NIS2 en telecom: wat het voor jou betekent

Oktober 2025 | Laatst gewijzigd: Augustus 2026

 

De komst van de NIS2-richtlijn zet de telecom- en ICT-sector flink op scherp. Deze Europese richtlijn is in Nederland geïmplementeerd in de Cyberbeveiligingswet (Cbw). Deze wet is op 15 augustus 2026 in werking getreden en vervangt de Wet beveiligde netwerk- en informatiesystemen (Wbni).

In dit blog leggen we uit wat de Cyberbeveiligingswet, de Nederlandse uitwerking van de NIS2-richtlijn, inhoudt, welke bedrijven in telecom en ICT hieronder vallen en wat de wet in de praktijk betekent voor jou als ICT-reseller of MSP.

Digitale aanvallen en storingen raken tegenwoordig niet alleen maar grote bedrijven of overheidsorganisaties. Vandaag de dag kunnen ze zelfs complete sectoren, zoals bijvoorbeeld telecom, platleggen en daardoor een directe invloed hebben op miljoenen mensen. Daarom is het belangrijk dat alle schakels in de keten, van grote telecomaanbieders en MSP’s tot kleinere ICT-resellers, aandacht besteden aan cybersecurity. Zelfs als jouw bedrijf volgens de regels van de Cyberbeveiligingswet niet officieel als ‘essentieel’ of ‘belangrijk’ wordt aangemerkt, kan de wet invloed hebben op jouw bedrijfsvoering. Klanten zullen namelijk vaker eisen stellen aan de beveiliging van jouw diensten en processen.

Wat is NIS2 en wie valt eronder?

De eerste NIS-wet uit 2016 richtte zich vooral op vitale sectoren zoals energie, transport en digitale infrastructuur. Met NIS2 is die doelgroep fors uitgebreid, omdat digitale verstoringen vandaag de dag een nog veel grotere impact kunnen hebben. Denk aan een telecomnetwerk dat platligt, een ransomware-aanval op een grote cloud-dienstverlener of een datalek bij een provider. Daarom richt NIS2 zich nog steeds op de sectoren die onder de eerste NIS-richtlijn vallen, maar zijn deze nu aangevuld met een aantal nieuwe sectoren.

Onder NIS2 vallen onderstaande sectoren:

Zeer kritieke sectoren: energie, vervoer, bankwezen, infrastructuur financiële markt, gezondheidszorg, drinkwater, digitale infrastructuur, beheer van ICT-diensten, afvalwater, overheid en ruimtevaart.

Andere kritieke sectoren: digitale aanbieders, post- en koeriersdiensten, afvalstoffenbeheer, levensmiddelen, chemische stoffen, onderzoek en vervaardiging.

Binnen de Cyberbeveiligingswet wordt onderscheid gemaakt tussen twee typen entiteiten: essentiële entiteiten en belangrijke entiteiten. Of een organisatie onder de wet valt en in welke categorie zij wordt ingedeeld, hangt af van verschillende factoren, zoals de sector waarin de organisatie actief is, de omvang van de organisatie en de specifieke activiteiten die zij uitvoert.

• Essentiële entiteiten: dit zijn organisaties die actief zijn in aangewezen zeer kritieke sectoren en die vanwege hun omvang of activiteiten onder de strengere categorie van de Cyberbeveiligingswet vallen.

• Belangrijke entiteiten: dit zijn organisaties die actief zijn in aangewezen zeer kritieke of andere kritieke sectoren en die vanwege hun omvang of activiteiten onder de wet vallen.

Het onderscheid tussen beide categorieën bepaalt onder meer welke verplichtingen en toezichtregels van toepassing zijn. De criteria zijn afhankelijk van de specifieke sector en situatie en kunnen uitzonderingen bevatten. Daarom kan op basis van alleen de sector en omvang niet altijd worden vastgesteld of een organisatie onder de Cyberbeveiligingswet valt.

Wat betekent NIS2 concreet voor telecom en ICT?

ICT-resellers en MSP’s vallen dus niet automatisch onder de Cyberbeveiligingswet. Dat hangt af van de diensten die je aanbiedt, de sector waarin je actief bent en de overige wettelijke criteria. ICT-resellers en MSP’s maken vrijwel altijd deel uit van de zeer kritieke sectoren ‘digitale infrastructuur’, ‘beheer van ICT-diensten’ of de andere kritieke sector ‘digitale aanbieders’. Maar dat betekent dus niet direct dat je valt onder de NIS2-wetgeving. Hiervoor moet je ook voldoen aan de overige genoemde voorwaarden.

Om je een beter beeld te geven van de ICT-gerelateerde sectoren van NIS2 zetten we ze nog even op een rijtje:

• Digitale infrastructuur: bedrijven die zorgen voor de basis van onze digitale wereld, zoals aanbieders van openbare elektronische communicatienetwerken en communicatiediensten, cloudcomputingdiensten, datacentrumdiensten, DNS-dienstverleners en registerhouders van topleveldomeinnamen.

• Beheer van ICT-diensten: IT-bedrijven die organisaties ondersteunen met hun systemen. Denk aan netwerkbeheerders, cybersecurityspecialisten, IT-support en adviesbureaus die cloud, beheer en beveiliging regelen.

• Digitale aanbieders: bedrijven die digitale diensten aanbieden of digitale infrastructuur beheren zoals aanbieders van online marktplaatsen, onlinezoekmachines en sociale netwerkplatforms.

Niet steeds niet helemaal zeker of je binnen NIS2 valt? Doe dan de NIS2 Zelfevaluatie van de overheid.

Ik val niet onder de Cyberbeveiligingswet, hoef ik nu helemaal niks te doen?

Kleinere resellers en MSP’s vallen meestal niet direct onder de Cyberbeveiligingswet, maar hebben er indirect wel mee te maken. Klanten die namelijk wél onder deze wet vallen, kunnen eisen dat al hun leveranciers ook aan bepaalde veiligheidseisen of aan NIS2 voldoen.

Een concreet voorbeeld: een ICT-reseller met tien medewerkers levert een communicatiedienst aan een groot ziekenhuis. Het ziekenhuis moet voldoen aan de NIS2 en vraagt daarom van de reseller dat hij voldoet aan specifieke beveiligingsmaatregelen. Zo wordt de hele keten beter beschermd en blijven kritieke diensten beveiligd.

Het zijn van een directe leverancier van een organisatie die onder de Cyberbeveiligingswet valt, betekent dus niet direct dat jij zelf verplicht bent om aan NIS2 te voldoen, maar dat klanten dit wel van je vragen. Dit komt doordat zij bij controle door de toezichthouder moeten kunnen aantonen dat ook de risico’s van uitbestede activiteiten veilig genoeg zijn afgedekt. In dit geval kom je dus niet zelf onder toezicht te staan, maar zal je aan je klant wel alle informatie moeten kunnen aanleveren om aan te tonen dat de diensten die je levert veilig zijn.

Daarmee wordt de beveiliging van de toeleveringsketen steeds belangrijker. Organisaties die rechtstreeks onder de Cyberbeveiligingswet vallen, moeten namelijk ook risico’s in hun toeleveringsketen meenemen in hun cybersecuritybeleid. Voor ICT-resellers en MSP’s betekent dit dat klanten steeds vaker vragen kunnen stellen over bijvoorbeeld beveiligingsmaatregelen, incidentprocedures, toegangsbeheer, updates en de manier waarop je met leveranciers omgaat.

Welke verplichtingen brengt Cyberbeveiligingswet met zich mee?

De Cyberbeveiligingswet kent drie belangrijke verplichtingen: zorgplicht, meldplicht en registratieplicht.

Zorgplicht: De zorgplicht betekent dat bedrijven moeten aantonen dat ze hun digitale risico’s kennen en passende maatregelen nemen. Dat gaat verder dan een firewall of antivirus. Het gaat om het periodiek uitvoeren van risicoanalyses, het regelmatig testen van systemen, het toepassen van goede toegangsbeveiliging zoals tweestapsverificatie, het veilig opslaan en versleutelen van klantdata en bedrijfsinformatie en het maken en testen van back-ups. De Cyberbeveiligingswet schrijft tien zorgplichtmaatregelen voor. Daarbij gaat het onder andere om risicoanalyse, incidentrespons, voorbereiding op uitval, beveiliging van de toeleveringsketen, cyberhygiëne, netwerk- en informatiebeveiliging, personeel en toegangsbeheer, authenticatie, cryptografie en het beoordelen van de effectiviteit van beveiligingsmaatregelen. Welke maatregelen precies passend zijn, hangt af van de risico’s en omstandigheden van de organisatie.

Registratieplicht: Entiteiten moeten zich registreren bij het Nationaal Cyber Security Centrum (NCSC). Deze registratie maakt duidelijk dat zij onder de wet vallen en zorgt ervoor dat ze toegang krijgen tot relevante informatie over dreigingen. De registratieplicht geldt vanaf 15 augustus 2026 voor organisaties die onder de Cyberbeveiligingswet vallen. Registratie vindt plaats in het nationale entiteitenregister via MijnNCSC. De registratie is dus niet alleen een administratieve formaliteit: na registratie kunnen organisaties ook gebruikmaken van de dienstverlening van hun Computer Security Incident Response Team (CSIRT), bijvoorbeeld voor informatie over dreigingen en ondersteuning bij incidenten.

Meldplicht: De meldplicht stelt dat ernstige incidenten binnen 24 uur gemeld moeten worden bij de toezichthouder via het NCSC-portaal. Dit geldt voor storingen, cyberaanvallen of datalekken die een grote impact hebben op jouw dienstverlening of die van je klanten. Na de initiële melding moet er binnen 72 uur een update komen en tot slot een maand later een eindverslag. Het doel hiervan is dat incidenten snel worden opgepakt, de impact beperkt blijft en toezichthouders tijdig inzicht krijgen in de risico’s.

 

Wat betekent dit concreet voor jou als reseller of MSP?

Voor jou betekent de Cyberbeveiligingswet dat klanten steeds vaker vragen kunnen stellen over de veiligheid van jouw diensten. Ketenzorg is namelijk misschien wel een van de grootste veranderingen binnen NIS2. Hierbij moeten bedrijven niet alleen naar hun eigen processen kijken, maar ook naar die van hun leveranciers.

Klanten kunnen daarom steeds vaker vragen om inzicht in hoe jij omgaat met updates, patchbeleid en incidentmeldingen. Daarnaast zal er ook kritischer gekeken worden naar de partijen waarmee je samenwerkt; leveranciers moeten aantoonbaar veilig werken om de keten betrouwbaar te houden. Contracten zullen bovendien steeds vaker bepalingen over beveiliging, meldprocedures en audits bevatten.

Dit klinkt misschien als extra werk, maar het biedt ook kansen. Bedrijven die hun zaken goed op orde hebben, worden aantrekkelijker voor grotere klanten en versterken hiermee hun positie in de markt.

Welke stappen kun je nu zetten?

Nu de Cyberbeveiligingswet van kracht is, is het belangrijk om niet langer alleen vooruit te kijken naar de komst van de wet. Breng daarom eerst in kaart of jouw organisatie zelf onder de wet valt.

Een goede voorbereiding begint met inzicht in je eigen keten. Breng in kaart wie je belangrijkste leveranciers en klanten zijn en controleer of basismaatregelen inzake wachtwoorden, back-ups en updates op orde zijn. Maak duidelijke afspraken over hoe je samenwerkt bij incidenten of storingen en communiceer actief met je klanten.

Val je zelf onder de Cyberbeveiligingswet? Zorg dan dat je registratie, zorgplicht en meldprocedures op orde zijn. Kijk daarnaast kritisch naar je incidentrespons en de beveiliging van je toeleveringsketen.

Val je niet rechtstreeks onder de wet? Dan is het alsnog verstandig om je cybersecuritybeleid en afspraken met klanten en leveranciers goed op orde te hebben. Je kunt immers steeds vaker vragen krijgen over de manier waarop jij de digitale veiligheid van jouw dienstverlening waarborgt. Laat zien dat je hun zorgen serieus neemt en dat je verantwoordelijk omgaat met digitale veiligheid. Zo leg je een stevige basis om aan de eisen van klanten én de Cyberbeveiligingswet te voldoen.

Wat als je niets doet?

Voldoe je niet aan de Cyberbeveiligingswet terwijl jouw organisatie wel onder de wet valt? Dan kunnen de gevolgen groot zijn:

• Boetes en sancties bij niet-naleving;

• Verlies van vertrouwen bij klanten;

• Uitsluiting of lagere scoringskans bij aanbestedingen of grote projecten;

• Verscherpt toezicht en handhaving door de bevoegde toezichthouder (inclusief mogelijke bestuurlijke aansprakelijkheid).

Kort samengevat

Met de invoering van de Cyberbeveiligingswet is de NIS2-richtlijn geen toekomstige ontwikkeling meer, maar een feit. Voor ICT-resellers en MSP’s betekent dit dat cybersecurity (nog) belangrijker wordt en de samenwerking met leveranciers en klanten nog meer aandacht krijgt.

Val je zelf onder de Cyberbeveiligingswet, dan krijg je onder meer te maken met de zorgplicht, registratieplicht en meldplicht. Val je niet rechtstreeks onder de wet, dan kun je er alsnog mee te maken krijgen doordat klanten en andere partijen in de keten strengere eisen stellen aan cybersecurity.

Door nu inzicht te krijgen in je eigen positie, je cybersecurity op orde te brengen en duidelijke afspraken te maken met klanten en leveranciers, sta je sterker in een markt waarin digitale veiligheid steeds belangrijker wordt.

Bij KeenSystems helpen we jou als Partner hierbij. Ongeacht of je nu werkt met VoIP, Cloud PBX of Mobiel: wij zorgen dat jouw dienstverlening veilig, betrouwbaar en toekomstbestendig blijft.

Wil je direct starten? Bezoek dan onze cybersecurity pagina.