NIS2 implementeren: zo pakt een middelgroot bedrijf het aan
U registreert uw bedrijf bij het BSI, neemt beveiligingsmaatregelen op tien gebieden en meldt significante incidenten. De directie houdt daar toezicht op. Hoe grondig elke maatregel moet zijn, hangt af van de omvang en het risico van uw bedrijf.
Programma's en lidmaatschappen
De vier plichten
NIS 2 is een Europese richtlijn. In Duitsland zet de BSI-wet (BSIG) haar om in nationaal recht. Een bedrijf waarvoor zij geldt, heet daar een “entiteit”. Elke entiteit heeft vier plichten.
Registreren
U meldt uw bedrijf eenmalig aan bij het BSI, via het portaal van het BSI.
- Wet
- Art. 3(4) NIS 2 · § 33 BSIG
- Wie
- Wie het ELSTER-account van het bedrijf beheert
Maatregelen nemen en vastleggen
U beschermt uw IT op tien gebieden, van het incidentplan tot inloggen met een tweede factor. Wat u besluit, legt u schriftelijk vast.
- Wet
- Art. 21 NIS 2 · § 30 BSIG
- Wie
- Wie verantwoordelijk is voor de IT, intern of als dienstverlener
Significante incidenten melden
Een significant beveiligingsincident meldt u bij het BSI, de eerste melding binnen 24 uur. Een incident is bijvoorbeeld significant als het uw bedrijf ernstig verstoort.
- Wet
- Art. 23 NIS 2 · § 32 BSIG
- Wie
- Wie in een noodgeval beslist
De directie geeft leiding
De directie voert de maatregelen in en houdt er toezicht op. Ook volgt zij regelmatig een training. Deze plichten rusten op de directie zelf.
- Wet
- Art. 20 NIS 2 · § 38 BSIG
- Wie
- De directie, persoonlijk
Wat dit betekent bij 50 tot 150 medewerkers
U hebt geen eigen securityteam nodig. De wet eist dat niet.
U hebt geen certificaat zoals ISO 27001 nodig. De wet schrijft dat niet voor, maar het kan helpen als bewijs.
De maatregelen moeten bij uw bedrijf passen. De maatstaf is uw risico, uw omvang, de kosten en hoe waarschijnlijk en ernstig incidenten zouden zijn (§ 30(1), tweede zin, BSIG).
U legt vast wat u invoert (§ 30(1), derde zin, BSIG). De maatregelen moeten ook werken.
Het werk doen mensen die u al hebt: de directie, wie verantwoordelijk is voor de IT, en de afdelingen die weten wat het bedrijf nodig heeft.
In welke volgorde
Elke stap bouwt voort op de vorige.
- 1Nagaan of NIS2 voor u geldt. Dat hangt af van uw sector, het aantal medewerkers en de omzet (§ 28 BSIG).
- 2Registreren bij het BSI.
- 3De directie laten trainen.
- 4Opschrijven welke IT uw bedrijf gebruikt en wie voor u werkt. Daarna de risico's beoordelen.
- 5De maatregelen vaststellen en vastleggen in documenten: een beveiligingsbeleid, noodplannen en regels voor toegang, updates en versleuteling.
- 6De directie leest de documenten en keurt ze goed.
- 7Daarna regelmatig nagaan of alles nog klopt.
Een voorbeeld
Een verzonnen bedrijf: een maker van transportsystemen met 90 medewerkers. Eén medewerker beheert de IT, samen met een externe dienstverlener.
De toets laat zien: machinebouw staat in bijlage 2 van de BSIG. Met 90 medewerkers geldt het bedrijf als belangrijke entiteit.
De directeur vraagt bij ELSTER een organisatiecertificaat aan. Zodra de brief met de activeringscode binnen is, registreert hij het bedrijf in het portaal van het BSI.
Hij volgt een training voor de directie.
De IT-medewerker schrijft op waar het bedrijf van afhangt: ERP, e-mail, ontwerpsoftware, productiebesturing, back-ups. Daarna de leveranciers, zoals de IT-dienstverlener en de leverancier van het ERP.
Samen beoordelen ze per onderdeel wat er kan gebeuren. Uitval van de productiebesturing weegt het zwaarst.
Daaruit volgen de documenten: het beveiligingsbeleid, een incidentresponsplan, een bedrijfscontinuïteitsplan en regels voor toegang, updates en versleuteling.
De directeur leest ze en keurt ze goed. In het incidentresponsplan staat wie bij een incident beslist.
Zo gaat het in de doorloop
De doorloop op nisd2.eu leidt u in deze volgorde door de implementatie, stap voor stap.
20 stappen. Exploitanten van kritieke installaties hebben er één meer.
Naast elke stap staat de wet, in eenvoudige woorden uitgelegd.
Uit uw antwoorden ontstaan zes documenten, waaronder het beveiligingsbeleid en de twee noodplannen.
Wat nog niet lukt, zet u opzij en u gaat verder.
Besluit u een punt bewust niet in te voeren, dan schrijft u op waarom. Ook dat besluit ondertekent de directie.
Aan het eind keurt de directie de documenten goed in de app, ingelogd met een eigen account. Naam en datum staan daarna op elk document.
Veelgemaakte fouten
Wachten op definitieve richtlijnen
De BSIG geldt sinds 6 december 2025. Sindsdien geldt ook de plicht om maatregelen te nemen volgens § 30 BSIG.
Te groot plannen
De wet vraagt om evenredige maatregelen, niet om zo groot mogelijke. Systemen voor aanvalsdetectie zijn bijvoorbeeld alleen verplicht voor exploitanten van kritieke installaties (§ 31(2) BSIG).
NIS2 alleen aan de IT overlaten
De directie moet de maatregelen invoeren en er toezicht op houden (§ 38(1) BSIG). Betrek de directie vanaf het begin.
De leveranciers vergeten
De beveiliging van de toeleveringsketen is een van de tien gebieden (§ 30(2) nr. 4 BSIG). Het gaat om alle directe leveranciers en dienstverleners, niet alleen om de IT.
Alleen papier
De wet vraagt om maatregelen die werken (§ 30(1) BSIG). Een document dat niemand kent, beschermt niets.
Bronnen
- Richtlijn (EU) 2022/2555 (NIS 2), art. 3, 20, 21 en 23 (eur-lex.europa.eu)
- BSI-wet (BSIG) van 2 december 2025, §§ 28, 30, 31, 32, 33 en 38, van kracht sinds 6 december 2025 (gesetze-im-internet.de/bsig_2025)
- BSIG, bijlage 2, nr. 5.4 machinebouw (gesetze-im-internet.de/bsig_2025/anlage_2.html)
- BSI, Mein Unternehmenskonto en registratie in het BSI-portaal (bsi.bund.de/dok/muk)
In de praktijk
Waar dit in de begeleide doorloop terugkomt
De begeleide doorloop maakt hier stappen van die u invult, met de wet bij elke stap uitgelegd. Open een stap om het scherm te zien, ingevuld voor een verzonnen bedrijf.
De doorloop zelf is in het Duits en het Engels.
Registration & Reporting
Register with your authority
Your company registers once with your authority.
Risk Management
Write down what your company has
A list of the processes, software and devices you work with.
Effectiveness Assessment
Record the management review
Management checks whether the measures work and approves your documents.
Wat de doorloop kost
€ 4.800 netto per jaar, excl. btw
30 dagen geld terugOp factuur, betaling binnen 30 dagen. Opzeggen in de eerste 30 dagen: factuur geannuleerd of geld terug.
Begeleide NIS 2 implementatie, stap voor stap
Een geschiedenis van wijzigingen en goedkeuringen, om aan uw toezichthouder te tonen
Deadlines en herinneringen per vereiste
Beveiligingsvragenlijst voor uw leveranciers
Export naar PDF of CSV, op elk moment
Moet u zich met NIS2 bezighouden?
We begeleiden u stap voor stap. U vult in, wij leggen elk punt in eenvoudige woorden uit, en aan het eind tekent de directie.