NIS2. NIST. NIST2.
Drie termen die sprekend op elkaar lijken, waarvan er één niet eens officieel bestaat. Precies dáár zit het probleem. Iedere week typen honderden mensen "nist2" in Google, vaak als ze eigenlijk iets zoeken over NIS2: de Europese cybersecurity-wet waar veel MKB-bedrijven nu mee te maken krijgen.
Tijd om die verwarring eens helder op te lossen. Want het antwoord op "is NIST iets voor mij?" is voor Nederlandse ondernemers meestal een simpel: nee, NIS2 wél. In deze blog zetten we het verschil op een rij, zodat je zonder omhaal weet waar je aan toe bent.
Waar komt de verwarring vandaan?
Beide termen gaan over cybersecurity, beide beginnen met de letters N-I-S, en beide zie je steeds vaker langskomen in persberichten, vakbladen en LinkedIn-posts. Logisch dat mensen ze door elkaar halen. Nog logischer als je bedenkt dat de één een wet is en de ander een raamwerk. En dat ze uit twee verschillende werelddelen komen: NIS2 uit de Europese Unie, NIST uit de Verenigde Staten.
Laten we ze los van elkaar bekijken.
NIS2 in het kort: de Europese cybersecurity-wet
NIS2 staat voor de Network and Information Security Directive 2. Het is een Europese richtlijn die in Nederland wordt ingevoerd als de Cyberbeveiligingswet. Deze wet verplicht organisaties in sectoren als energie, transport, zorg, voedsel, afvalverwerking, digitale infrastructuur en bepaalde delen van het MKB om hun cybersecurity aantoonbaar op orde te hebben.
Wat betekent dat concreet?
- Je moet risico's in kaart brengen en beheersmaatregelen nemen.
- Bij een incident moet je binnen 24 uur melding doen bij het NCSC.
- Bestuurders zijn persoonlijk aansprakelijk als er iets misgaat.
- Bij ernstige overtredingen kunnen er boetes volgen tot 10 miljoen euro of 2% van de wereldwijde jaaromzet.
Val je er niet direct onder? Grote kans dat je klanten of opdrachtgevers wél onder NIS2 vallen. En die zullen steeds vaker aan jou gaan vragen of jij je beveiliging op orde hebt. Dat heet ketenverantwoordelijkheid, en dat komt nu al in opdrachtgever contracten terecht.
NIST in het kort: een Amerikaans raamwerk
NIST staat voor het National Institute of Standards and Technology, een Amerikaans overheidsinstituut. Zij hebben het bekende NIST Cybersecurity Framework gepubliceerd: een set richtlijnen om cybersecurity systematisch aan te pakken, opgebouwd rond vijf pijlers (identificeren, beschermen, detecteren, reageren, herstellen).
Belangrijk verschil: NIST is geen wet. Het is vrijwillig, gratis te gebruiken, en vooral bedoeld als hulpmiddel. Amerikaanse federale instanties zijn verplicht om NIST te volgen, maar Europese bedrijven doen dat hooguit als extra handvat.
Je komt NIST vaak tegen omdat grote adviesbureaus en internationale klanten ernaar verwijzen. Maar voor een Nederlandse MKB'er geldt: NIST is handig, niet verplicht.
De verschillen op een rij
- Juridische status: NIS2 is een wet, NIST is een raamwerk.
- Herkomst: NIS2 komt uit de EU, NIST uit de VS.
- Verplichtheid: NIS2 is verplicht voor de aangewezen sectoren, NIST is altijd vrijwillig.
- Sancties: NIS2 kent boetes en persoonlijke aansprakelijkheid, NIST kent geen boetes.
- Doel: NIS2 bewaakt de digitale weerbaarheid van de Europese samenleving, NIST biedt een methode om intern je cybersecurity op te bouwen.
Kortom: NIS2 is iets waar je aan moet voldoen. NIST is iets waar je gebruik van kunt maken.
Welke geldt voor jouw bedrijf?
Als je bedrijf in Nederland is gevestigd en zaken doet met Nederlandse of Europese klanten, dan is NIS2 voor jou relevant. Direct, als je in een aangewezen sector valt. Indirect, als je werkt voor opdrachtgevers die er zelf onder vallen en die eisen dat jouw beveiliging óók op orde is.
NIST kun je erbij pakken als inspiratiebron. Voor een praktische route naar compliance raden we echter iets anders aan: ISO 27001. Die internationale standaard wordt breed geaccepteerd als bewijs dat je je cybersecurity aantoonbaar beheert. Wie ISO 27001 gecertificeerd is, heeft een groot deel van de NIS2-eisen al afgedekt en kan dat ook aan zijn klanten laten zien.
Niet voor niks zijn wij zelf ISO 27001-gecertificeerd. We weten uit eigen ervaring wat er bij komt kijken, en we helpen onze klanten graag op diezelfde weg.
Help mij met NIS2
Twijfel je of NIS2 voor jouw organisatie geldt? Of weet je dat je eraan moet voldoen, maar niet waar te beginnen? Wij helpen Nederlandse MKB'ers vanuit Woerden met het in kaart brengen, implementeren en onderhouden van de maatregelen die horen bij NIS2 en ISO 27001. Niet met dikke rapporten, wel met een praktisch plan dat je ook echt kunt uitvoeren.
Wil je weten of NIS2 voor jouw bedrijf geldt, en wat je concreet moet doen? Plan hieronder een afspraak in. Dan lopen we samen door jouw situatie, en weet je direct waar je staat, wat nodig is en wat het kost. Geen dikke rapporten, wel duidelijkheid.
