NIS2 vs CER-richtlijn: het verschil en de overlap
NIS2 en de CER-richtlijn zijn zusterwetten die op dezelfde dag zijn ingevoerd. NIS2 beschermt je digitale weerbaarheid, CER je fysieke weerbaarheid.
NIS2 is de Europese wet voor netwerk- en informatiebeveiliging, formeel Richtlijn (EU) 2022/2555. In Nederland is NIS2 omgezet in de Cyberbeveiligingswet (Cbw).
De CER-richtlijn gaat over de weerbaarheid van kritieke entiteiten. In Nederland is die omgezet in de Wet weerbaarheid kritieke entiteiten (Wwke). Beide wetten zijn op 15 augustus 2026 in werking getreden (Rijksoverheid, 2026).
De vraag “welke van de twee geldt voor mij” is hier vaak verkeerd gesteld, want de wetten zijn aan elkaar geknoopt. Wie op grond van de Wwke wordt aangewezen als kritieke entiteit, is daarmee van rechtswege ook essentiële entiteit onder de Cyberbeveiligingswet (Cyberbeveiligingswet, art. 8 lid 1 sub i, 2026).
Dat betekent: geen keuze, geen verdringing, maar een cascade. Een aanwijzing onder de ene wet activeert de andere.
De Wwke geldt alleen voor entiteiten die door de minister zijn aangewezen, in sectoren als energie, bankwezen, financiële marktinfrastructuur, digitale infrastructuur, levensmiddelen en spoor. De Cbw geldt voor de sectoren uit bijlage 1 en bijlage 2 van die wet en voor veel bredere groepen entiteiten.
Wat de Wwke vraagt en de Cbw niet, is fysiek: omheiningen, barrières, cameratoezicht, detectieapparatuur en toegangscontrole op je gebouwen en infrastructuur.
Wat de Cbw vraagt en de Wwke niet, is digitaal: de tien maatregelcategorieën van de zorgplicht, de meldketen naar het CSIRT en de registratie in het entiteitenregister.
NIS2 en CER mappen
NIS2 en CER mappen betekent: de weerbaarheidsmaatregelen uit de ene wet naast de zorgplicht uit de andere leggen, en zien waar het werk elkaar raakt en waar niet.
CER op NIS2 mappen
CER op NIS2 mappen begint bij de zorgplicht van de Wwke. Die verplicht een kritieke entiteit tot passende en evenredige technische, beveiligings- en organisatorische maatregelen om voor haar weerbaarheid te zorgen, uitgewerkt in zes onderdelen, a tot en met f (Wet weerbaarheid kritieke entiteiten, art. 15 lid 1, 2026).
| Weerbaarheidsmaatregel uit de Wwke (art. 15 lid 1) | Tegenhanger in de Cyberbeveiligingswet | Wat resteert voor de Wwke | Waar het in je IT-omgeving landt |
|---|---|---|---|
| a. Voorkomen dat incidenten zich voordoen, met aandacht voor rampenrisico en klimaatadaptatie | Deels: de zorgplicht kent een benadering die alle gevaren omvat | Rampenrisico en klimaatadaptatie als expliciete afwegingsgronden | Doorlopende kwetsbaarhedenscans en detectie die verstoringen vroeg zichtbaar maken |
| b. Adequate fysieke bescherming van gebouwen en kritieke infrastructuur | Geen | Omheiningen, barrières, instrumenten en routines voor de bewaking van de omgeving, detectieapparatuur en toegangscontroles | Geen; dit is fysieke beveiliging, geen ICT-maatregel |
| c. Gevolgen van incidenten bestrijden, beperken en ertegen bestand zijn | Ja: bedrijfscontinuïteit en crisisbeheer in artikel 21 lid 3 sub c | Waarschuwingsroutines naast de risico- en crisisbeheersingsprocedures | Automatische back-ups met restore-tests en een beproefd herstelplan |
| d. Herstellen van incidenten, met bedrijfscontinuïteitsmaatregelen en alternatieve toeleveringsketens | Ja: herstelplannen in artikel 21 lid 3 sub c | Het hervatten van de essentiële dienst zelf, ook buiten de ICT | Hersteltests die aantonen dat terugzetten werkt |
| e. Adequaat beheer van personeelsbeveiliging | Deels: personeelsbeveiliging en toegangsbeleid in artikel 21 lid 3 sub i | Categorieën personeel met kritieke functies inclusief externe dienstverleners, toegangsrechten tot gebouwen en gevoelige informatie, procedures voor antecedentenonderzoek en opleidingsvoorschriften met kwalificaties | Rolgebaseerde toegang via Microsoft Entra ID en tijdelijke beheerrechten |
| f. Het relevante personeel bewust maken van de maatregelen a tot en met e | Deels: cyberhygiëne en training in artikel 21 lid 3 sub g | Bewustwording over de fysieke maatregelen, met opleidingen, informatiemateriaal en oefeningen | Security-awareness en phishingtraining voor medewerkers |
Van de zes onderdelen heeft er één geen enkele tegenhanger in de Cyberbeveiligingswet, en dat is de fysieke bescherming. De andere vijf raken aan de continuïteits-, personeels- en trainingskant van de zorgplicht, maar telkens met een fysieke invulling die de digitale wet niet vraagt.
De kritieke entiteit neemt die maatregelen op basis van de risicobeoordeling die de bevoegde autoriteit haar verstrekt en op basis van haar eigen risicobeoordeling, en zij beschrijft ze. Twee of meer kritieke entiteiten binnen dezelfde groep mogen die beschrijving samen opstellen (Wet weerbaarheid kritieke entiteiten, art. 15 lid 2 tot en met 4, 2026).
NIS2 op CER mappen
NIS2 op CER mappen levert een langere lijst op, want de Cyberbeveiligingswet werkt de digitale kant veel verder uit.
De tien maatregelcategorieën van artikel 21 lid 3 hebben in de Wwke geen equivalent. Die wet noemt geen risicoanalysebeleid, geen cryptografie, geen multifactorauthenticatie en geen ketenbeveiliging op leveranciersniveau. Dat is geen omissie maar een taakverdeling: de digitale weerbaarheid is bij de Cbw belegd.
De aanpak in vier stappen
- Vaststellen of je bent aangewezen als kritieke entiteit, en zo ja, dat je daarmee ook essentiële entiteit bent onder de Cbw.
- Registratie in het entiteitenregister regelen, want die plicht volgt uit de Cbw en niet uit de Wwke.
- De digitale zorgplicht inrichten en aantoonbaar maken, met de fysieke weerbaarheidsmaatregelen als apart spoor.
- Eén crisisorganisatie voor beide, want een incident stopt niet bij de grens tussen fysiek en digitaal.
Werkplekbeheer en Compliant
Audit-klaar wórden is stap één. Met compliant werkplekbeheer houd je het daarna aantoonbaar werkend, vaste prijs per werkplek, van MKB tot Enterprise.
Kies dit als je op je eigen Microsoft 365-licentie blijft en de technische basis op orde wilt: beheer, back-up, endpointbescherming en toegangsbeheer.
Kies dit als je naast de techniek ook je mensen wilt meenemen. Inclusief Business Premium en security awareness-training.
Kies dit als een opdrachtgever, tender of norm bewijs van je vraagt. Inclusief de Purview- en Defender-suites, monitoring en de rapportage waar een auditor om vraagt.
Kies dit als je organisatie uit Compliant MKB groeit en op Microsoft 365 E5 wilt draaien.
De belangrijkste verschillen tussen NIS2 en CER
Het belangrijkste verschil tussen NIS2 en CER is wat ze beschermen. NIS2 beschermt netwerk- en informatiesystemen, CER beschermt de fysieke infrastructuur en de continuïteit van de dienst als geheel.
| Kenmerk | NIS2 (Cyberbeveiligingswet) | CER (Wet weerbaarheid kritieke entiteiten) |
|---|---|---|
| Beschermt | Netwerk- en informatiesystemen | Fysieke infrastructuur en de weerbaarheid van de entiteit |
| Dreigingsbeeld | Cyberdreigingen, met een benadering die alle gevaren omvat | Alle verstoringen: rampen, sabotage, klimaat, fysieke aanvallen |
| Reikwijdte | De sectoren uit bijlage 1 en bijlage 2 van de wet, met een omvangdrempel voor het bedrijfsleven | Aangewezen kritieke entiteiten in onder meer energie, bankwezen, infrastructuur voor de financiële markt, digitale infrastructuur, levensmiddelen en de subsector spoor |
| Hoe je eronder valt | Zelf toetsen en zelf registreren | Aanwijzing door de minister na een nationale risicobeoordeling |
| Onderlinge koppeling | Kritieke entiteiten zijn van rechtswege essentiële entiteit (art. 8 lid 1 sub i) | Een essentiële entiteit wordt niet automatisch kritieke entiteit |
| Kern van de plicht | Tien maatregelcategorieën in artikel 21 lid 3 | Zes weerbaarheidsonderdelen in artikel 15 lid 1: voorkomen, fysiek beschermen, gevolgen beperken, herstellen, personeelsbeveiliging en bewustwording |
| Melding | Vroegtijdige melding binnen 24 uur, uitgebreidere melding binnen 72 uur, eindrapport binnen één maand | Zonder onnodige vertraging en binnen 24 uur na kennisname, bij de bevoegde autoriteit (art. 17 lid 1) |
| Registratie | Verplicht in het entiteitenregister van het NCSC | Geen zelfregistratie; de aanwijzing komt van de minister |
| Fysieke beveiliging | Geen eigen eis | Expliciet, tot op het niveau van omheiningen en toegangscontrole |
Zijn NIS2 en de CER-richtlijn allebei verplicht?
NIS2 en de CER-richtlijn zijn allebei verplicht, maar je komt er op een andere manier in terecht. Onder de Cyberbeveiligingswet toets je zelf of je eronder valt en registreer je jezelf. Onder de Wet weerbaarheid kritieke entiteiten ontstaat de plicht pas na een aanwijzing door de minister.
Dat verschil bepaalt wat je nu moet doen. Bij de Cbw is niet weten dat je eronder valt geen excuus, want de toets ligt bij jou. Bij de Wwke wacht je op de aanwijzing, en die komt na een nationale risicobeoordeling.
Krijg je die aanwijzing, dan val je van rechtswege ook onder de Cyberbeveiligingswet, in de zwaarste categorie. Eén aanwijzing activeert dus twee regimes tegelijk.
Val je onder NIS2, onder CER of onder beide?
Val je onder de CER-richtlijn, dan val je automatisch ook onder NIS2. Andersom geldt dat niet: onder NIS2 vallen is geen reden om ook kritieke entiteit te zijn.
De cascade van CER naar NIS2
De Cyberbeveiligingswet wijst in artikel 8 lid 1 een aantal groepen aan die van rechtswege essentiële entiteit zijn. Onderdeel i van die opsomming noemt kritieke entiteiten als bedoeld in artikel 6, eerste lid, van de Wet weerbaarheid kritieke entiteiten (Cyberbeveiligingswet, art. 8 lid 1 sub i, 2026).
Word je dus door de minister aangewezen als kritieke entiteit, dan hoef je niet meer te toetsen of je onder de Cbw valt. Dat is dan gegeven, in de zwaarste categorie, met proactief toezicht en de hoogste boetecategorie.
De omgekeerde route bestaat niet. Een essentiële entiteit onder de Cbw wordt niet automatisch kritieke entiteit; daarvoor is een aanwijzing nodig op grond van de Wwke.
Waarom de aanwijzing anders werkt
Onder de Cyberbeveiligingswet toets je zelf of je eronder valt, aan de hand van je sector en je omvang. Er komt geen brief; je registreert je zelf in het entiteitenregister.
Onder de Wwke werkt het omgekeerd. De minister wijst kritieke entiteiten aan op basis van een nationale risicobeoordeling, en die aanwijzing krijg je toegestuurd.
De Nationaal Coördinator Terrorismebestrijding en Veiligheid is beleidsverantwoordelijk voor die wet. De sectoren waarin dat kan gebeuren zijn onder meer energie, bankwezen, infrastructuur voor de financiële markt, digitale infrastructuur en de productie, verwerking en distributie van levensmiddelen, plus de subsector spoor (Wet weerbaarheid kritieke entiteiten, 2026).
Dat verschil is praktisch belangrijk: bij NIS2 is niet weten dat je eronder valt geen excuus, bij CER wacht je op de aanwijzing.
De toezichthouders informeren elkaar
De bevoegde autoriteiten onder beide wetten werken samen en wisselen alle daarvoor noodzakelijke gegevens uit, waaronder gegevens over het aanmerken van entiteiten als kritieke entiteit en over niet-cybergerelateerde risico’s, dreigingen en incidenten die gevolgen hebben voor die entiteiten (Cyberbeveiligingswet, 2026).
Die uitwisseling loopt beide kanten op. De bevoegde autoriteit onder de Cyberbeveiligingswet stelt haar tegenhanger onder de Wwke op de hoogte van haar oordeel over de naleving door een entiteit die onder allebei valt en van het gebruik van toezichts- en handhavingsbevoegdheden, en de bevoegde autoriteit onder de Wwke doet hetzelfde de andere kant op (Wet weerbaarheid kritieke entiteiten, 2026).
Een bevinding aan de digitale kant blijft dus niet binnen dat domein.
Overeenkomsten tussen NIS2 en CER
De overeenkomsten tussen NIS2 en CER zitten in hun opzet en hun tijdlijn. Beide zijn Europese wetgeving uit hetzelfde pakket, beide werken met passende en evenredige maatregelen, en beide zijn op 15 augustus 2026 in Nederland in werking getreden.
Wat beide kaders delen:
- Een risicogestuurde benadering met maatregelen die in verhouding staan tot het risico.
- Aandacht voor continuïteit van de dienstverlening als beschermd belang.
- Een meldplicht aan een bevoegde autoriteit bij significante verstoringen.
- Toezicht met handhavingsbevoegdheden.
- Een koppeling tussen de toezichthouders onderling.
De Europese wetgever wilde dat de digitale en de fysieke weerbaarheid van dezelfde organisaties in samenhang worden geregeld, in plaats van in twee losse regimes.
Hoeveel van de zorgplicht dekt de Wwke af?
De Wet weerbaarheid kritieke entiteiten dekt geen van de tien maatregelcategorieën van de zorgplicht af. Gedekt betekent hier dat de hele categorie wordt bestreken, zonder dat je er iets aan hoeft toe te voegen. Andersom heeft één van de zes weerbaarheidsonderdelen uit artikel 15 lid 1 geen tegenhanger in de Cyberbeveiligingswet: de fysieke bescherming van gebouwen en infrastructuur. De telling per onderdeel staat in de tabel hierboven.
De twee wetten stapelen dus, ze vervangen elkaar niet. Een aanwijzing onder de ene wet activeert de andere.
Waarom hier geen dekkingspercentage staat
Een dekkingspercentage staat hier niet, omdat het niet te onderbouwen is. Zo’n getal vraagt drie dingen: een noemer waartegen je rekent, een vaste definitie van wanneer iets gedekt heet en een telling die je kunt narekenen. Bij dit paar is de noemer bovendien in beide richtingen anders: tien maatregelcategorieën aan de kant van de Cyberbeveiligingswet, zes weerbaarheidsonderdelen aan de kant van de Wwke, en die zijn van ongelijke omvang. De telling hierboven is wel na te rekenen: nul van de tien categorieën gedekt door de Wwke, één van de zes onderdelen zonder tegenhanger in de Cyberbeveiligingswet en vijf met een gedeeltelijke overlap.
Welke NIS2-eisen dekt CER niet?
De Wwke dekt de hele digitale zorgplicht niet. Die wet regelt weerbaarheid in brede zin en laat de netwerk- en informatiebeveiliging aan de Cyberbeveiligingswet.
De tien maatregelcategorieën
Artikel 21 lid 3 van de Cyberbeveiligingswet somt tien onderwerpen op waarvoor een entiteit maatregelen moet treffen: risicoanalysebeleid, incidentbehandeling, bedrijfscontinuïteit, ketenbeveiliging, veilige ontwikkeling en onderhoud, effectiviteitsbeoordeling, cyberhygiëne en training, cryptografie, personeel en toegang, plus multifactorauthenticatie met beveiligde communicatie.
De Wwke kent die opsomming niet. Alleen bedrijfscontinuïteit, herstel, personeelsbeveiliging en bewustwording raken aan de weerbaarheidsonderdelen van die wet.
De meldketen naar het CSIRT
NIS2 verplicht tot een vroegtijdige melding van een significant incident binnen 24 uur, een uitgebreidere melding binnen 72 uur en een eindrapport binnen één maand, bij het CSIRT en de toezichthouder (Cyberbeveiligingswet, art. 26 lid 1, 27 lid 1 en 29 lid 1, 2026).
De Wwke kent een eigen meldplicht met een ander incidentbegrip en een andere ontvanger: de kritieke entiteit meldt zonder onnodige vertraging een incident dat de verlening van haar essentiële dienst aanzienlijk verstoort of kan verstoren bij de bevoegde autoriteit, en doet dat binnen 24 uur nadat zij kennis heeft genomen van dat incident (Wet weerbaarheid kritieke entiteiten, art. 17 lid 1, 2026). Eén gebeurtenis kan beide meldingen tegelijk vereisen, met verschillende ontvangers.
De registratieplicht
De registratie in het entiteitenregister van het NCSC volgt uit de Cyberbeveiligingswet en geldt sinds 15 augustus 2026 (NCSC, 2026). De Wwke kent geen zelfregistratie: daar komt de aanwijzing van de minister.
Je bent aangewezen én je moet je registreren, want die twee volgen uit verschillende wetten.
Welke CER-eisen dekt NIS2 niet?
NIS2 dekt de fysieke weerbaarheid niet.
Fysieke bescherming van gebouwen en infrastructuur
De Wwke verplicht tot adequate fysieke bescherming van gebouwen en kritieke infrastructuur, en noemt daarbij concreet het plaatsen van omheiningen, het oprichten van barrières, instrumenten en routines voor de bewaking van de omgeving, detectieapparatuur en toegangscontroles (Wet weerbaarheid kritieke entiteiten, art. 15 lid 1, 2026).
De Cyberbeveiligingswet noemt fysieke beveiliging nergens als eigen maatregel. Waar het in de praktijk opduikt, is als onderdeel van toegangsbeleid tot systemen, niet als bescherming van het terrein.
Rampenrisico en klimaatadaptatie
De weerbaarheidsplicht vraagt uitdrukkelijk rekening te houden met maatregelen ter beperking van het risico op rampen en met maatregelen voor aanpassing aan de klimaatverandering (Wet weerbaarheid kritieke entiteiten, art. 15 lid 1, 2026).
De Cyberbeveiligingswet hanteert een benadering die alle gevaren omvat, waaronder stroomuitval, brand en wateroverlast, maar noemt klimaatadaptatie niet als afwegingsgrond.
Waarschuwingsroutines richting de omgeving
Bij het bestrijden en beperken van gevolgen noemt de Wwke expliciet waarschuwingsroutines, naast risico- en crisisbeheersingsprocedures en -protocollen.
Dat gaat verder dan interne incidentafhandeling: het raakt aan het waarschuwen van de omgeving bij een verstoring die verder reikt dan de eigen organisatie.
Personeelsbeveiliging met antecedentenonderzoek
Het onderdeel personeelsbeveiliging vraagt om het vaststellen van categorieën personeelsleden die kritieke functies vervullen, inclusief het personeel van externe dienstverleners, om het vaststellen van toegangsrechten tot gebouwen, kritieke infrastructuur en gevoelige informatie, om procedures voor antecedentenonderzoek met de categorieën personen die daaraan worden onderworpen, en om passende opleidingsvoorschriften en kwalificaties (Wet weerbaarheid kritieke entiteiten, art. 15 lid 1, 2026).
De Cyberbeveiligingswet kent personeelsbeveiliging en toegangsbeleid wel als onderwerp, maar zonder antecedentenonderzoek en zonder de aparte categorie kritieke functies. Daar komt het onderdeel bewustwording bij: het relevante personeel moet op de hoogte zijn van de weerbaarheidsmaatregelen, met opleidingen, informatiemateriaal en oefeningen.
Wat betekenen NIS2 en CER voor je ICT-omgeving?
Voor je ICT-omgeving is de Cyberbeveiligingswet het kader dat telt. De Wwke stelt vrijwel geen eisen aan je netwerk- en informatiesystemen; die wet gaat over hekwerk, camera’s, toegangspoorten en continuïteit van de fysieke dienst.
De digitale maatregelen landen in de bekende componenten van je Microsoft 365-omgeving: identiteiten en toegang in Entra ID, werkplekken en endpoints in Intune en Defender, e-mail en samenwerking in Exchange Online en Teams, data en encryptie in Purview, plus back-up en herstel en de koppelingen met leveranciers.
Waar de twee wetten elkaar in de praktijk raken, is bij continuïteit en crisisbeheer. Een stroomstoring, een brand of een inbraak in een serverruimte is tegelijk een fysiek en een digitaal incident. Dat vraagt één crisisorganisatie en niet twee.
Fysieke beveiliging, de aanwijzingsprocedure, antecedentenonderzoek en de verhouding tot de bevoegde autoriteit onder de Wwke vallen buiten de technische laag. Dat is het domein van je security officer en je facilitaire organisatie.
Welk bewijs vraagt elk kader uit dezelfde systemen?
De bewijslast loopt bij dit paar minder door dezelfde systemen dan bij andere normparen.
| Onderwerp | Wat de Cyberbeveiligingswet als bewijs vraagt | Wat de Wwke daarnaast vraagt |
|---|---|---|
| Toegang tot systemen | Het logbestand dat laat zien dat multifactorauthenticatie aanstond op het aangevallen account | Toegangscontrole op het terrein en in het gebouw waar dat systeem staat |
| Detectie | Het meldingsdossier met de tijdstempels van 24 uur, 72 uur en het eindrapport | Detectieapparatuur en bewakingsroutines voor de fysieke omgeving |
| Continuïteit | Het testrapport van een uitgevoerde restore, met datum en uitkomst | Het bewijs dat de essentiële dienst kon doorlopen of hervat worden, ook zonder ICT |
| Crisisbeheer | Een beproefd herstelplan voor de systemen | Risico- en crisisbeheersingsprocedures, protocollen en waarschuwingsroutines |
| Personeel | Een trainingsregistratie en aantoonbare competentie | De vastgestelde categorieën kritieke functies en de procedures voor antecedentenonderzoek |
| Registratie en aanwijzing | De registratie in het entiteitenregister van het NCSC | De aanwijzing als kritieke entiteit door de minister |
De middelste rijen laten zien waar de twee kaders elkaar overlappen: continuïteit en crisisbeheer zijn het gedeelde terrein.
De aanwijzing komt naar je toe, de registratie moet je zelf doen. Wie denkt dat de aanwijzing de registratie vervangt, mist een wettelijke plicht.
Kun je NIS2 en CER samen invoeren?
Je voert NIS2 en CER niet zozeer samen in als wel naast elkaar, met één gedeelde kern. Ze regelen verschillende dingen, dus de meeste maatregelen staan los.
Wat je wél één keer inricht, is de crisisorganisatie. Een verstoring die de dienstverlening raakt is zelden puur digitaal of puur fysiek. Twee crisisteams met twee draaiboeken is een risico op zichzelf.
Ben je aangewezen als kritieke entiteit, begin dan bij de Cyberbeveiligingswet. Niet omdat die belangrijker is, maar omdat de digitale plichten harde termijnen hebben en zelf te regelen zijn, terwijl de weerbaarheidsmaatregelen onder de Wwke mede steunen op de risicobeoordeling die de bevoegde autoriteit aanlevert.
Val je alleen onder de Cbw, dan speelt de Wwke niet, tenzij je alsnog wordt aangewezen. Houd er dan rekening mee dat zo’n aanwijzing je meteen in de zwaarste NIS2-categorie plaatst.
Andere normvergelijkingen
Andere normvergelijkingen met NIS2 staan hieronder. NIS2 raakt aan meer wetten en normen dan alleen de CER-richtlijn.
Vergelijkingen met NIS2
Zo helpt ClickOn met NIS2 en CER
ClickOn richt je Microsoft 365-werkplek zo in dat de technische compliance-maatregelen voor de Cyberbeveiligingswet in één keer staan, met de aantoonbaarheid erbij. ClickOn is zelf ISO 27001-gecertificeerd sinds 2021 via TÜV Nord, sloot alle vijftien compliance-trajecten succesvol af en doorstond vijfentwintig van de vijfentwintig audits zonder afwijking (ClickOn, 2026).
De Wwke gaat over fysieke weerbaarheid: hekwerk, cameratoezicht, toegangspoorten en antecedentenonderzoek. Dat is werk voor je security officer en je facilitaire partij, niet voor een MSP.
Wat ClickOn levert is de digitale kant en het bewijs daaruit:
- Compliance Sprint. Binnen 30 dagen technisch klaar voor het toezicht dat de Cbw meebrengt, tegen een vaste prijs per werkplek (ClickOn, 2026). Week 1 de nulmeting en de gap-analyse, week 2 en 3 de inrichting, week 4 het dashboard als bewijs. Haal je het niet, dan doen we het over.
- ClickOn Compliant MKB. Doorlopend beheer dat compliant blijft, voor 148 euro per werkplek per maand tot driehonderd werkplekken (ClickOn, 2026). Met 24/7 monitoring door een SOC, continue detectie, automatische respons, maandelijkse rapportage, geteste back-upherstellen, dataclassificatie met encryptie en 16 uur audit-ondersteuning per jaar.
Wat ClickOn niet doet is juridisch advies, governance-advies of bedrijfsbreed beleid buiten de IT-omgeving, en ClickOn is niet de partij die de formele audit uitvoert.
Weten wat er technisch nog ontbreekt voor de Cyberbeveiligingswet? De gap-analyse is week 1 van de Compliance Sprint.
Kies per stap de route die past
ClickOn voert de ICT-laag van NIS2 uit en leveren het bewijs. Beleid, governance en de formele audit blijven bij je adviseur of auditor.