële tool" zou zijn. Dat je sinds een al verstreken datum compliant had moeten zijn. Dat één SaaS-abonnement je in één klap "NIS2-proof" maakt. Geen van die drie klopt. En juist omdat het niet klopt, nemen organisaties soms beslissingen op basis van angst in plaats van feiten.

Dit artikel zet het recht. Wat eist NIS2, en specifiek de ketenzorgplicht, nu werkelijk van je? Wat is de stand van de wet in Nederland? En waar past doorlopende monitoring in dat geheel, niet als wondermiddel, maar als verdedigbare bouwsteen?

In het kort

• NIS2 verplicht geen enkele specifieke, met naam genoemde tool of "officiële SaaS". De wet eist passende en evenredige maatregelen. Hóe je die invult, mag je zelf bepalen.
• De Nederlandse wet treedt op 15 augustus 2026 in werking. De Eerste Kamer heeft de Cyberbeveiligingswet op 7 juli 2026 aangenomen. Vanaf 15 augustus 2026 gelden de registratieplicht, zorgplicht en meldplicht volledig; een overgangstermijn is er niet.
• De ketenzorgplicht raakt veel meer organisaties dan je denkt. Ook als je zelf niet rechtstreeks onder NIS2 valt, kun je via je klanten worden meegetrokken.
• Compliance is een organisatiebreed pakket, geen knop die je omzet. Doorlopende kwetsbaarheidsmonitoring is daarvan één belangrijke, aantoonbare bouwsteen.

NIS2 en de Cyberbeveiligingswet: wat is wat

Het helpt om twee dingen uit elkaar te houden.

NIS2 is de Europese richtlijn (Network and Information Security Directive 2). Een richtlijn werkt niet rechtstreeks; elke lidstaat zet hem om in eigen wetgeving. Op EU-niveau geldt NIS2 sinds 17 oktober 2024, de omzettingsdeadline van de richtlijn.

De Cyberbeveiligingswet (Cbw) is de Nederlandse uitwerking daarvan. Die vervangt de huidige Wet beveiliging netwerk- en informatiesystemen (Wbni). Nederland haalde de oorspronkelijke EU-deadline van oktober 2024 niet. Het wetsvoorstel is in 2025 ingediend, in april 2026 aangenomen door de Tweede Kamer en op 7 juli 2026 door de Eerste Kamer. De wet treedt, samen met de Wet weerbaarheid kritieke entiteiten, op 15 augustus 2026 in werking. Wat dat concreet betekent, lees je in ons overzicht van de inwerkingtreding.

Kort gezegd: de verplichtingen zijn inhoudelijk concreet en hebben nu ook een harde datum. Wat níét klopt, is dat daarmee een specifieke tool verplicht wordt. Wie dat beweert, verkoopt geen feit maar urgentie.

Wat is de ketenzorgplicht precies?

Hier zit de kern waardoor NIS2 zoveel breder uitwaaiert dan veel organisaties verwachten.

Essentiële en belangrijke entiteiten die onder NIS2 vallen, moeten niet alleen hun eigen beveiliging op orde hebben. Ze moeten ook de beveiliging van hun leveranciers en toeleveringsketen meewegen in hun risicobeheer. Dat is de ketenzorgplicht: het beheersen van risico's die via derden binnenkomen. De juridische grondslag staat in NIS2 artikel 21, lid 2, sub d, dat expliciet "beveiliging van de toeleveranciersketen" als maatregel benoemt.

Het gevolg is een cascade. Val jij zelf niet rechtstreeks onder NIS2, maar lever je software, infrastructuur, data of diensten aan een organisatie die er wél onder valt? Dan zal die klant van jóu willen kunnen aantonen dat je je basisveiligheid op orde hebt. In de praktijk komt dat terug in contracteisen, leveranciersvragenlijsten en audits. Voldoe je niet, dan loop je reëel risico op verlies van het contract, niet omdat de toezichthouder bij jou aanklopt, maar omdat je klant zijn eigen zorgplicht moet kunnen onderbouwen.

Dat betekent niet dat een grote afnemer grenzeloos alles mag eisen. Artikel 21(2)(d) vraagt om passende en evenredige maatregelen, afgestemd op het reële risico en op jouw rol in de keten. Een leverancier van niet-kritieke marketingdiensten hoort een lichtere uitvraag te krijgen dan een partij die kernsystemen host of gevoelige data verwerkt. Proportionaliteit werkt dus twee kanten op: het onderbouwt wat een klant redelijkerwijs mag vragen, en het begrenst wat je zonder aanleiding hoeft te leveren.

Daarom raakt NIS2 indirect naar schatting tienduizenden mkb-leveranciers die formeel buiten de directe scope vallen. Hoe dat in de praktijk uitpakt voor leveranciers, en wat je grote klant precies van je verwacht, lees je in NIS2-ketenzorgplicht voor leveranciers.

Wat NIS2 wél verplicht

Voor organisaties die binnen de scope vallen, draait het in essentie om een aantal plichten:

• Zorgplicht (risicobeheer). Passende en evenredige technische, operationele en organisatorische maatregelen. Denk aan risicoanalyse, toegangsbeveiliging en MFA, incidentafhandeling, bedrijfscontinuïteit, beveiliging van de toeleveringsketen, en het omgaan met kwetsbaarheden.
• Meldplicht. Significante incidenten melden binnen strakke termijnen: een vroege melding binnen 24 uur, een volledigere melding binnen 72 uur en een eindrapport binnen een maand.
• Registratieplicht. Onder de wet vallende entiteiten moeten zich registreren bij de bevoegde instantie (in Nederland loopt dit via het NCSC).
• Verantwoordelijkheid van bestuurders. Het bestuur moet de maatregelen goedkeuren en erop toezien, met een opleidingsverplichting en persoonlijke verantwoordelijkheid.

Belangrijk: de wet schrijft doelen voor, geen producten. Je bent vrij in de manier waarop je de maatregelen invult.

Wat NIS2 níét verplicht: de hardnekkige mythes

Mythe 1: "Er is een officiële, door de overheid verplichte tool of SaaS." Onjuist. NIS2 en de Cyberbeveiligingswet noemen geen enkel commercieel product als verplichte standaard. Je mag zelf kiezen hoe je de eisen invult: open source zelf hosten, een dienst afnemen, of een combinatie. Een aanbieder die zich presenteert als "het officiële platform van het ministerie" maakt een claim die de wet niet ondersteunt.

Mythe 2: "Het is al verplicht sinds [een vaste, vroege datum]." Onjuist voor elke datum vóór 15 augustus 2026. De Nederlandse wet treedt op 15 augustus 2026 in werking; wie een eerdere binnenlandse deadline noemt, zit ernaast. Op EU-niveau geldt NIS2 al wel sinds 17 oktober 2024, maar dat is iets anders dan een binnenlandse tool-verplichting per een specifieke datum.

Mythe 3: "Eén tool maakt je compliant." Onjuist. Compliance is een organisatiebreed pakket: beleid, processen, techniek, bestuur en ketenafspraken. Geen enkel los product dekt dat geheel. Wie het zo verkoopt, verkoopt schijnzekerheid. Waarom zelfs een goede scan je niet compliant máákt, en wél onmisbaar is, leggen we uit in scannen is geen NIS2-compliance.

Mythe 4: "ISO 27001 maakt je automatisch NIS2-compliant." Onjuist. Een certificering als ISO 27001 kan hélpen aantonen dat je maatregelen op orde zijn en scheelt werk bij een uitvraag, maar op zichzelf is het geen wettelijk sluitstuk: NIS2 kent geen automatische gelijkstelling. Wees bovendien alert op keurmerken of "NIS2-certificaten" die geen wettelijke status hebben.

Het patroon achter deze mythes is steeds hetzelfde: een echte verplichting wordt opgeblazen tot een kant-en-klaar product met een deadline. Het tegengif is simpel: vraag waar de claim precies op gebaseerd is.

Waar past doorlopende monitoring dan wél?

Als geen enkele tool je "compliant" maakt, waarom zou je dan in kwetsbaarheidsmonitoring investeren? Omdat het een van de concreetste, aantoonbare invullingen is van het risicobeheer- en ketendeel van je zorgplicht.

De zorgplicht vraagt dat je kwetsbaarheden kent en beheerst. Dat kun je niet eenmalig afvinken; je aanvalsoppervlak verandert continu. Doorlopende monitoring laat zien dat je dit structureel doet. En dat is precies wat een auditor, een klant of een verzekeraar wil zien.

Het verschil zit in bewijs. Niet alleen wéten dat er een kwetsbaarheid is, maar forensisch onderbouwd kunnen laten zien hóe en wannéer die is aangetroffen en opgevolgd. Hier speelt papier versus meting: een ingevulde vragenlijst of een certificaat toont op papier aan dát je iets geregeld hebt, terwijl een externe meting technisch aantoont dat het op dit moment ook echt klopt. Die bewijslast is wat een zorgplicht "verdedigbaar" maakt in plaats van een papieren belofte. Krijg je zelf zo'n uitvraag van een klant, dan helpt een NIS2-leveranciersvragenlijst beantwoorden je om dat bewijs concreet op tafel te leggen.

Exposentry is daarvoor gebouwd: in de EU gehoste, forensisch onderbouwde monitoring op basis van OpenKAT, de open-source securityscanner van de Nederlandse overheid, voor je eigen domeinen én je leveranciersketen. Oprichter Edward Hasekamp draagt als collaborator bij aan OpenKAT zelf. Het is nadrukkelijk een noodzakelijke bouwsteen voor je kwetsbaarhedenbeheer en ketenzorgplicht, geen volledige compliancegarantie. Die eerlijkheid is bewust: alles wat zich als totaaloplossing presenteert, verdient juist extra argwaan.

• Lees meer over onze aanpak van de NIS2-ketenzorgplicht.
• Bekijk hoe leveranciersmonitoring werkt op Monitor mijn leveranciers.
• Transparante tarieven vind je op Prijzen.
• Liever meteen zien hoe je ervoor staat? Start een scan van je organisatie.

Praktisch: zo onderbouw je je ketenzorgplicht aantoonbaar

1. Bepaal je positie. Val je direct onder NIS2 (sector + doorgaans 50+ medewerkers), of indirect via klanten die er zelf onder vallen? Beide vragen actie, maar op een ander niveau.
2. Breng je aanvalsoppervlak in kaart. Welke domeinen, systemen en assets zijn van buitenaf zichtbaar? Je kunt niet beschermen wat je niet in beeld hebt. Begin bij wat een aanvaller van je domein ziet.
3. Monitor doorlopend en leg bewijslast vast. Niet één scan, maar continu zicht, met vastlegging van wat is aangetroffen en wanneer.
4. Neem je keten mee. Monitor de basisveiligheid van leveranciers waar jij verantwoordelijkheid voor draagt, en maak afspraken die je kunt onderbouwen.
5. Documenteer en rapporteer. Vertaal technische resultaten naar heldere rapportages die je richting bestuur, auditor of klant kunt overleggen.

Veelgestelde vragen

Is NIS2 al verplicht in Nederland? De Europese NIS2-richtlijn geldt op EU-niveau sinds 17 oktober 2024. De Nederlandse Cyberbeveiligingswet, die de richtlijn omzet in nationale verplichtingen, is op 7 juli 2026 aangenomen door de Eerste Kamer en treedt op 15 augustus 2026 in werking. Vanaf die datum gelden de registratieplicht, zorgplicht en meldplicht volledig.

Schrijft NIS2 een specifieke tool of SaaS voor? Nee. NIS2 en de Cyberbeveiligingswet eisen passende en evenredige maatregelen, maar noemen geen verplicht product. Je bepaalt zelf hoe je de eisen invult.

Mijn organisatie valt niet onder NIS2. Moet ik dan toch iets doen? Mogelijk wel. Lever je aan organisaties die er wél onder vallen, dan kunnen zij via hun ketenzorgplicht eisen dat je je basisveiligheid aantoonbaar op orde hebt. Niet voldoen kan een contract kosten.

Maakt één scan of één tool me compliant? Nee. Compliance is een organisatiebreed pakket van beleid, processen, techniek, bestuur en ketenafspraken. Doorlopende monitoring is daarvan een belangrijke, aantoonbare bouwsteen, geen totaaloplossing.

Wat is het verschil tussen NIS2 en de Cyberbeveiligingswet? NIS2 is de Europese richtlijn; de Cyberbeveiligingswet is de Nederlandse wet die deze richtlijn implementeert. De Nederlandse wet kan op punten specifieker of strenger zijn dan de richtlijn.

Wanneer moet ik beginnen? Nu. De wet treedt op 15 augustus 2026 in werking en organisaties hebben vaak enkele maanden nodig om hun beveiliging en leveranciersbeheer op niveau te brengen. Die maanden zijn er niet meer; begin dus vandaag met de basis.

Geschreven door Edward Hasekamp, oprichter van Exposentry en core-maintainer van het open-source OpenKAT-project. Zie het project op GitHub en het profiel op github.com/hasecon. Exposentry levert EU-soevereine, forensisch onderbouwde vulnerability monitoring op basis van OpenKAT. Meer artikelen in de Kennisbank.