Wat is NIS2 (en waarom zou het jou iets kunnen schelen)?
NIS2 is een Europese wet die de digitale beveiliging van bedrijven en organisaties naar een hoger, verplicht basisniveau tilt. Nederland giet die Europese regels in een eigen wet: de Cyberbeveiligingswet. Die treedt op 15 augustus 2026 in werking.
Het idee erachter is simpel. Zoveel van onze samenleving draait op software, sites en online diensten, dat een lek bij één schakel een probleem wordt voor iedereen die van die schakel afhankelijk is. NIS2 legt daarom eisen op aan hoe je je beveiliging regelt, en verplicht je om ernstige incidenten te melden.
Voor bureaus en SaaS-bedrijven is de hamvraag: val ik hieronder, en zo ja, wat moet ik dan doen? Dat hangt af van je omvang - en van één technisch detail dat velen over het hoofd zien.
Ben jij meldplichtig? De 50/10-drempel
De basis is overzichtelijk. Heb je minder dan 50 mensen in dienst én minder dan € 10 miljoen omzet per jaar? Dan val je in principe buiten de verplichte registratie- en meldplicht van NIS2.
"In principe", want je mág je vrijwillig aanmelden bij het Nationaal Cyber Security Centrum (NCSC). Dat klinkt als extra werk, maar het is wel verstandig. Werk je voor grote klanten, dan zullen die steeds vaker vragen of jij je zaakjes op orde hebt. Kunnen aantonen dat je 'meedoet' met NIS2 is dan een sterk signaal, en soms een voorwaarde om überhaupt zaken te mogen doen.
Zit je bóven die drempel, dan is dit artikel je startpunt, maar niet je eindstation: dan gelden de volledige verplichtingen en is professioneel advies op zijn plaats. De rest van dit stuk gaat uit van organisaties onder de drempel.
Het grijze gebied: eigen nameservers
En dan nu het detail waardoor "ik ben te klein, dus dit geldt niet voor mij" niet meer zo zeker is.
NIS2 rekent 'DNS-dienstverleners' tot de kritieke digitale infrastructuur. Voor die categorie geldt de 50/10-drempel niet: je kunt er dus onder vallen, hoe klein je ook bent. Draai je je eigen nameservers - bijvoorbeeld op een VPS of dedicated server, om de DNS van jezelf of je klanten te beheren - dan komt die vraag opeens dichtbij.
Maar of jij écht als 'DNS-dienstverlener' telt, is een grijs gebied. De wet mikt op partijen die DNS voor derden of publiek aanbieden. Draai je nameservers puur voor je eigen handvol domeinen, dan is het maar de vraag of je eronder valt. Verzorg je authoritative DNS voor klanten, dan kom je eerder in beeld. De precieze grens en de guidance zijn nog volop in ontwikkeling, dus reken jezelf niet te snel rijk - of arm.
Waarom DNS überhaupt zo zwaar weegt? DNS is de laag die een domeinnaam vertaalt naar het IP-adres van de server waar de site draait. Zonder werkende DNS is een site simpelweg onbereikbaar, ook al staat de server gewoon aan. Gaat jouw nameserver plat door een aanval, dan zijn niet alleen jouw eigen sites onbereikbaar, maar mogelijk ook die van alle klanten die erop leunen. Precies die kettingreactie wil NIS2 voorkomen.
Draai je je eigen nameservers? Dan is 'ik ben te klein' geen uitgemaakte zaak.
Eén ding blijft ons sowieso een raadsel: waarom de wet juist bij DNS zo'n punt maakt, en niet bij wie zijn eigen servers - met alle sites en klantdata erop - beheert. Ook dat is kritieke infrastructuur, zou je zeggen. Maar de grens ligt nu eenmaal bij DNS.
Wat je nu moet doen: zoek uit of je eigen (authoritative) nameservers draait, en of je DNS ook voor klanten verzorgt. Is dat zo, ga er dan niet vanuit dat je automatisch vrijgesteld bent: leg je situatie voor aan een jurist of aan het NCSC. Draai je je DNS bij een hoster? Dan ligt die verantwoordelijkheid daar, niet bij jou.
Ook zonder meldplicht: NIS2 als gratis checklist
Stel, je draait geen eigen nameservers en zit onder de drempel. Dan hoef je formeel niets. Toch is NIS2 het uitgelezen moment om je eigen processen tegen het licht te houden.
Want als hosting en infrastructuur niet je corebusiness zijn - en dat zijn ze voor de meeste bureaus niet - dan ben je, plat gezegd, overgeleverd aan je leveranciers. Gaat het daar mis, dan sta jij met lege handen tegenover je klant. Vier dingen zijn dan het nakijken waard.
Is hosting niet je corebusiness? Dan ben je overgeleverd aan je leveranciers. Dus kies er een die je vertrouwt.
Weet op wie je leunt
Breng in kaart welke leveranciers een rol spelen in wat je aan klanten levert: je hostingpartij, je domeinregistrar, je e-mailprovider, externe API's.
Vraag door op ISO 27001
Heeft je leverancier een ISO 27001-certificering? Dat is een goed signaal dat ze hun beveiliging serieus nemen. Maar een certificaat is geen garantie dat de beveiliging inhoudelijk klopt: lees de nuance in ons artikel over ISO-certificering. Blijf dus ook inhoudelijke vragen stellen.
Zet je incidentdraaiboek klaar
Wat gebeurt er als een site van een klant wordt gehackt? Wie doet wat, in welke volgorde, en wie belt de klant? Je denkt er liever niet aan, en misschien gebeurt het wel nooit. Maar een half A4'tje is echt beter dan improviseren om 23:00 terwijl de klant belt.
Houd klantgegevens actueel
Kloppen de contactgegevens van je klanten nog? Bij een incident wil je binnen minuten de juiste persoon aan de lijn hebben, niet een mailadres van iemand die twee jaar geleden vertrok.
De kleine lettertjes: .de- en .dk-domeinen
NIS2 zit vol kleine nuances, en een concrete voel je meteen als je domeinen namens klanten registreert. Voor .de- (Duitsland) en .dk-domeinen (Denemarken) gelden onder NIS2 strengere eisen aan de gegevens in de WHOIS: de openbare registratiegegevens achter een domeinnaam.
Concreet betekent dat: registrars zijn verplicht om nauwkeurige en volledige contactgegevens vast te leggen, inclusief een werkend e-mailadres van de domeinhouder. Vul je daar iets onvolledigs of ongeldigs in, dan kan een registratie of verlenging worden geweigerd - met een domein dat (bijna) verloopt als gevolg. Registreer je .de- of .dk-domeinen voor klanten, controleer dan of je klantgegevens kloppen en of het opgegeven e-mailadres écht werkt.
Meer over de precieze impact op .de- en .dk-domeinen lees je in deze uitleg van Oxxa.
Als het tóch moet: wat NIS2 van je vraagt
Val je wél onder NIS2 (mogelijk door je eigen nameservers, of omdat je boven de drempel groeit)? Dan komt het neer op twee dingen: je beveiliging op orde hebben, en ernstige incidenten op tijd melden.
Bij dat eerste denk je aan maatregelen als tweefactorauthenticatie, encryptie, back-ups, een patchbeleid, toegangsbeheer en afspraken met je eigen leveranciers. Bij dat tweede gelden strakke termijnen na een ernstig incident:
Die klok tikt vanaf het moment dat je het incident ontdekt. Vandaar het belang van je draaiboek en actuele contactgegevens: 24 uur is zo voorbij als je eerst nog moet uitzoeken wie waarover gaat. En let op: onder NIS2 is het bestuur van een organisatie zelf aansprakelijk voor de naleving. Cybersecurity is dus geen ver-van-mijn-bed-onderwerp meer dat je volledig kunt doorschuiven naar "de techneuten".
Incidentendraaiboek voor SaaS
Als SaaS-bedrijf lopen er bij een incident twee klokken tegelijk: die van je klanten, die willen weten of hun data veilig is, en die van NIS2, met harde meldtermijnen. Een draaiboek dat je vooraf klaarlegt, scheelt in het heetst van de strijd kostbare minuten. Download hieronder ons basisdraaiboek en scherp het aan naar je eigen situatie.
Incidentendraaiboek voor bureaus
Voor een bureau ligt het net iets anders: je beheert vaak tientallen tot honderden klantsites, en soms ook hun domeinen en DNS. Eén incident kan één site raken, of - in het slechtste geval - je hele portfolio tegelijk. Download hieronder ons draaiboek dat je helpt snel de juiste dingen in de juiste volgorde te doen.
Verder dan NIS2: slimme security-basics
NIS2 of niet, een paar basisdingen maken je meteen een stuk veiliger.
Beveiligingsbewustzijn
De duurste firewall helpt niet als iemand de deur openhoudt voor een vreemde. De meeste incidenten beginnen niet met een spectaculaire hack, maar met een verkeerde klik. Maak je team doorlopend bewust van phishing, social-engineering en privacy, zodat security top-of-mind blijft bij elke dagelijkse beslissing.
Identiteitsverificatie
Laat gevoelige verzoeken - confidentiële informatie opvragen, een wijziging laten doorvoeren - altijd via een beveiligd kanaal lopen, niet zomaar via mail of telefoon. Iedereen kan tenslotte net doen alsof die de baas is.
Losse servers voor losse doeleinden
Draaien DNS, mail, web en database op één server, dan geeft één kritieke kwetsbaarheid toegang tot alles: een lekke mailserver wordt zo een gelekte klantdatabase. Zet services zo veel mogelijk op aparte servers, zodat een inbraak in de ene niet overslaat naar de ander. Op Core is dat standaard makkelijk te regelen.
Database-encryptie 'at rest'
Versleutel je databases op de disk. Komt iemand aan de rauwe databasebestanden, dan is de data onleesbaar en dus onbruikbaar. In Core zet je dit direct aan.
Inzicht in je software en versies
Welke CMS'en, plug-ins en software draaien er, in welke versie, op welke server, voor welke klant? Kun je dat niet binnen een paar minuten beantwoorden, dan ben je te laat zodra er een kritiek lek opduikt. Houd een actueel overzicht van je hele inventaris bij, zodat je bij een kwetsbaarheid meteen weet wát je moet patchen en waar.
Meerdere bronnen, jaarlijkse review
Volg via meerdere kanalen welke kwetsbaarheden verschijnen, en evalueer jaarlijks of je nog de juiste bronnen volgt. Lees meer in ons artikel over de stroom aan kwetsbaarheden.
Je to-do-lijst, per type organisatie
Onderstaande lijsten gaan uit van organisaties onder de drempel van 50 mensen of € 10 miljoen omzet. Zit je erboven, gebruik dit dan als startpunt en haal er professioneel advies bij.
Voor iedereen
- Zoek uit of je eigen nameservers draait, en of je DNS ook voor klanten verzorgt. Zo ja: dan kun je - los van je omvang - tóch onder NIS2 vallen. Ga er niet zomaar vanuit dat je vrijgesteld bent en zoek het uit.
- Zet een kort incidentdraaiboek op papier: wie doet wat als er iets misgaat.
- Controleer of de contactgegevens van je klanten actueel zijn.
- Zet een statuspagina op waar je bij een incident updates plaatst, zodat je iedereen tegelijk up-to-date houdt zonder ze dood te spammen.
- Vraag je hostingpartij naar hun beveiliging en of ze ISO 27001-gecertificeerd zijn.
Bureaus met meerdere mensen
- Registreer je domeinen namens klanten? Controleer de WHOIS-gegevens, met extra aandacht voor .de- en .dk-domeinen en een werkend e-mailadres per domeinhouder.
- Draaien je klantsites op gedeelde hosting of een managed platform? Leg vast wie waarvoor verantwoordelijk is bij een incident (jij of je hoster).
- Wijs vooraf een incidentcoördinator aan en leg vast wie wat doet als het misgaat. Met meerdere mensen is het grote risico dat iedereen denkt dat een ander het oppakt.
- Draai je zelf een VPS met nameservers "omdat het handig was"? Overweeg de DNS te verhuizen naar een platform dat deze verantwoordelijkheid overneemt, of houd er rekening mee dat je mogelijk onder de meldplicht valt.
- Draai je eigen infrastructuur? Regel de basis: tweefactorauthenticatie, encryptie, back-ups en een helder patchbeleid (weet je binnen enkele minuten wat waar draait en welke versie?), en werk een incidentresponsplan uit met de 24 / 72 uur / 1 maand-termijnen erin.
Zzp'ers
- Je bent in je eentje coördinator én uitvoerder. Leun daarom extra op een betrouwbare hoster die monitoring, back-ups en incidentrespons van je overneemt: dat is jouw 'tweede paar handen'.
- Regel een noodplan voor als jij onbereikbaar bent (ziek, vakantie): zorg dat één vertrouwd persoon, of je hoster, bij je systemen, domeinen en registrar kan. Anders staat alles stil zodra jij dat doet.
- Houd het simpel: draai geen eigen nameservers of VPS als het niet hoeft. Dan voorkom je meteen de discussie of je als 'DNS-dienstverlener' onder NIS2 valt.
- Controleer ook als eenpitter de WHOIS-gegevens van domeinen die je voor klanten beheert, met extra aandacht voor .de en .dk.
SaaS-bedrijven
- Bepaal of je dienst onder NIS2 valt: online diensten en cloudsoftware vallen eerder onder de wet dan een gemiddeld bureau. Check de drempels en het type dienst.
- Leg contractueel vast dat je hosting- en infrastructuurleveranciers je tijdig informeren bij een incident. Anders haal jij je eigen 24 / 72 uur-termijn nooit.
- Zorg dat je supply-chain klopt: je hostingprovider, betaalproviders en third-party-API's zijn allemaal schakels waarvoor jij richting je klanten aanspreekbaar bent.
- Registreer je bij het NCSC zodra je onder de meldplicht valt, en houd je registratiegegevens actueel.
Wat ons échte managed-hosting-platform Core voor je overneemt
Klinkt dit als veel werk? Dat hoeft het niet te zijn. Het grootste deel gaat over goede afspraken en een betrouwbare hostingpartij die het zware werk - beveiliging, monitoring, incidentrespons, DNS - overneemt. Op Core is een aantal van deze security-basics standaard goed geregeld:
Dagelijkse malware-scan
Elk project wordt dagelijks gescand op malware, backdoors en verdachte bestandswijzigingen, met extra aandacht voor bekende infecties in veelgebruikte CMS-en zoals WordPress. Vinden we iets, dan hoor je het direct.
Security.txt voor al je projecten
Voorzie al je sites in één handeling van een security.txt-policy, zodat veiligheidsonderzoekers weten hoe ze een lek bij je kunnen melden. Handmatig op tientallen sites inloggen om een bestand te uploaden hoeft niet.
Scans op internetstandaarden
Laat elk domein scannen op moderne internetstandaarden zoals IPv6, DNSSEC, RPKI, DMARC en TLS. Je ziet meteen wat voldoet en wat je moet aanpakken, ook voor klanten die dat vereisen (zoals (semi-)overheid).
ISO 27001-gecertificeerd
Een onafhankelijke auditor controleert onze beveiliging elk jaar. Let wel: een certificaat zegt niet álles over echte beveiliging - lees meer in ons artikel over ISO-certificering.
Lees meer over beveiliging bij Cyberfusion →
← Terug naar Insights