Cyberdreigingen ontwikkelen zich snel en raken organisaties steeds directer in hun primaire processen. Tegelijkertijd verandert de wetgeving. Met de Europese NIS2-richtlijn en de Nederlandse uitwerking daarvan in de Cyberbeveiligingswet worden organisaties nadrukkelijker verantwoordelijk voor hun digitale weerbaarheid.
Waar informatiebeveiliging voorheen vaak werd gezien als een IT-vraagstuk, verschuift dit nu naar bestuurlijk niveau. Organisaties moeten niet alleen passende maatregelen treffen, maar ook kunnen aantonen dat zij risico’s beheersen, incidenten adequaat afhandelen en structureel sturen op digitale veiligheid.
Dat roept in de praktijk fundamentele vragen op. Niet alleen of je organisatie onder NIS2 valt, maar vooral wat er concreet van je verwacht wordt. Welke maatregelen zijn nodig? Wie is waarvoor verantwoordelijk? Hoe toon je aan dat je risico’s beheerst? En hoe voorkom je dat NIS2 uitmondt in losse documenten, versnipperde acties en een papieren werkelijkheid?
Newmorn’ ondersteunt organisaties precies op dat snijvlak. Van eerste inzicht tot een inrichting die daadwerkelijk werkt: praktisch, aantoonbaar en passend bij de organisatie.
Wat verandert er met NIS2?
NIS2 stelt strengere eisen aan organisaties die essentieel of belangrijk zijn voor de samenleving. De nadruk ligt daarbij niet alleen op techniek, maar juist op samenhang. Risicomanagement, governance, incidentafhandeling en ketenverantwoordelijkheid moeten logisch op elkaar aansluiten.
In Nederland wordt NIS2 geïmplementeerd via de Cyberbeveiligingswet. Onder deze wet krijgen organisaties die binnen het toepassingsbereik vallen te maken met drie belangrijke verplichtingen: zorgplicht, meldplicht en registratieplicht.
De zorgplicht betekent dat organisaties passende maatregelen moeten nemen om digitale risico’s te beheersen. De meldplicht verplicht organisaties om ernstige incidenten tijdig te melden. De registratieplicht zorgt ervoor dat duidelijk is welke organisaties onder de wet vallen en bij welke toezichthouder zij horen.
Daarnaast wordt de rol van bestuurders explicieter. Digitale veiligheid wordt daarmee een integraal onderdeel van de bestuurlijke agenda. Bestuurders moeten kunnen onderbouwen welke keuzes zijn gemaakt, welke risico’s zijn geaccepteerd en hoe de organisatie stuurt op weerbaarheid.
Voor veel organisaties betekent dit geen volledige herstart. Vaak gebeurt er al veel. Er zijn beleidsdocumenten, risico-overzichten, leveranciersafspraken, technische maatregelen en incidentprocedures. Alleen staan die in de praktijk regelmatig verspreid over verschillende mappen, Excel-bestanden, mailboxen, ticketsystemen en SharePoint-sites. Dan is er wel activiteit, maar nog geen aantoonbare grip.
Valt jouw organisatie onder NIS2?
De eerste vraag is natuurlijk of je organisatie onder NIS2 en de Cyberbeveiligingswet valt. Dat hangt onder meer af van de sector waarin je actief bent, de omvang van je organisatie en de rol die je speelt binnen de keten.
Organisaties zijn zelf verantwoordelijk om te bepalen of zij onder de Cyberbeveiligingswet vallen. De overheid heeft hiervoor een zelfevaluatietool beschikbaar gesteld. Daarmee krijg je een eerste indicatie of je organisatie onder de wet valt en of je wordt gezien als essentiële of belangrijke entiteit.
Let op: ook als je organisatie niet rechtstreeks onder de Cyberbeveiligingswet valt, kun je er indirect mee te maken krijgen. Bijvoorbeeld wanneer je producten of diensten levert aan klanten die wél onder NIS2 vallen. Zij kunnen aanvullende eisen stellen aan informatiebeveiliging, leveranciersmanagement en aantoonbaarheid.
Urgentie en tijdpad
De Cyberbeveiligingswet is nog niet definitief in werking getreden. Het wetsvoorstel is op 15 april 2026 aangenomen door de Tweede Kamer en wordt momenteel behandeld door de Eerste Kamer. Eerder werd gemikt op inwerkingtreding rond 1 juli 2026, maar de definitieve datum hangt af van de afronding van de parlementaire behandeling en het daaropvolgende koninklijk besluit.
Dat neemt de urgentie niet weg. Zodra de wet in werking treedt, gelden de verplichtingen voor organisaties die onder het toepassingsbereik vallen. Voorbereiding vraagt in de praktijk tijd. Beleid moet worden ingericht, processen moeten werken, verantwoordelijkheden moeten helder zijn belegd en bewijsvoering moet op orde zijn. Ook moeten organisaties kunnen laten zien dat digitale veiligheid structureel onderdeel is van hun reguliere sturing.
Daar komt bij dat NIS2 niet alleen gevolgen heeft voor organisaties die rechtstreeks onder de wet vallen. Ook toeleveranciers kunnen ermee te maken krijgen. Klanten die zelf onder NIS2 vallen, zullen vaker eisen stellen aan hun leveranciers op het gebied van informatiebeveiliging, risicobeheersing en aantoonbaarheid.
Wachten op de exacte ingangsdatum is daarom geen verstandige strategie. Organisaties die nu starten, hebben de ruimte om NIS2 beheerst en stapsgewijs op te bouwen. Niet als spoedproject vlak voor inwerkingtreding, maar als duurzame inrichting die past bij de organisatie.
Van losse verplichting naar praktische grip
De kernvraag is niet alleen: “voldoen we straks aan NIS2?”
De betere vraag is: “hebben we aantoonbaar grip op onze digitale risico’s?”
Dat verschil is belangrijk. Wie NIS2 alleen benadert als juridische verplichting, loopt het risico vooral documenten te produceren. Beleid, procedures en overzichten kunnen er op papier goed uitzien, terwijl de organisatie in de praktijk nog steeds onvoldoende zicht heeft op risico’s, maatregelen, verantwoordelijkheden en voortgang.
Een werkbare aanpak begint daarom bij overzicht. Wat is er al geregeld? Waar zitten de belangrijkste kwetsbaarheden? Welke processen zijn kritisch? Welke leveranciers spelen een rol? Welke maatregelen zijn al genomen? En waar ontbreekt samenhang?
Van daaruit ontstaat inzicht. Niet alles hoeft tegelijk. Niet elke maatregel heeft dezelfde urgentie. Door risico’s te prioriteren, wordt duidelijk welke stappen de meeste impact hebben en welke keuzes bestuurlijk moeten worden gemaakt.
Daarna draait het om control: het structureel organiseren, volgen en bijsturen van digitale weerbaarheid. Zodat informatiebeveiliging geen eenmalig project blijft, maar onderdeel wordt van hoe de organisatie werkt.
Waar moet je nu al zicht op hebben?
Een goede voorbereiding op NIS2 begint met een aantal praktische vragen:
- Valt je organisatie direct of indirect onder NIS2?
- Welke bedrijfsprocessen zijn kritisch voor de continuïteit?
- Welke digitale systemen en leveranciers zijn daarvoor noodzakelijk?
- Zijn risico’s vastgelegd en gekoppeld aan concrete maatregelen?
- Is duidelijk wie bestuurlijk en operationeel verantwoordelijk is?
- Is er een werkende procedure voor incidentmelding en opvolging?
- Zijn leveranciersrisico’s inzichtelijk en bespreekbaar gemaakt?
- Is beleid actueel, vindbaar en gekoppeld aan de praktijk?
- Kun je aantonen welke maatregelen zijn genomen en wat de status is?
- Is voortgang zichtbaar voor management of bestuur?
Deze vragen maken snel duidelijk waar de organisatie staat. Soms blijkt dat er inhoudelijk al veel aanwezig is, maar dat de samenhang ontbreekt. Soms zijn verantwoordelijkheden onduidelijk. En soms is er vooral behoefte aan een praktische structuur waarin risico’s, maatregelen, taken en bewijsvoering bij elkaar komen.
Van inzicht naar uitvoering
De eerste stap is het verkrijgen van een helder beeld van de huidige situatie. Newmorn’ voert audits en quick scans uit die inzicht geven in hoe de organisatie zich verhoudt tot de eisen van NIS2 en de Cyberbeveiligingswet.
Daarbij kijken we niet alleen naar wat ontbreekt, maar vooral naar samenhang en risico. Waar zitten de grootste kwetsbaarheden? Welke maatregelen hebben de meeste impact? Welke onderdelen zijn al goed ingericht? En waar is verbetering nodig om straks aantoonbaar te kunnen sturen?
“Zo’n quick scan geeft richting. Maar inzicht alleen is niet voldoende.”
De grootste uitdaging ligt vrijwel altijd in de vertaling naar de praktijk. NIS2 raakt meerdere onderdelen van de organisatie tegelijk: bestuur, beleid, IT, processen, leveranciersmanagement, incidentafhandeling en rapportage. Zonder samenhang ontstaat versnippering en blijft aantoonbaarheid achter.
Daarom helpt Newmorn’ niet alleen bij analyse, maar ook bij inrichting en implementatie.
Een managementsysteem dat werkt
Een managementsysteem hoeft geen zwaar, losstaand systeem te zijn. Sterker nog: voor veel organisaties werkt het beter om aan te sluiten op de bestaande werkomgeving.
Vaak kan dit gewoon binnen de Microsoft 365-omgeving, bijvoorbeeld in SharePoint. Niet omdat SharePoint op zichzelf de oplossing is, maar omdat veel organisaties daar al dagelijks mee werken. De kracht zit in de inrichting.
Binnen een goed ingericht managementsysteem worden risico’s, maatregelen, beleid, taken, verantwoordelijkheden en bewijsvoering logisch met elkaar verbonden. Niet als statische documentatie, maar als een werkend geheel waarin zichtbaar is wat er speelt, wat de status is en wie waarvoor verantwoordelijk is.
Daarmee voorkom je dat NIS2 bestaat uit losse acties en documenten. In plaats daarvan ontstaat een praktische structuur waarmee de organisatie kan sturen, aantonen en verbeteren.
Dat maakt het mogelijk om niet alleen te voldoen aan de wet, maar ook daadwerkelijk grip te krijgen op digitale weerbaarheid.
Van compliance naar bestuurlijke rust
Door inzicht en implementatie te combineren, ontstaat een aanpak die verder gaat dan compliance alleen. Waar veel trajecten eindigen met een rapport of analyse, ligt bij Newmorn’ de focus juist op realisatie en borging.
We helpen organisaties om bevindingen te vertalen naar concrete stappen, deze te structureren binnen een logisch systeem en voortgang continu inzichtelijk te maken. Daarmee ontstaat rust en overzicht.
Voor bestuurders betekent dit dat digitale veiligheid bespreekbaar en bestuurbaar wordt. Voor IT en security betekent het dat verantwoordelijkheden en prioriteiten duidelijker worden. Voor de organisatie als geheel betekent het dat informatiebeveiliging niet langer voelt als een verplichting naast het werk, maar als onderdeel van professionele bedrijfsvoering.
Niet als project dat na oplevering langzaam verwatert, maar als blijvende inrichting.
Waarom Newmorn’?
Wat Newmorn’ onderscheidt, is de combinatie van inhoudelijke kennis en praktische uitvoering. We begrijpen de eisen van NIS2 en de relatie met standaarden zoals ISO 27001, maar richten ons vooral op wat werkt binnen de organisatie.
We beginnen bij inzicht. Niet meteen bouwen, maar eerst bepalen wat er al is, wat ontbreekt en waar het grootste risico zit.
Daarna vertalen we compliance naar werkbare sturing. Geen theoretisch model en geen papieren werkelijkheid, maar een inrichting waarin verantwoordelijkheden, maatregelen en voortgang zichtbaar worden.
Waar mogelijk sluiten we aan op bestaande middelen, zoals Microsoft 365 en SharePoint. Zo voorkomen we onnodige complexiteit en bouwen we aan een oplossing die past bij de schaal, capaciteit en realiteit van de organisatie.
Onze aanpak is inhoudelijk sterk, maar ook pragmatisch. Want digitale weerbaarheid werkt alleen als mensen ermee kunnen werken.
De volgende stap
Voor organisaties die onder NIS2 vallen of er indirect mee te maken krijgen, is dit het moment om in beweging te komen. Niet alleen om te voldoen aan wetgeving, maar vooral om digitale weerbaarheid structureel te versterken.
Newmorn’ helpt om die stap concreet en beheersbaar te maken. Van eerste inzicht naar een werkend managementsysteem dat grip geeft en aantoonbaar maakt wat je doet.
Start met een NIS2 quick scan
Wil je weten waar je organisatie staat ten opzichte van NIS2 en de Cyberbeveiligingswet? Met een NIS2 quick scan brengt Newmorn’ in kaart wat er al goed staat, waar de belangrijkste risico’s zitten en welke stappen nodig zijn om aantoonbaar grip te krijgen op digitale weerbaarheid.
Liever eerst sparren? Plan dan een kennismaking.
Jordi van Duyne
Wil je meer weten over NIS2, sparren over de Cyberbeveiligingswet of een kennismaking inplannen? Neem dan gerust contact op met Jordi van Duyne.
