De NIS2-richtlijn verplicht een aanzienlijk bredere groep organisaties om aantoonbaar in controle te zijn over hun digitale weerbaarheid. Waar de oude richtlijn zich vooral richtte op enkele kritieke sectoren, vallen nu ook middelgrote bedrijven in energie, zorg, digitale infrastructuur en de maakindustrie onder de verplichting.

Concreet betekent dit: een risicobeoordeling die je kunt onderbouwen, een incidentresponsplan dat daadwerkelijk is getest, en bestuurders die persoonlijk verantwoordelijk zijn voor toezicht op cyberrisico’s. Onwetendheid is geen verweer meer — de richtlijn verwacht aantoonbare zorgvuldigheid.

Wij zien in de praktijk dat organisaties die nu beginnen met een nulmeting het snelst grip krijgen: weten waar de gaten zitten is de eerste stap naar een plan dat een toezichthouder — en de eigen directie — overtuigt.