Je valt niet onder NIS2 — en tóch krijg je die vragenlijst
Steeds meer MKB’ers worden gebeld of gemaild met vragen over hun digitale beveiliging. Niet omdat ze onder de wet vallen, maar omdat een grotere klant dat van ze vraagt. Hoe zit dat?
Hoe kan dat?
Sinds de nieuwe Cyberbeveiligingswet (de Nederlandse uitwerking van de EU-richtlijn NIS2) moeten grotere en kritieke organisaties niet alleen hun eigen beveiliging op orde hebben, maar ook naar hun hele keten kijken. Een ziekenhuis, energiebedrijf of grote opdrachtgever is wettelijk verplicht om de risico’s bij zijn leveranciers te beoordelen en te beheersen.
Het gevolg: die organisaties leggen eisen op aan hun toeleveranciers. Een vragenlijst, een audit, of een clausule in het contract. En zo beland jij — de leverancier — indirect in NIS2, ook als je er zelf niet onder valt.
Wat de officiële tool je níet vertelt
De overheid heeft een officiële NIS2-Zelfevaluatie. Die beantwoordt precies één vraag: val ik onder de wet, ja of nee? Voor de meeste MKB’ers is het antwoord “nee”.
Maar daar zit nou juist de verwarring. Want terwijl de tool zegt “u hoeft niet te voldoen”, ligt er ondertussen wél een vragenlijst van je klant op tafel. Niet voldoen aan de wet is iets anders dan niet hoeven aantonen dat je veilig werkt.
Niet de wet maakt het urgent voor het MKB — je klant doet dat.
Wat betekent dit concreet voor jou?
Goed nieuws: je hoeft geen compliance-afdeling op te tuigen. Het gaat om een stevige basis die je sowieso wilt hebben: tweestapsverificatie (MFA), geteste back-ups, tijdige updates, overzicht van wie toegang heeft, en een simpel plan voor als er iets misgaat.
En het bewijs richting je klant? Daarvoor bestaat de branche-brede NIS2 Cyber Score — een zelfverklaring die je kunt delen. Bureau Mos IT helpt je om die score te halen én om de basis echt op orde te brengen, zonder poespas.
Benieuwd waar jij staat?
Krijg je beveiligingsvragen van klanten, of twijfel je of je iets moet regelen? Eén nuchter gesprek geeft vaak al duidelijkheid — geen bangmakerij.