NIS2 is uitgesteld — dus we hoeven nog niets te doen, toch?

Het is de meest gehoorde uitspraak in Nederlandse directiekamers dit jaar: "NIS2 is toch uitgesteld? Dan hebben we nog even tijd." Ik hoor het bij productiebedrijven, bij waterschappen, bij logistieke dienstverleners. En elke keer krimp ik ineen. Want die redenering klopt van geen kant — en hij kost bedrijven nu al contracten, klanten en omzet.

Wat "uitgesteld" werkelijk betekent

De NIS2-richtlijn (EU 2022/2555) had op 17 oktober 2024 in nationale wetgeving omgezet moeten zijn. Nederland haalde die deadline niet. De Cyberbeveiligingswet zit nog in het wetgevingsproces en wordt naar verwachting pas in Q3 of Q4 2026 aangenomen door de Tweede Kamer. Dat betekent dat de formele Nederlandse toezichthouder — waarschijnlijk de Rijksinspectie Digitale Infrastructuur — pas daarna kan handhaven met boetes.

Maar hier zit de denkfout. Bedrijven denken in termen van "wanneer kan ik een boete krijgen?" terwijl de markt denkt in termen van "wanneer kan ik risico uitsluiten?" En die twee tijdlijnen lopen dramatisch uit elkaar.

Wat er NU al gebeurt in de supply chain

De afgelopen zes maanden heb ik bij minstens twintig Nederlandse MKB-bedrijven gezien dat ze beveiligingsvragenlijsten ontvingen van hun klanten. Niet over twee jaar. Nu. Dit zijn geen theoretische exercities — het zijn concrete eisen die in inkooptrajecten worden meegewogen.

Een machinebouwer in Brabant verloor vorig kwartaal een contract van 2,3 miljoen euro bij een Duitse automotive-klant. Niet omdat hun machines niet goed genoeg waren, maar omdat ze geen aantoonbaar informatiebeveiligingsbeleid hadden. De Duitse klant verwees expliciet naar NIS2-ketenverantwoordelijkheid.

Wat we zien in de praktijk:

• Beveiligingsvragenlijsten bij aanbestedingen: Grote opdrachtgevers (energie, water, transport, voedsel) sturen leveranciers standaard een security-vragenlijst mee. Geen antwoord = geen uitnodiging voor de volgende ronde.
• Contractuele eisen voor ISO 27001 of gelijkwaardig: Steeds meer raamcontracten bevatten een clausule dat leveranciers binnen 12 maanden een ISMS moeten hebben of aantoonbaar eraan werken.
• Right-to-audit clausules: Klanten eisen het recht om uw beveiligingsmaatregelen te controleren. Kunt u dat niet faciliteren? Dan bent u een risico dat ze liever vermijden.
• Incidentmeldingsplichten in contracten: Zelfs als de wet het nog niet vereist, eisen contracten al dat u beveiligingsincidenten binnen 24 of 72 uur meldt aan uw opdrachtgever.
• Verzekeraars die cyberhygiene eisen: Uw aansprakelijkheidsverzekering of cyberverzekering vraagt steeds vaker bewijs van MFA, patchmanagement en een incident response plan.

De Duitse en Belgische druk

Nederland is niet de enige die laat is — maar onze buurlanden niet. Duitsland heeft het NIS2-Umsetzungsgesetz al aangenomen. Belgie heeft eveneens zijn wet klaar. Dat betekent dat Duitse en Belgische bedrijven wettelijk verplicht zijn om hun supply chain te beveiligen. En wie zit er in die supply chain? Nederlandse leveranciers, machinebouwers, IT-dienstverleners en logistieke bedrijven.

Een Nederlandse softwareleverancier die diensten levert aan een Duits energiebedrijf valt daarmee indirect onder Duitse NIS2-eisen — ongeacht wat de Nederlandse wet doet. De Duitse klant moet aantonen dat zijn leveranciers passende beveiligingsmaatregelen nemen. Kan de Nederlandse leverancier dat niet bewijzen? Dan zoekt de Duitse klant een alternatief. Zo simpel is het.

Vijf dingen die u vandaag moet doen

U hoeft niet te wachten op de wet om uzelf te beschermen tegen de marktwerking die NIS2 veroorzaakt. Sterker nog: wie nu begint, heeft een concurrentievoordeel. Dit zijn de vijf acties die u direct kunt ondernemen:

1. Breng uw klantverplichtingen in kaart. Ga door uw huidige contracten en aanbestedingsdocumenten. Welke beveiligingseisen staan erin? Welke vragenlijsten heeft u ontvangen? Dit geeft u een realistisch beeld van wat de markt nu al van u verwacht.
2. Start met een basisrisicoanalyse. U hoeft niet meteen een volledig ISMS te hebben. Begin met het identificeren van uw kroonjuwelen: welke systemen, data en processen zijn kritiek voor uw bedrijfsvoering en voor uw klanten?
3. Implementeer de "quick wins". Multifactor-authenticatie op alle externe toegang. Een patchmanagementproces. Een basisincident response plan. Deze drie maatregelen dekken 60% van de vragen die u van klanten krijgt.
4. Documenteer wat u doet. Het verschil tussen "we doen aan security" en "we kunnen aantonen dat we aan security doen" is het verschil tussen een contract winnen of verliezen. Beleid, procedures, logboeken — het hoeft niet perfect te zijn, maar het moet er zijn.
5. Bereid u voor op audits. Klanten gaan auditen. Verzekeraars gaan auditen. Straks gaat de toezichthouder auditen. Zorg dat u een contactpersoon heeft, dat uw documentatie vindbaar is, en dat u kunt laten zien wat u heeft gedaan en waarom.

Het risico van wachten

Laten we eerlijk zijn over wat er gebeurt als u wacht tot de Nederlandse wet er is. Op dat moment zullen duizenden bedrijven tegelijk in actie moeten komen. Consultants, auditors en implementatiepartners zullen overbelast zijn. De prijzen zullen stijgen. De doorlooptijden zullen oplopen van maanden naar kwartalen.

Vergelijk het met de AVG in 2018. Bedrijven die een jaar van tevoren begonnen, waren klaar toen het moest. Bedrijven die wachtten tot mei 2018, betaalden het drievoudige en waren maanden te laat. Bij NIS2 is de situatie nog urgenter, omdat de supply chain-druk niet wacht op de wet.

Bovendien: de implementatiewet zal waarschijnlijk een overgangstermijn kennen van maximaal 12 tot 18 maanden. Dat klinkt ruim, maar een serieuze implementatie van een Information Security Management System kost een gemiddeld MKB-bedrijf 9 tot 14 maanden. Tel daarbij op dat u auditors moet plannen, dat leveranciers hun eigen trajecten moeten doorlopen, en dat uw IT-afdeling ook nog dagelijks werk heeft. Die 12 maanden zijn krap, niet ruim.

De concurrent die wel beweegt

Er is nog een risico dat zelden wordt benoemd: uw concurrenten die wel nu beginnen. In elke sector zien we early movers die NIS2-compliance gebruiken als verkoopargument. "Wij zijn NIS2-ready, onze concurrent niet." Dat is een krachtig verhaal bij inkoopafdelingen die hun eigen NIS2-verplichtingen moeten aantonen.

Een industrieel automatiseerder in Limburg vertelde me recent dat hij drie nieuwe klanten had binnengehaald, specifiek omdat hij kon aantonen dat hij werkte conform ISO 27001 en IEC 62443. Zijn concurrenten konden dat niet. De prijs was niet eens het doorslaggevende criterium — het was de bewijslast rond beveiliging.