In deze kennisbank vind je het laatste nieuws omtrent het Microsoft 365 platform

Werknemers werken samen achter een computer scherm

Hoe werk je met meerdere mensen tegelijk aan hetzelfde document zonder versiechaos?

/in /door

Versiechaos voorbij: ontdek hoe Microsoft 365 co-authoring jouw team laat samenwerken in realtime, zonder conflicten.

Lees meer
Bestuurder in pak met houten hamer naast laptop met beveiligingsdashboard in moderne vergaderzaal.

Zijn bestuurders persoonlijk aansprakelijk onder de NIS2-wetgeving?

/in /door

Ja, bestuurders kunnen persoonlijk aansprakelijk worden gesteld onder de NIS2-wetgeving. De Europese richtlijn en de Nederlandse Cyberbeveiligingswet (CBW), die naar verwachting in het tweede kwartaal van 2026 in werking treedt, leggen de verantwoordelijkheid voor cybersecurity nadrukkelijk bij het bestuur neer. Dat betekent dat niet alleen de organisatie, maar ook individuele bestuurders juridische consequenties kunnen ondervinden als zij hun verplichtingen niet nakomen. In dit artikel beantwoorden we de meest gestelde vragen over NIS2-bestuurdersaansprakelijkheid, zodat je precies weet waar je aan toe bent.

Wat houdt de persoonlijke aansprakelijkheid onder NIS2 precies in?

Persoonlijke aansprakelijkheid onder NIS2 betekent dat individuele bestuurders direct verantwoordelijk kunnen worden gehouden voor het niet naleven van de cybersecurityverplichtingen die de wet oplegt aan hun organisatie. De aansprakelijkheid stopt dus niet bij de rechtspersoon. Als bestuurder kun je persoonlijk worden aangesproken als aantoonbaar is dat jij je toezichthoudende en sturende rol op het gebied van cyberbeveiliging hebt verwaarloosd.

Dit is een fundamentele verschuiving ten opzichte van eerdere regelgeving. Waar cybersecurity vroeger primair een IT-aangelegenheid was, maakt de NIS2-wetgeving het tot een bestuurlijke kernverantwoordelijkheid. Bestuurders moeten aantoonbaar betrokken zijn bij het vaststellen van beveiligingsbeleid, het goedkeuren van maatregelen en het toezicht houden op de uitvoering daarvan. Onwetendheid is geen geldige verdediging: de wet veronderstelt actieve betrokkenheid van het bestuur.

De Nederlandse Cyberbeveiligingswet gaat daarin nog een stap verder door te vereisen dat bestuurders aantoonbaar over actuele kennis en vaardigheden op het gebied van cyberbeveiliging beschikken. Dit moet via training worden geborgd. Het gaat dus niet alleen om het tekenen van een beleidsdocument, maar om het daadwerkelijk kunnen begrijpen, wegen en sturen op cyberrisico’s.

Voor welke organisaties en sectoren geldt NIS2?

De NIS2-wetgeving geldt voor organisaties die als essentiële entiteit of belangrijke entiteit worden aangemerkt. Dit onderscheid is gebaseerd op de sector waarin een organisatie actief is en haar omvang. In de meeste gevallen vallen middelgrote en grote organisaties in aangewezen sectoren automatisch onder de wet.

Sectoren die onder de NIS2-wetgeving vallen, zijn onder andere:

  • Energie en drinkwater
  • Gezondheidszorg en medische hulpmiddelen
  • Transport en logistiek
  • Financiële dienstverlening
  • ICT-dienstverlening en managed service providers (MSP’s)
  • Digitale infrastructuur en cloudaanbieders
  • Overheid en overheidsnabije instellingen
  • Productie en maakindustrie
  • Voedsel en agri

Belangrijk om te weten: ook organisaties die niet formeel onder NIS2 vallen, kunnen er indirect mee te maken krijgen. Als jouw organisatie diensten levert aan partijen die wél in scope zijn, kunnen die partijen contractueel eisen dat jij ook aan de NIS2-normen voldoet. Beveiliging binnen Microsoft 365 speelt daarin een steeds grotere rol, omdat veel organisaties hun digitale werkprocessen via het Microsoft-platform inrichten.

Welke verplichtingen moeten bestuurders persoonlijk naleven?

Bestuurders moeten onder de NIS2-wetgeving een actieve en aantoonbare rol spelen in het cybersecuritybeleid van hun organisatie. Dit gaat verder dan het delegeren van taken aan de IT-afdeling. De wet stelt specifieke eisen aan wat bestuurders zelf moeten weten, goedkeuren en bewaken.

De belangrijkste bestuurlijke verplichtingen zijn:

  • Risicoanalyse goedkeuren en begrijpen: Bestuurders moeten in staat zijn om cyberrisico’s te beoordelen en passende maatregelen te autoriseren.
  • Beveiligingsbeleid vaststellen: Het bestuur stelt het cybersecuritybeleid van de organisatie formeel vast en draagt verantwoordelijkheid voor de uitvoering ervan.
  • Incidentmelding borgen: Beveiligingsincidenten moeten tijdig worden gemeld bij de bevoegde autoriteiten. Bestuurders zijn verantwoordelijk voor het inrichten van een werkend meldproces.
  • Ketenbeveiliging bewaken: Leveranciers en partners die toegang hebben tot systemen of data vallen ook onder de zorgplicht van het bestuur.
  • Aantoonbare kennis en training: Bestuurders moeten via training aantonen dat zij over actuele kennis van cybersecurity beschikken en zich periodiek bijscholen.

Het Cyberbeveiligingsbesluit legt expliciet vast dat bestuurders moeten kunnen meepraten op gelijkwaardig niveau met de CISO, IT-afdeling of een CSIRT (Computer Security Incident Response Team). Dat vereist meer dan oppervlakkige kennis.

Wat zijn de sancties als bestuurders hun NIS2-verplichtingen niet nakomen?

Als bestuurders hun verplichtingen onder de NIS2-wetgeving niet nakomen, kunnen zij persoonlijk worden beboet. Daarnaast kan de bevoegde toezichthouder een tijdelijk verbod opleggen aan een bestuurder om leidinggevende functies te vervullen. De sancties zijn dus niet alleen financieel, maar kunnen ook directe gevolgen hebben voor de carrière en de bestuursrol van een individu.

Voor essentiële entiteiten kunnen boetes oplopen tot 10 miljoen euro of 2% van de wereldwijde jaaromzet, afhankelijk van welk bedrag hoger is. Voor belangrijke entiteiten geldt een maximum van 7 miljoen euro of 1,4% van de wereldwijde jaaromzet. Naast deze boetes kunnen toezichthouders ook aanwijzingen geven, audits opleggen en corrigerende maatregelen afdwingen.

Het persoonlijke karakter van de aansprakelijkheid maakt dit bijzonder ingrijpend. Een bestuurder die niet kan aantonen dat hij of zij actief betrokken was bij het cybersecuritybeleid, loopt een reëel risico op persoonlijke sancties, los van wat er met de organisatie als geheel gebeurt.

Hoe kunnen bestuurders aantonen dat zij aan NIS2 voldoen?

Bestuurders tonen NIS2-compliance aan door een combinatie van documentatie, aantoonbare training en actieve betrokkenheid bij het cybersecuritybeleid van de organisatie. Het gaat om bewijsbaar gedrag, niet om intenties. Toezichthouders kijken naar wat er feitelijk is gedaan en vastgelegd.

Praktische stappen om compliance aantoonbaar te maken:

  1. Volg een erkende bestuurderstraining en bewaar het certificaat of de deelnemersregistratie als bewijs van actuele kennis.
  2. Documenteer besluitvorming rondom cybersecurity in bestuursvergaderingen, inclusief goedgekeurde risicoanalyses en beveiligingsmaatregelen.
  3. Stel een incident response plan op en zorg dat het bestuur aantoonbaar betrokken is bij de totstandkoming en periodieke evaluatie ervan.
  4. Voer een nulmeting uit om de huidige beveiligingssituatie in kaart te brengen en gebruik dit als vertrekpunt voor verbeteringen.
  5. Herhaal en actualiseer kennis periodiek, want de wet vereist niet alleen eenmalige training, maar structureel onderhoud van kennis en vaardigheden.

Aantoonbaarheid is het sleutelwoord. Zelfs een goed ingericht beveiligingsbeleid heeft weinig waarde als er geen spoor van is in bestuursnotulen, trainingsregistraties of beleidsversies met datumstempels.

Wanneer is een externe IT-partner verstandig voor NIS2-compliance?

Een externe IT-partner is verstandig zodra de interne capaciteit, kennis of structuur ontbreekt om NIS2-compliance zelfstandig in te richten en te onderhouden. Voor de meeste middelgrote organisaties is dat al snel het geval: zij hebben vaak geen fulltime CISO en moeten tegelijkertijd voldoen aan steeds complexere eisen op het gebied van risicobeheer, incidentmelding en ketenbeveiliging.

Een betrouwbare externe partner biedt meer dan technische ondersteuning. Hij helpt bij het vertalen van wetgeving naar concrete maatregelen, begeleidt het bestuur bij het verkrijgen van de vereiste kennis en zorgt voor aantoonbare documentatie. Dat is precies wat toezichthouders verwachten te zien. ICT-beheer en ondersteuning door een gecertificeerde partner geeft bestuurders de structuur en grip die nodig zijn om hun zorgplicht waar te maken.

Signalen dat een externe partner meerwaarde biedt:

  • Er is geen interne CISO of vergelijkbare functie aanwezig
  • Het bestuur mist actuele kennis om cyberrisico’s zelfstandig te beoordelen
  • Er is geen gedocumenteerd incident response plan
  • Leveranciers of klanten vragen om aantoonbare NIS2-compliance
  • De organisatie valt in een NIS2-sector maar heeft de scope nog niet bepaald

Hoe Puur ICT helpt met NIS2-compliance voor bestuurders

Wij begrijpen dat NIS2-compliance voor veel bestuurders een complexe opgave is, zeker als de organisatie geen eigen CISO heeft maar wel bestuurlijke aansprakelijkheid draagt. Als Microsoft 365-specialist en gecertificeerde ICT-dienstverlener helpen wij organisaties stap voor stap naar aantoonbare naleving van de Cyberbeveiligingswet. Ons aanbod is concreet en gericht op zowel technische als bestuurlijke compliance:

  • Digicheck (nulmeting): We brengen de huidige beveiligingssituatie in kaart en maken inzichtelijk waar risico’s zitten en wat er nog ontbreekt.
  • Bestuurderstraining (2 dagdelen): Een interactieve training die bestuurders aantoonbaar voorziet van de kennis en vaardigheden die de wet vereist, inclusief risicomanagement, incidentrespons en bestuurdersaansprakelijkheid.
  • E-learning en awareness: Na de training blijven bestuurders en medewerkers op de hoogte via korte online modules en periodieke herhaling van kernonderwerpen.
  • Phishingcampagnes: Leergericht testen van waakzaamheid binnen de organisatie, met resultaten als basis voor verdere verdieping.
  • Doorlopend beheer en rapportage: Wij ondersteunen bij de implementatie van technische en organisatorische maatregelen en zorgen voor de documentatie die toezichthouders verwachten.

Wil je weten of jouw organisatie onder de NIS2-wetgeving valt en wat dat concreet betekent voor jouw bestuursverantwoordelijkheid? Neem contact op met Puur ICT voor een vrijblijvend gesprek. Wij spreken in begrijpelijke taal, denken proactief mee en zorgen dat je als bestuurder aantoonbaar in control bent.

Ondernemer beheert Microsoft 365 dashboard op laptop aan opgeruimd bureau met notitieboek en koffiemok, zacht noordelijk licht.

Hoe maak je je digitale werkomgeving beheersbaar zonder een grote IT afdeling nodig te hebben?

/in /door

Je digitale werkomgeving beheersbaar maken zonder grote IT-afdeling is absoluut mogelijk, mits je de juiste combinatie kiest van cloudtechnologie, slimme uitbesteding en een centrale beheeroplossing. Organisaties met 100 tot 600 werkplekken slagen er steeds vaker in om professioneel IT-beheer te voeren met een klein intern team, door de zware technische taken neer te leggen bij een gespecialiseerde partner. In dit artikel beantwoorden we de meest gestelde vragen over hoe je grip houdt op je digitale werkplek zonder dat je daarvoor een volledig IT-departement nodig hebt.

Wat maakt een digitale werkomgeving moeilijk beheersbaar?

Een digitale werkomgeving wordt moeilijk beheersbaar wanneer systemen, applicaties en gebruikers verspreid zijn over meerdere platforms zonder centrale regie. Hoe meer losse tools en leveranciers een organisatie gebruikt, hoe groter de kans op beveiligingslekken, inconsistente instellingen en hoge beheerlasten die niet in verhouding staan tot de beschikbare capaciteit.

De meest voorkomende oorzaken van onbeheersbaarheid zijn:

  • Versnippering van applicaties: medewerkers gebruiken tientallen verschillende tools die niet met elkaar communiceren
  • Ongecontroleerde toegang: geen centraal overzicht van wie toegang heeft tot welke systemen en data
  • Verouderde apparaten: endpoints die niet gestandaardiseerd zijn en buiten het beveiligingsbeleid vallen
  • Gebrek aan documentatie: niemand weet precies hoe de omgeving is ingericht of waarom bepaalde keuzes zijn gemaakt
  • Reactief beheer: problemen worden pas opgelost als ze zich voordoen, in plaats van proactief te worden voorkomen

Voor organisaties zonder grote IT-afdeling is dit extra kwetsbaar. Eén vertrekkende medewerker kan cruciale kennis meenemen. Eén onbeheerd apparaat kan een beveiligingsincident veroorzaken. De oplossing zit niet in meer mensen, maar in meer structuur en de juiste tooling.

Hoeveel IT-capaciteit heb je écht nodig om je werkomgeving te beheren?

De benodigde IT-capaciteit hangt niet alleen af van het aantal medewerkers, maar van de complexiteit van je omgeving en hoeveel je uitbesteedt. Organisaties die werken met een gestandaardiseerde cloudoplossing zoals een moderne werkplek op basis van Microsoft 365 kunnen met één interne contactpersoon en een externe partner prima functioneren.

Een vuistregel: hoe meer je standaardiseert en centraliseert, hoe minder interne capaciteit je nodig hebt. Bedrijven die vasthouden aan maatwerksystemen, on-premise servers en losstaande applicaties, hebben structureel meer beheeruren nodig dan organisaties die volledig in de cloud werken.

Wat je intern minimaal nodig hebt:

  • Iemand die regie voert op de IT-strategie en leveranciers aanstuurt
  • Een contactpersoon voor de dagelijkse afstemming met je IT-partner
  • Basisbegrip van de omgeving zodat je kwaliteit en veiligheid kunt beoordelen

De technische uitvoering, het proactieve beheer en de beveiliging hoef je niet intern te beleggen. Dat is precies waar een gespecialiseerde partner waarde toevoegt.

Welke taken kun je uitbesteden zonder de controle te verliezen?

Je kunt vrijwel alle technische beheertaken uitbesteden zonder de bestuurlijke controle te verliezen, zolang je heldere afspraken maakt over rapportage, toegang en verantwoordelijkheden. Controle zit niet in het zelf uitvoeren van taken, maar in het hebben van inzicht en het kunnen bijsturen.

Taken die je veilig kunt uitbesteden:

  • Apparaatbeheer en softwareuitrol via tools zoals Microsoft Intune
  • Beveiligingsbeheer, patchmanagement en monitoring
  • Gebruikersbeheer en toegangsrechten
  • Back-ups en herstelplannen
  • Helpdesk en eerstelijnsondersteuning voor medewerkers
  • Proactief ICT-beheer en ondersteuning op afstand

Wat je intern moet houden:

  • De strategische beslissingen over welke systemen je gebruikt
  • Goedkeuring van wijzigingen die impact hebben op de organisatie
  • Toegang tot rapportages en dashboards zodat je altijd inzicht hebt

De sleutel is transparantie. Een goede IT-partner levert periodieke rapportages, informeert je proactief over risico’s en zorgt dat je nooit afhankelijk bent van één persoon of één systeem.

Hoe helpt Microsoft 365 bij het centraliseren van je digitale beheer?

Microsoft 365 helpt bij het centraliseren van je digitale beheer doordat het een geïntegreerd platform biedt voor communicatie, samenwerking, beveiliging en apparaatbeheer vanuit één omgeving. In plaats van tientallen losse tools te beheren, werk je vanuit één ecosysteem met centrale beleidsregels en één beheerconsole.

Concrete voordelen voor beheer zonder grote IT-afdeling:

  • Microsoft Intune beheert alle apparaten centraal, ongeacht locatie, en dwingt beveiligingsbeleid af
  • Azure Active Directory regelt toegang via Single Sign-On, zodat medewerkers met één account bij alle applicaties kunnen
  • Microsoft Defender biedt ingebouwde beveiliging zonder dat je aparte beveiligingssoftware hoeft te beheren
  • Teams, SharePoint en OneDrive vervangen meerdere losse samenwerkingstools
  • Het Microsoft 365 Admin Center geeft één overzicht van gebruikers, licenties, beveiliging en compliancestatus

Voor organisaties die willen weten hoe ze hun beveiliging binnen Microsoft 365 goed inrichten, is het platform een solide basis. De standaardfunctionaliteit dekt al een groot deel van de beveiligingseisen waar organisaties in 2026 aan moeten voldoen.

Wanneer is uitbesteding aan een Microsoft-partner de juiste keuze?

Uitbesteding aan een Microsoft-partner is de juiste keuze wanneer je interne IT-capaciteit structureel tekortschiet, de complexiteit van je omgeving groeit, of wanneer beveiliging en continuïteit te belangrijk zijn om ad hoc te regelen. Voor organisaties met 100 tot 600 werkplekken zonder eigen IT-team is het vrijwel altijd de meest kostenefficiënte en risicoarme keuze.

Signalen dat uitbesteding nu de juiste stap is:

  • Je hebt geen volledig beeld van wie toegang heeft tot welke systemen
  • Beveiligingsincidenten of storingen worden reactief opgelost in plaats van proactief voorkomen
  • Medewerkers klagen over trage systemen, onduidelijke tools of gebrekkige ondersteuning
  • Je kunt niet aantonen dat je omgeving voldoet aan wet- en regelgeving
  • IT-beslissingen worden uitgesteld omdat niemand de regie heeft

Een gespecialiseerde Microsoft-partner brengt niet alleen technische kennis mee, maar ook structuur, processen en proactief advies. Dat is de combinatie die een kleine organisatie in staat stelt om op hetzelfde niveau te opereren als een bedrijf met een volledige IT-afdeling.

Wat zijn de eerste stappen naar een beheersbare digitale werkplek?

De eerste stap naar een beheersbare digitale werkplek is inzicht: breng in kaart welke systemen, applicaties en apparaten je organisatie gebruikt en wie er toegang toe heeft. Zonder dit overzicht is elk volgend besluit gebouwd op onzekere grond.

Een praktisch stappenplan:

  1. Inventariseer je huidige omgeving: welke tools, licenties en apparaten zijn er in gebruik?
  2. Identificeer de grootste risico’s: waar zitten de kwetsbaarheden in beveiliging, toegang of continuïteit?
  3. Standaardiseer waar mogelijk: kies een platform als Microsoft 365 als basis en schrap overbodige losse tools
  4. Maak afspraken over beheer: bepaal wat je intern houdt en wat je uitbesteedt, en leg dit vast
  5. Richt rapportage in: zorg dat je periodiek inzicht krijgt in de status van je omgeving, ook als je het beheer uitbesteedt

Kleine stappen werken beter dan een grote migratie in één keer. Elke verbetering in standaardisatie en centrale regie maakt je omgeving een stuk beheersbaarder, ook als je nog niet alles op orde hebt.

Hoe Puur ICT helpt met een beheersbare digitale werkomgeving

Wij bij Puur ICT helpen organisaties met 100 tot 600 werkplekken om hun digitale werkomgeving volledig beheersbaar te maken, ook zonder grote interne IT-afdeling. Als Microsoft 365-specialist uit het Noorden van Nederland ontzorgen we onze klanten van A tot Z: van advies en implementatie tot dagelijks beheer en proactieve beveiliging.

Wat we concreet voor je doen:

  • We richten je Microsoft 365-omgeving in op basis van bewezen architectuur met Teams, OneDrive, SharePoint en Intune
  • We beheren al je apparaten op afstand via Microsoft Endpoint Management, inclusief beveiligingschecks en automatische updates
  • We leveren periodieke rapportages zodat jij als directeur of IT-manager altijd inzicht hebt zonder zelf in de techniek te hoeven duiken
  • We zijn je vaste aanspreekpunt voor alle IT-vraagstukken, met korte lijnen en persoonlijk contact
  • We begeleiden je stap voor stap, in begrijpelijke taal, zonder onnodige complexiteit

Wil je weten hoe Puur ICT jouw organisatie kan ontzorgen? Leer ons kennen of ontdek direct wat de Puur Moderne Werkplek voor jouw organisatie kan betekenen.

Officieel nalevingsdocument met stalen hangslot op modern bureau, laptop met beveiligd netwerkdashboard op achtergrond.

Wat zijn de belangrijkste verplichtingen onder NIS2?

/in /door

De belangrijkste verplichtingen onder NIS2 zijn: het uitvoeren van risicoanalyses, het treffen van technische en organisatorische beveiligingsmaatregelen, het tijdig melden van incidenten bij de bevoegde autoriteiten, het bewaken van de beveiliging in de keten en het aantoonbaar betrekken van bestuurders bij cybersecurity. De richtlijn geldt voor een breed scala aan organisaties en wordt in Nederland omgezet via de Cyberbeveiligingswet, die naar verwachting in het tweede kwartaal van 2026 in werking treedt. In dit artikel beantwoorden we de meest gestelde vragen over de NIS2-verplichtingen, zodat je weet waar je aan toe bent.

Voor welke organisaties geldt NIS2?

NIS2 geldt voor organisaties die actief zijn in sectoren die als essentieel of belangrijk worden aangemerkt, en die een bepaalde omvang hebben. De richtlijn maakt onderscheid tussen essentiële entiteiten (zoals energie, transport, drinkwater en gezondheidszorg) en belangrijke entiteiten (zoals ICT-dienstverleners, digitale diensten, voedselproductie en financiële dienstverlening). Middelgrote en grote organisaties in deze sectoren vallen in principe automatisch onder de NIS2-richtlijn.

Concreet gaat het om organisaties met meer dan 50 medewerkers of een jaaromzet van meer dan 10 miljoen euro, actief in een van de aangewezen sectoren. Maar ook kleinere organisaties kunnen in scope vallen als zij door de nationale toezichthouder als kritiek worden aangemerkt. Daarnaast geldt een indirecte verplichting voor organisaties die leverancier zijn van NIS2-plichtige partijen: zij moeten kunnen aantonen dat zij voldoende beveiligd zijn, omdat ketenbeveiliging expliciet onderdeel is van de NIS2-verplichtingen.

Twijfel je of jouw organisatie onder de wet valt? Dan is het verstandig om een overzicht van je huidige beveiligingssituatie op te stellen en dit te toetsen aan de sectorindeling van de Cyberbeveiligingswet.

Welke maatregelen verplicht NIS2 op het gebied van beveiliging?

NIS2 verplicht organisaties om passende technische, operationele en organisatorische maatregelen te nemen om de risico’s voor hun netwerk- en informatiebeveiliging te beheersen. Dit omvat minimaal: risicoanalyses, een beleid voor informatiebeveiliging, procedures voor incidentbeheer, continuïteitsplannen en maatregelen voor ketenbeveiliging. De wet schrijft geen specifieke technologie voor, maar vereist wel dat maatregelen in verhouding staan tot de risico’s.

Technische en organisatorische maatregelen

Op technisch vlak denk je aan zaken als multi-factor authenticatie, encryptie van gegevens, netwerksegmentatie, patchbeheer en toegangsbeheer. Organisatorisch gaat het om het opstellen van een beveiligingsbeleid, het trainen van medewerkers, het inrichten van een incident response-proces en het regelmatig testen van de beveiliging via audits of penetratietests.

Ketenbeveiliging als expliciete verplichting

Een belangrijk nieuw element ten opzichte van de vorige richtlijn is de nadruk op ketenbeveiliging. Organisaties zijn verplicht om de cybersecurity-risico’s van hun leveranciers en partners in kaart te brengen en contractueel te borgen. Dit betekent dat je als organisatie niet alleen verantwoordelijk bent voor je eigen beveiliging, maar ook voor de zwakste schakel in je keten. Leveranciers die niet aantoonbaar veilig zijn, vormen een risico dat jij als afnemer moet adresseren.

Wat zijn de meldplichten onder NIS2?

Onder NIS2 zijn organisaties verplicht om significante beveiligingsincidenten binnen strikte termijnen te melden bij de bevoegde nationale autoriteit. Een incident is significant als het een ernstige verstoring van diensten veroorzaakt of kan veroorzaken. De meldplicht kent een getrapt systeem met drie stappen.

  1. Vroegtijdige melding (binnen 24 uur): Een eerste melding zodra je weet dat er een incident heeft plaatsgevonden, ook als je nog geen volledig beeld hebt.
  2. Incidentmelding (binnen 72 uur): Een meer gedetailleerde melding met een eerste beoordeling van de ernst, de oorzaak en de getroffen maatregelen.
  3. Eindrapportage (binnen één maand): Een volledig rapport met een analyse van het incident, de impact, de oorzaak en de structurele maatregelen die zijn genomen.

Het niet of te laat melden van een incident wordt beschouwd als een overtreding van de NIS2-richtlijn en kan leiden tot sancties. Het is daarom essentieel dat organisaties een intern meldproces inrichten, zodat incidenten snel worden herkend, gedocumenteerd en doorgegeven aan de juiste personen.

Wat is de bestuurdersaansprakelijkheid onder NIS2?

NIS2 maakt bestuurders persoonlijk verantwoordelijk voor de naleving van de cybersecurity-verplichtingen binnen hun organisatie. Dit is een van de meest ingrijpende aspecten van de richtlijn: cybersecurity is niet langer alleen een IT-aangelegenheid, maar een bestuurlijke verantwoordelijkheid die direct bij de top van de organisatie ligt.

Concreet betekent dit dat bestuurders aantoonbaar moeten beschikken over actuele kennis en vaardigheden op het gebied van cyberbeveiliging. Het Cyberbeveiligingsbesluit schrijft voor dat deze kennis via training wordt geborgd en periodiek wordt bijgehouden. Bestuurders moeten in staat zijn om cyberrisico’s te begrijpen, passende maatregelen goed te keuren en het gesprek op gelijk niveau te voeren met de CISO of IT-verantwoordelijke.

Als een organisatie niet voldoet aan de NIS2-verplichtingen, kunnen toezichthouders bestuurders persoonlijk aanspreken. In het geval van essentiële entiteiten kan dit zelfs leiden tot een tijdelijk verbod op het uitoefenen van leidinggevende functies. Dit maakt de NIS2-compliancevraag nadrukkelijk een boardroom-onderwerp.

Wat zijn de sancties bij niet-naleving van NIS2?

Bij niet-naleving van de NIS2-richtlijn kunnen toezichthouders aanzienlijke boetes opleggen. Voor essentiële entiteiten bedraagt de maximale boete 10 miljoen euro of 2% van de wereldwijde jaaromzet, afhankelijk van welk bedrag hoger is. Voor belangrijke entiteiten geldt een maximum van 7 miljoen euro of 1,4% van de wereldwijde jaaromzet.

Naast financiële sancties beschikken toezichthouders over een breed scala aan handhavingsinstrumenten. Denk aan het opleggen van bindende aanwijzingen, het verplicht laten uitvoeren van een audit, het tijdelijk stilleggen van diensten of het openbaar maken van overtredingen. Die laatste maatregel kan voor veel organisaties een grotere impact hebben dan de boete zelf, vanwege de reputatieschade die ermee gepaard gaat.

Het is belangrijk te beseffen dat toezichthouders niet alleen reageren op incidenten, maar ook proactief kunnen controleren of organisaties aan hun NIS2-verplichtingen voldoen. Aantoonbare naleving, gedocumenteerde processen en een actueel beveiligingsbeleid zijn daarom geen luxe maar een noodzaak.

Hoe verhoudt NIS2 zich tot andere regelgeving zoals DORA en AVG?

NIS2, DORA en de AVG overlappen op onderdelen, maar richten zich elk op een ander aspect van digitale veiligheid en gegevensbescherming. Samen vormen ze een complementair kader dat organisaties dwingt om cybersecurity en privacy integraal aan te pakken.

NIS2 en de AVG

De AVG richt zich specifiek op de bescherming van persoonsgegevens en verplicht organisaties om passende technische en organisatorische maatregelen te nemen. NIS2 gaat breder en heeft betrekking op de beveiliging van netwerken en informatiesystemen als geheel, niet alleen waar persoonsgegevens in het spel zijn. In de praktijk overlappen de maatregelen sterk: een goed beveiligde infrastructuur draagt zowel bij aan AVG-compliance als aan NIS2-compliance. Organisaties die al serieus werk hebben gemaakt van AVG-naleving, hebben een goede basis, maar moeten NIS2 aanvullend adresseren.

NIS2 en DORA

DORA (Digital Operational Resilience Act) is specifiek gericht op de financiële sector en stelt aanvullende eisen aan de digitale weerbaarheid van financiële instellingen en hun ICT-leveranciers. Organisaties in de financiële sector die onder DORA vallen, vallen in veel gevallen ook onder NIS2. De Europese wetgever heeft bewust overlap vermeden: als DORA van toepassing is, gelden de NIS2-verplichtingen voor dat deel van de organisatie niet afzonderlijk. Toch is het verstandig om beide kaders naast elkaar te leggen, omdat de eisen van DORA op sommige punten verder gaan dan NIS2.

Hoe Puur ICT helpt met NIS2 compliance

NIS2 compliance is voor veel organisaties een complexe opgave, zeker als je geen dedicated CISO in huis hebt. Wij helpen je stap voor stap naar aantoonbare naleving, zonder dat je zelf alle technische details hoeft te kennen. Wat wij voor je doen:

  • Nulmeting en gap-analyse: We brengen je huidige beveiligingssituatie in kaart en bepalen waar je staat ten opzichte van de NIS2-verplichtingen.
  • Technische maatregelen binnen Microsoft 365: Van multi-factor authenticatie en conditional access tot geavanceerde dreigingsdetectie, we implementeren de juiste beveiligingslagen in jouw omgeving.
  • Ketenbeveiliging en leveranciersmanagement: We adviseren over hoe je leveranciers en partners betrekt bij jouw beveiligingsbeleid.
  • Bestuurderstraining en cyber awareness: We verzorgen trainingen die bestuurders aantoonbaar bekwaam maken op het gebied van cyberbeveiliging, inclusief documentatie voor compliance-doeleinden.
  • Doorlopend beheer en rapportage: Na implementatie blijven we betrokken als vertrouwd aanspreekpunt, met proactief beheer en heldere rapportages voor bestuur en toezichthouders.

Wil je weten of jouw organisatie onder NIS2 valt en wat de volgende stap is? Neem contact op met Puur ICT en we denken graag met je mee, in begrijpelijke taal en zonder omwegen.

Professional aan modern bureau gebruikt Microsoft Teams op laptop, met tweede monitor, koffie en sticky notes in natuurlijk daglicht.

Hoe leer je medewerkers slimmer werken met de digitale middelen die ze al hebben?

/in /door

Medewerkers slimmer laten werken met de digitale middelen die ze al hebben, begint met gerichte digitale adoptie: niet meer tools aanschaffen, maar de bestaande tools beter benutten. De meeste organisaties beschikken al over een volledig pakket zoals Microsoft 365, maar een groot deel van de functionaliteit blijft ongebruikt omdat medewerkers simpelweg niet weten wat er mogelijk is. In dit artikel beantwoorden we de meest gestelde vragen over digitale adoptie, slimmer werken en het verhogen van de productiviteit op de werkplek.

Waarom gebruiken medewerkers maar een fractie van de beschikbare digitale tools?

Medewerkers gebruiken maar een fractie van de beschikbare digitale tools omdat ze nooit structureel hebben geleerd wat die tools kunnen en hoe ze die in hun dagelijkse werk toepassen. De meeste mensen leren een nieuw systeem op de minimale manier: net genoeg om hun directe taak uit te voeren. Alles daarbuiten blijft onontdekt.

Dit heeft weinig te maken met onwil of gebrek aan motivatie. Het heeft alles te maken met hoe digitale middelen worden geïntroduceerd. Een tool die eenmalig wordt uitgerold zonder begeleiding, zonder context en zonder herhaling, wordt zelden volledig benut. Medewerkers vallen terug op wat ze kennen: een e-mail in plaats van een gedeeld document, een telefoongesprek in plaats van een Teams-chat, een lokale map in plaats van OneDrive.

Daarnaast speelt gewoonte een grote rol. Werkgewoonten zijn hardnekkig, zeker in drukke organisaties waar niemand tijd heeft om te experimenteren. Zonder een duidelijke aanleiding of stimulans verandert het gedrag niet, ook al zijn de tools technisch beschikbaar en zelfs al betaald.

Wat is het verschil tussen digitale adoptie en een ICT-training?

Digitale adoptie is het proces waarbij medewerkers nieuwe digitale tools daadwerkelijk integreren in hun dagelijkse werkwijze, terwijl een ICT-training een eenmalige instructie is over hoe een tool technisch werkt. Het verschil zit in duurzaamheid: een training legt uit wat een knop doet, adoptie zorgt ervoor dat medewerkers die knop ook echt gaan gebruiken.

Een klassieke ICT-training duurt een middag, behandelt functionaliteiten en is daarna klaar. Digitale adoptie is een continu proces dat rekening houdt met werkcontext, individuele behoeften en de manier waarop mensen gewoonten opbouwen. Het gaat niet om kennis overbrengen, maar om gedragsverandering stimuleren.

In de praktijk betekent dit dat adoptietrajecten bestaan uit meerdere contactmomenten, praktijkgerichte oefeningen, begeleiding op de werkvloer en gerichte communicatie over de voordelen voor de medewerker zelf. Een goede adoptieaanpak sluit aan op de werkprocessen die al bestaan binnen de organisatie, zodat nieuwe tools een logische stap voelen in plaats van een opgelegd systeem.

Welke Microsoft 365-functies worden het meest onderschat op de werkvloer?

De meest onderschatte Microsoft 365-functies op de werkvloer zijn Microsoft Teams als samenwerkingsplatform, SharePoint als centrale documentomgeving en Power Automate voor het automatiseren van terugkerende taken. De meeste medewerkers kennen Teams als videobel-app en missen daarmee de kern van wat het platform kan.

Hieronder een overzicht van functies die veel organisaties structureel ondergebruiken:

  • Teams-kanalen en tabs: in plaats van losse chats kun je projectgericht samenwerken met gedeelde bestanden, notities en taken op één plek
  • SharePoint als documenthub: gecentraliseerde opslag met versiegeschiedenis, rechtenstructuur en zoekmogelijkheden die e-mailbijlagen overbodig maken
  • Power Automate: eenvoudige workflows die handmatige, repetitieve taken automatiseren, zoals goedkeuringsprocessen of notificaties
  • Planner en To Do: taakbeheer dat direct is geïntegreerd in Teams en Outlook, zodat medewerkers overzicht houden zonder aparte tools
  • Copilot in Microsoft 365: AI-ondersteuning bij het schrijven, samenvatten en analyseren van informatie, direct beschikbaar in de vertrouwde omgeving

Het zijn geen obscure functies. Ze zitten gewoon in het pakket dat de meeste organisaties al betalen. De drempel is niet technisch, maar gewoonte.

Hoe zorg je ervoor dat nieuwe werkgewoonten ook beklijven?

Nieuwe werkgewoonten beklijven wanneer ze worden herhaald in de juiste context, worden ondersteund door directe collega’s en een zichtbaar voordeel opleveren voor de medewerker zelf. Eenmalige instructie zonder follow-up leidt vrijwel altijd tot terugval naar oud gedrag.

Gedragsverandering op de werkplek vraagt om een structurele aanpak. Enkele principes die werken in de praktijk:

  1. Klein beginnen: introduceer één nieuwe functie tegelijk, niet het volledige pakket in één keer
  2. Koppel aan een bestaand werkproces: laat medewerkers de nieuwe tool gebruiken voor iets wat ze toch al moeten doen
  3. Zorg voor interne ambassadeurs: collega’s die enthousiast zijn en anderen meenemen, zijn effectiever dan externe trainers
  4. Herhaal en herinner: korte reminders, tips in nieuwsbrieven of een wekelijkse “tip van de week” houden de aandacht levend
  5. Maak het veilig om te oefenen: medewerkers leren sneller als ze niet bang zijn iets fout te doen

Leidinggevenden spelen hierin een cruciale rol. Als een manager Teams consequent gebruikt voor overleg en taakverdeling, volgt het team vrijwel automatisch.

Wanneer is externe begeleiding bij digitale adoptie zinvol?

Externe begeleiding bij digitale adoptie is zinvol wanneer een organisatie een nieuwe digitale werkplek introduceert, wanneer intern de kennis of capaciteit ontbreekt om een adoptietraject te begeleiden, of wanneer eerdere pogingen om tools te implementeren zijn vastgelopen op weerstand of laag gebruik.

Veel organisaties proberen adoptie intern op te lossen, maar onderschatten hoeveel tijd en expertise het vraagt. Een externe partner brengt structuur, bewezen aanpakken en een frisse blik mee. Dat is met name waardevol bij:

  • De overstap naar een volledig cloudgebaseerde werkplek zoals de Puur Moderne Werkplek
  • Organisaties met medewerkers die weinig digitale vaardigheden hebben of weinig affiniteit met technologie
  • Situaties waarbij de directie een duidelijk resultaat verwacht en verantwoording moet afleggen over de investering
  • Trajecten waarbij meerdere afdelingen of vestigingen tegelijk worden meegenomen

Externe begeleiding is geen teken van zwakte. Het is een strategische keuze om het maximale te halen uit een investering die al is gedaan.

Hoe meet je of medewerkers de digitale tools effectief inzetten?

Je meet of medewerkers digitale tools effectief inzetten door gebruik te maken van de gebruiksdata die Microsoft 365 zelf beschikbaar stelt, aangevuld met kwalitatieve signalen zoals werkplezier, samenwerking en doorlooptijden van processen. Meten begint met weten wat je wilt bereiken.

Microsoft 365 biedt via het Microsoft 365 Admin Center en Viva Insights inzicht in hoe tools worden gebruikt: hoeveel medewerkers Teams actief gebruiken, hoe documenten worden gedeeld, of samenwerking toeneemt. Dit zijn waardevolle signalen, maar ze vertellen niet het volledige verhaal.

Aanvullend kun je kijken naar:

  • Afname van het aantal e-mails met bijlagen ten opzichte van gedeelde documenten
  • Kortere doorlooptijden van processen die zijn geautomatiseerd via Power Automate
  • Medewerkersbevragingen over werkgemak en digitale zelfverzekerdheid
  • Aantal ondersteuningsverzoeken aan de ICT-afdeling over basishandelingen

Voor strategisch betrokken beslissers is het belangrijk dat deze data ook vertaalbaar is naar bestuurlijke rapportages. Datagedreven werken betekent niet alleen meten, maar ook sturen op basis van wat je ziet. Als de cijfers stagneren, is dat een signaal om het adoptietraject bij te sturen, niet om het te stoppen.

Hoe Puur ICT helpt bij slimmer werken met Microsoft 365

Wij helpen organisaties om het maximale te halen uit de digitale middelen die ze al hebben. Niet door nieuwe tools te stapelen, maar door gerichte adoptie en begeleiding die aansluit op hoe jouw medewerkers werken. Dit doen wij concreet door:

  • Adoptietrajecten op maat: we analyseren welke Microsoft 365-functies onderbenut worden en ontwikkelen een aanpak die past bij de werkwijze en het kennisniveau van jouw medewerkers
  • Implementatie van de Puur Moderne Werkplek: een complete, veilige en toekomstbestendige werkplekoplossing gebouwd op Microsoft 365, Teams, OneDrive en Intune
  • Begeleiding bij Microsoft Copilot: we helpen organisaties AI praktisch in te zetten om processen te versnellen en samenwerking te versterken
  • Meten en rapporteren: we maken inzichtelijk hoe tools worden gebruikt en vertalen dat naar bruikbare stuurinformatie voor het management
  • Persoonlijk aanspreekpunt: korte lijnen, heldere taal en proactief meedenken, zonder dat je meerdere leveranciers hoeft te coördineren

Wil je weten hoe jouw organisatie meer haalt uit de digitale vaardigheden en tools die al aanwezig zijn? Neem contact op met Puur ICT en we denken graag vrijblijvend met je mee.

Opengevallen manillaenvelop met rode waarschuwingstag op modern bureau, omringd door officiële documenten en gedeeltelijk zichtbare laptop.

Ben ik verplicht een datalek te melden en bij wie moet ik dat dan doen?

/in /door

Ja, je bent in veel gevallen verplicht een datalek te melden. Op grond van de Algemene Verordening Gegevensbescherming (AVG) moet je een datalek dat een risico oplevert voor de rechten en vrijheden van betrokkenen binnen 72 uur melden bij de Autoriteit Persoonsgegevens (AP). Is het risico hoog, dan moet je ook de betrokkenen zelf informeren. Of een melding verplicht is, hangt af van de aard en de ernst van het lek. In dit artikel beantwoorden we de meest gestelde vragen over de datalekmeldplicht, zodat je weet wat je moet doen als het misgaat.

Wanneer is er officieel sprake van een datalek?

Er is sprake van een datalek wanneer persoonsgegevens verloren gaan, worden gestolen, onbedoeld worden vrijgegeven of op een andere manier worden blootgesteld aan onbevoegde toegang. Dat kan gaan om een gehackt systeem, een verloren laptop, een verkeerd verzonden e-mail of een configuratiefout in een cloudomgeving.

Onder de AVG wordt een datalek officieel omschreven als een inbreuk op de beveiliging die leidt tot de vernietiging, het verlies, de wijziging of de ongeoorloofde verstrekking van persoonsgegevens. Let op: het gaat niet alleen om diefstal of hacking. Ook per ongeluk verwijderde gegevens of een bijlage die naar de verkeerde ontvanger is gestuurd, vallen hieronder.

Voorbeelden van situaties die als datalek kwalificeren:

  • Een medewerker stuurt een e-mail met klantgegevens naar een verkeerd adres
  • Een laptop met bedrijfsdata wordt gestolen of verloren
  • Ransomware versleutelt of steelt persoonsgegevens
  • Een cloudopslag is onbedoeld openbaar toegankelijk gemaakt
  • Inloggegevens van medewerkers zijn uitgelekt via een phishingaanval

Niet elk beveiligingsincident is automatisch een datalek. Gaat het om gegevens die volledig versleuteld zijn en waarvan de sleutel niet is gecompromitteerd, dan is er doorgaans geen sprake van een meldplichtig datalek. Twijfel je? Leg het incident dan toch vast in je datalekregister en beoordeel vervolgens of melding noodzakelijk is.

Moet elk datalek worden gemeld bij de Autoriteit Persoonsgegevens?

Nee, niet elk datalek hoeft te worden gemeld bij de Autoriteit Persoonsgegevens. Melding is verplicht wanneer het datalek waarschijnlijk een risico oplevert voor de rechten en vrijheden van de betrokken personen. Is dat risico verwaarloosbaar, dan volstaat het om het incident intern te documenteren in je datalekregister.

De AVG maakt een onderscheid tussen drie situaties:

  1. Geen melding nodig: Het datalek levert geen risico op voor betrokkenen. Documenteer het incident wel intern.
  2. Melden bij de AP verplicht: Er is waarschijnlijk sprake van een risico voor betrokkenen, bijvoorbeeld omdat gevoelige persoonsgegevens zijn uitgelekt.
  3. Melden bij de AP én betrokkenen verplicht: Er is een hoog risico voor betrokkenen. Denk aan financiële gegevens, medische informatie of gegevens die identiteitsfraude mogelijk maken.

Bij de beoordeling spelen factoren als de gevoeligheid van de gegevens, het aantal betrokkenen en de waarschijnlijkheid van misbruik een rol. Hoe gevoeliger de data en hoe groter de groep betrokkenen, hoe eerder melding verplicht is. Zorg daarom dat je als organisatie altijd een solide beveiligingsbeleid hebt waarmee je datalekken snel kunt detecteren en beoordelen.

Binnen welke termijn moet een datalek worden gemeld?

Een meldplichtig datalek moet binnen 72 uur na ontdekking worden gemeld bij de Autoriteit Persoonsgegevens. Deze termijn geldt ongeacht werkdagen of weekenden. De klok begint te lopen op het moment dat je als organisatie op de hoogte bent van het incident, niet pas wanneer alle details bekend zijn.

Heb je nog niet alle informatie beschikbaar binnen die 72 uur? Meld het datalek dan toch tijdig en geef aan dat het onderzoek nog loopt. Je kunt de melding later aanvullen met aanvullende informatie. Wachten totdat je alles weet, is geen geldige reden om de termijn te overschrijden.

Voor het informeren van de betrokkenen zelf geldt dat dit “zonder onredelijke vertraging” moet gebeuren zodra duidelijk is dat er sprake is van een hoog risico. In de praktijk betekent dit zo snel mogelijk, bij voorkeur binnen enkele dagen na de ontdekking.

Hoe meld je een datalek bij de Autoriteit Persoonsgegevens?

Je meldt een datalek bij de Autoriteit Persoonsgegevens via het officiële meldloket op de website van de AP. Daar vul je een digitaal formulier in. Je hebt hiervoor een DigiD of eHerkenning nodig. De melding is alleen toegankelijk voor de verwerkingsverantwoordelijke van de organisatie.

Bij de melding geef je in ieder geval de volgende informatie op:

  • Een beschrijving van de aard van het datalek (wat is er gebeurd?)
  • De categorieën en het geschatte aantal betrokken personen
  • De categorieën en het geschatte aantal betrokken persoonsgegevens
  • De naam en contactgegevens van de functionaris gegevensbescherming (FG) of een andere contactpersoon
  • De waarschijnlijke gevolgen van het datalek
  • De maatregelen die je hebt genomen of gaat nemen om het lek te dichten en de schade te beperken

Naast de melding bij de AP ben je verplicht elk datalek, ook de niet-meldplichtige, bij te houden in een intern datalekregister. Dit register moet te allen tijde beschikbaar zijn voor de toezichthouder.

Wat zijn de gevolgen als je een datalek niet meldt?

Als je een meldplichtig datalek niet of te laat meldt bij de Autoriteit Persoonsgegevens, riskeer je een aanzienlijke boete. De AP kan op grond van de AVG boetes opleggen tot 10 miljoen euro of 2% van de wereldwijde jaaromzet voor het niet naleven van de meldplicht, waarbij het hoogste bedrag geldt. Bij ernstige overtredingen kan dat bedrag zelfs oplopen tot 20 miljoen euro of 4% van de jaaromzet.

Naast financiële sancties zijn er ook andere gevolgen om rekening mee te houden:

  • Reputatieschade: Betrokkenen en de markt kunnen het vertrouwen in je organisatie verliezen, zeker als later blijkt dat je een lek bewust of nalatig niet hebt gemeld.
  • Aansprakelijkheid: Betrokkenen kunnen schadevergoeding eisen als zij aantoonbaar schade hebben geleden door het datalek.
  • Toezicht en audit: De AP kan besluiten tot een diepgaand onderzoek naar je privacybeleid en beveiligingsmaatregelen.

Het niet melden van een datalek is daarmee zelden de veilige keuze. Transparantie en snelle actie wegen zwaarder dan de hoop dat het incident onopgemerkt blijft.

Hoe voorkom je dat een datalek meldplichtig wordt?

Je kunt niet altijd een datalek voorkomen, maar je kunt wel maatregelen nemen die ervoor zorgen dat een incident niet automatisch meldplichtig wordt. De sleutel ligt in sterke technische en organisatorische beveiligingsmaatregelen die de impact van een lek beperken.

De meest effectieve maatregelen zijn:

  • Versleuteling van persoonsgegevens: Als gelekte data volledig versleuteld is en de sleutel niet is gecompromitteerd, is het risico voor betrokkenen minimaal en is melding vaak niet verplicht.
  • Toegangsbeheer en least privilege: Zorg dat medewerkers alleen toegang hebben tot de gegevens die zij echt nodig hebben. Dit beperkt de schade bij een incident.
  • Multifactorauthenticatie (MFA): Voorkomt dat gelekte inloggegevens direct leiden tot onbevoegde toegang tot systemen.
  • Regelmatige back-ups: Zorgt dat gegevens bij verlies of ransomware snel hersteld kunnen worden zonder blijvende schade.
  • Bewustwording bij medewerkers: Veel datalekken ontstaan door menselijke fouten. Training en bewustwording verminderen dit risico aanzienlijk.
  • Snelle detectie: Hoe eerder je een incident ontdekt, hoe sneller je kunt ingrijpen en de schade beperken.

Een goed ingericht modern werkplekbeleid met centrale beheermogelijkheden maakt het ook eenvoudiger om apparaten op afstand te wissen bij verlies of diefstal, waardoor een potentieel lek direct wordt ingeperkt.

Hoe Puur ICT helpt bij het voorkomen en afhandelen van datalekken

Een datalek begint vaak bij een zwakke plek in de digitale werkplek: een onbeveiligd apparaat, een medewerker zonder de juiste training of een omgeving zonder adequate toegangscontrole. Wij helpen organisaties om die zwakke plekken structureel aan te pakken, zodat de kans op een meldplichtig datalek aanzienlijk kleiner wordt.

Wat wij voor je kunnen doen:

  • Inrichten van een veilige, beheerde werkplek op basis van Microsoft 365 met versleuteling, MFA en toegangsbeheer
  • Beheer op afstand van apparaten via Microsoft Intune, inclusief de mogelijkheid om apparaten bij verlies of diefstal direct te wissen
  • Monitoring en signalering van verdachte activiteiten binnen je Microsoft-omgeving
  • Begeleiding bij het opstellen van een intern datalekprotocol en datalekregister
  • Bewustwordingstrainingen voor medewerkers rondom privacywetgeving en datalekpreventie

Wil je weten hoe jouw organisatie er nu voor staat op het gebied van beveiliging en privacywetgeving? Neem contact op met Puur ICT voor een vrijblijvend gesprek. We denken graag met je mee in begrijpelijke taal, zonder gedoe.

Gehandschoende IT-professional plaatst verzegelde envelop in serverzaal alertpaneel met knipperende amber lampjes en rackservers op de achtergrond.

Wat houdt de meldplicht bij een cyberincident onder NIS2 in?

/in /door

De NIS2 meldplicht verplicht organisaties die onder de richtlijn vallen om significante cyberincidenten binnen strikte termijnen te melden bij de bevoegde nationale autoriteit. In Nederland wordt deze verplichting verankerd in de Cyberbeveiligingswet, die naar verwachting in het tweede kwartaal van 2026 in werking treedt. In dit artikel lees je wie er moet melden, welke incidenten de meldplicht activeren, welke termijnen gelden en hoe je je organisatie hierop voorbereidt.

Wie moet een cyberincident melden onder NIS2?

Organisaties die als essentiële of belangrijke entiteit zijn aangemerkt onder de NIS2 richtlijn zijn verplicht om significante cyberincidenten te melden. In Nederland omvat dit organisaties in sectoren als energie, transport, gezondheidszorg, digitale infrastructuur, ICT-dienstverlening en financiële dienstverlening. Ook middelgrote en grote organisaties in de maakindustrie, voedselketen en overheid vallen binnen de reikwijdte.

Het onderscheid tussen essentiële entiteiten en belangrijke entiteiten is relevant voor de intensiteit van het toezicht, maar de meldplicht geldt voor beide categorieën. Essentiële entiteiten worden actief gecontroleerd, terwijl belangrijke entiteiten reactief worden gecontroleerd, bijvoorbeeld na een incident. Toch zijn de meldverplichtingen voor beide groepen vergelijkbaar.

Belangrijk om te weten: ook als je organisatie zelf niet formeel onder NIS2 valt, maar wel diensten levert aan partijen die dat wel doen, kun je indirect verplichtingen krijgen via ketenbeveiliging. Leveranciers en toeleveranciers worden steeds vaker aangesproken op hun eigen digitale weerbaarheid. Meer over security binnen Microsoft 365 en hoe dat bijdraagt aan ketenweerbaarheid lees je op de bijbehorende pagina.

Welk soort incident triggert de meldplicht?

Niet elk beveiligingsincident triggert de NIS2 meldplicht. De richtlijn spreekt van een significant incident: een incident dat aanzienlijke operationele verstoringen of financiële schade veroorzaakt, of dat andere organisaties of personen treft. Het gaat om incidenten die de beschikbaarheid, integriteit of vertrouwelijkheid van netwerk- en informatiesystemen serieus in gevaar brengen.

Concrete voorbeelden van incidenten die de meldplicht activeren:

  • Ransomware-aanvallen die systemen of diensten onbeschikbaar maken
  • Datalekken waarbij gevoelige of persoonsgebonden informatie is gecompromitteerd
  • DDoS-aanvallen die kritieke dienstverlening verstoren
  • Ongeautoriseerde toegang tot systemen met aantoonbare impact
  • Uitval van kritieke infrastructuur door een cyberaanval

De beoordeling of een incident significant is, hangt af van factoren zoals de duur van de verstoring, het aantal getroffen gebruikers, de financiële impact en of andere organisaties in de keten zijn geraakt. Bij twijfel geldt het advies: meld het incident. Niet melden terwijl dat wel had gemoeten, leidt tot aanzienlijk grotere risico’s dan een melding die achteraf niet noodzakelijk bleek.

Wat zijn de meldtermijnen onder NIS2?

De NIS2 richtlijn hanteert een gefaseerd meldproces met drie duidelijke stappen en bijbehorende termijnen. Zodra een organisatie een significant incident ontdekt, start de klok. De termijnen zijn strak en vereisen dat je incidentrespons goed is ingericht voordat een incident zich voordoet.

Stap 1: Vroegtijdige waarschuwing binnen 24 uur

Binnen 24 uur na ontdekking moet een eerste melding worden gedaan bij de bevoegde autoriteit. Deze melding hoeft nog niet volledig te zijn, maar moet aangeven dat er een significant incident heeft plaatsgevonden en of het vermoedelijk kwaadaardig van aard is. Het doel is de autoriteit snel op de hoogte te stellen zodat eventuele bredere impact kan worden gemonitord.

Stap 2: Gedetailleerde melding binnen 72 uur

Binnen 72 uur na ontdekking volgt een gedetailleerdere melding. Hierin beschrijf je de aard van het incident, de eerste beoordeling van de impact, de genomen maatregelen en eventuele grensoverschrijdende effecten. Dit is vergelijkbaar met de meldtermijn die ook geldt onder de AVG voor datalekken.

Stap 3: Eindrapportage binnen een maand

Uiterlijk één maand na de eerste melding dient een volledig eindrapport te worden ingediend. Dit rapport bevat een gedetailleerde beschrijving van het incident, de oorzaak, de getroffen maatregelen en de lessen die zijn getrokken. In bepaalde gevallen kan de autoriteit om aanvullende informatie vragen.

Wat zijn de gevolgen van niet melden?

Organisaties die nalaten een significant cyberincident te melden, riskeren forse sancties onder de NIS2 meldplicht. Voor essentiële entiteiten kunnen boetes oplopen tot 10 miljoen euro of 2% van de wereldwijde jaaromzet, afhankelijk van welk bedrag hoger is. Voor belangrijke entiteiten geldt een maximum van 7 miljoen euro of 1,4% van de jaaromzet.

Naast financiële sancties zijn er andere serieuze gevolgen:

  • Persoonlijke aansprakelijkheid van bestuurders: Onder de NIS2 richtlijn en de Nederlandse Cyberbeveiligingswet kunnen bestuurders persoonlijk aansprakelijk worden gesteld als zij aantoonbaar nalatig zijn geweest in het naleven van de verplichtingen.
  • Reputatieschade: Toezichthouders kunnen besluiten informatie over overtredingen openbaar te maken, met directe impact op het vertrouwen van klanten en partners.
  • Tijdelijk verbod op uitoefening van leidinggevende functies: In ernstige gevallen kan een toezichthouder een tijdelijk verbod opleggen aan bestuurders.
  • Verhoogd toezicht: Na een overtreding kan een organisatie onder verscherpt toezicht worden geplaatst, wat extra administratieve lasten met zich meebrengt.

De boodschap is duidelijk: de NIS2 meldplicht is geen administratieve formaliteit. Het niet naleven ervan heeft directe, tastbare gevolgen voor zowel de organisatie als de mensen aan het roer.

Hoe bereid je je organisatie voor op de meldplicht?

Voorbereiding op de NIS2 meldplicht begint ruim voordat een incident zich voordoet. Een goed ingericht incident response plan is de kern: daarin leg je vast wie verantwoordelijk is voor detectie, beoordeling, melding en communicatie. Zonder dit plan is het vrijwel onmogelijk om binnen 24 uur een eerste melding te doen.

Concrete stappen om je organisatie voor te bereiden:

  1. Breng je meldplicht in kaart: Stel vast of je organisatie als essentiële of belangrijke entiteit wordt aangemerkt en bij welke autoriteit je moet melden.
  2. Stel een incident response team samen: Wijs rollen toe voor detectie, technische analyse, juridische beoordeling en communicatie. Zorg dat iedereen weet wat er van hem of haar wordt verwacht.
  3. Oefen met scenario’s: Voer periodiek incidentoefeningen uit zodat het team vertrouwd raakt met de procedures en de tijdsdruk van 24 en 72 uur.
  4. Investeer in detectiecapaciteit: Je kunt alleen melden wat je ook daadwerkelijk detecteert. Zorg voor monitoring van je systemen en netwerken zodat incidenten snel worden herkend.
  5. Documenteer alles: Leg vast welke systemen je beheert, welke risico’s je hebt geïdentificeerd en welke maatregelen je hebt getroffen. Dit is niet alleen nuttig bij een incident, maar ook bij toezicht.
  6. Train je bestuur: Bestuurders moeten begrijpen wat NIS2 van hen vraagt. Aantoonbare kennis is een verplichting, geen optie.

Een goede voorbereiding vermindert niet alleen het risico op sancties, maar verkort ook de herstelperiode na een incident aanzienlijk. Organisaties die hun ICT-beheer en ondersteuning structureel op orde hebben, zijn beter in staat om snel te detecteren, te reageren en te melden.

Hoe Puur ICT helpt met NIS2 meldplicht

Wij begrijpen dat de NIS2 meldplicht voor veel organisaties een complexe en tijdgevoelige opgave is. Als Microsoft 365-specialist en gecertificeerde ICT-dienstverlener helpen wij je stap voor stap om compliant te worden én te blijven. Concreet bieden wij:

  • NIS2 nulmeting: We brengen je huidige beveiligingssituatie in kaart en stellen vast waar de grootste risico’s en hiaten zitten.
  • Incident response planning: We helpen je een gedegen incident response plan op te stellen dat aansluit op de meldtermijnen van 24 uur, 72 uur en één maand.
  • Technische maatregelen binnen Microsoft 365: Via de beveiligingsfunctionaliteiten van Microsoft 365 versterken we je detectie- en responscapaciteit.
  • Bestuurderstraining en cyber awareness: We verzorgen interactieve trainingen waarmee bestuurders aantoonbaar voldoen aan hun opleidingsplicht onder de Cyberbeveiligingswet.
  • Doorlopend beheer en rapportage: Na implementatie blijven we betrokken als vertrouwd aanspreekpunt voor beheer, monitoring en compliance-rapportage.

Wil je weten waar je organisatie nu staat en wat er nodig is om klaar te zijn voor de NIS2 meldplicht? Neem contact met ons op voor een vrijblijvend gesprek. We denken graag met je mee, in begrijpelijke taal en zonder onnodige complexiteit.

Laptop met Microsoft 365-dashboard op een Scandinavisch bureau, omringd door ongebruikte sticky notes en papieren app-iconen in blauw- en grijstinten.

Waarom halen de meeste bedrijven maar een fractie uit de tools die ze dagelijks gebruiken?

/in /door

De meeste bedrijven halen maar een fractie uit de tools die ze dagelijks gebruiken, omdat medewerkers zelden volledig worden begeleid in het gebruik ervan. Software wordt aangeschaft en geïnstalleerd, maar de stap naar structureel en bewust gebruik wordt overgeslagen. Het resultaat: dure licenties die voor twintig procent worden benut, terwijl de rest onontdekt blijft.

Dit geldt in het bijzonder voor uitgebreide platforms zoals Microsoft 365, waar tientallen applicaties en functies beschikbaar zijn die de meeste organisaties simpelweg niet kennen. De onderstaande vragen gaan dieper in op waarom dit gebeurt, welke tools worden gemist en hoe je daar als organisatie verandering in brengt.

Wat gebeurt er in de praktijk met ongebruikte software?

Ongebruikte software kost geld zonder iets op te leveren. Organisaties betalen maandelijks voor licenties van tools die medewerkers niet kennen, niet begrijpen of actief vermijden. Dit leidt tot dubbele systemen, inefficiënte werkprocessen en een groeiende kloof tussen wat technologie kan bieden en wat er in de praktijk mee gebeurt.

In de praktijk zien we een herkenbaar patroon: een organisatie stapt over op een nieuw platform, de technische implementatie verloopt soepel, en vervolgens gaan medewerkers gewoon door met hun oude gewoonten. Ze blijven e-mails sturen in plaats van samen te werken in Teams, slaan bestanden lokaal op in plaats van in OneDrive en gebruiken Excel voor taken waarvoor Power BI of Power Automate veel geschikter zou zijn.

Het gevolg is niet alleen verspilling van budget. Ongebruikte functionaliteit betekent ook gemiste kansen op het gebied van samenwerking, beveiliging en efficiëntie. Bovendien ontstaan er schaduwsystemen: medewerkers zoeken zelf naar alternatieven buiten het goedgekeurde platform, wat risico’s oplevert voor databeheer en compliance.

Waarom gebruiken medewerkers maar een deel van de beschikbare tools?

Medewerkers gebruiken maar een deel van de beschikbare tools omdat ze nooit hebben geleerd wat die tools kunnen doen, en omdat verandering zonder begeleiding weerstand oproept. Gebrek aan training, onduidelijke communicatie over het waarom en een te snelle uitrol zijn de meest voorkomende oorzaken van onderbenutting.

Daar komen nog een paar praktische factoren bij:

  • Gewoontegedrag: Mensen werken liever vertrouwd dan efficiënt. Als een oude werkwijze goed genoeg voelt, is er geen aanleiding om iets nieuws te leren.
  • Gebrek aan context: Medewerkers begrijpen niet waarom een nieuwe tool beter is dan wat ze al kennen. Zonder dat verhaal is adoptie een strijd.
  • Overweldiging door keuze: Platforms zoals Microsoft 365 bieden zoveel mogelijkheden dat medewerkers niet weten waar ze moeten beginnen. Dat leidt tot verlamming in plaats van gebruik.
  • Geen eigenaarschap: Als niemand intern verantwoordelijk is voor het gebruik van een platform, verdwijnt het stilletjes naar de achtergrond.

Het probleem zit dus zelden in de technologie zelf. Het zit in de manier waarop die technologie wordt geïntroduceerd en ingebed in de dagelijkse werkpraktijk.

Welke Microsoft 365-tools worden het meest onderschat?

De meest onderschatte tools binnen Microsoft 365 zijn Power Automate, SharePoint en Teams in combinatie met de integratiemogelijkheden. De meeste organisaties gebruiken Teams voor vergaderen en e-mail voor communicatie, maar laten de diepere functionaliteit volledig links liggen.

Een overzicht van tools die structureel te weinig worden benut:

  • Power Automate: Hiermee automatiseer je terugkerende processen zonder code te schrijven. Denk aan automatische goedkeuringsflows, notificaties of het synchroniseren van data tussen systemen.
  • SharePoint: Veel organisaties gebruiken SharePoint alleen als bestandsopslag, terwijl het ook een krachtig intranet, kennisbank of projectportal kan zijn.
  • Power BI: Organisaties die nog werken met handmatig bijgehouden Excel-dashboards laten enorme mogelijkheden liggen op het gebied van datagedreven werken.
  • Microsoft Planner en To Do: Taakbeheer en projectplanning worden vaak in externe tools gedaan, terwijl deze functionaliteit al inbegrepen is.
  • Viva Insights: Dit onderdeel van Microsoft 365 geeft inzicht in werkpatronen en helpt teams bewuster om te gaan met tijd en samenwerking.

De tools zijn beschikbaar, de licenties zijn betaald. Het enige wat ontbreekt is de kennis en begeleiding om ze effectief in te zetten.

Hoe meet je hoeveel waarde je organisatie haalt uit Microsoft 365?

Je meet de benutting van Microsoft 365 via het Microsoft 365 Admin Center en de bijbehorende gebruiksrapporten. Deze rapporten laten per applicatie zien hoeveel medewerkers actief zijn, hoe vaak tools worden gebruikt en welke functies worden benut of genegeerd. Dat geeft een concreet startpunt voor verbetering.

Naast kwantitatieve gegevens is het ook waardevol om kwalitatief te meten. Vraag medewerkers welke tools ze kennen, welke ze gebruiken en waarom ze bepaalde tools vermijden. Die combinatie van data en gesprek geeft een volledig beeld van waar de organisatie staat.

Kijk bij de analyse specifiek naar:

  1. Welk percentage van de medewerkers is actief in Teams, SharePoint en OneDrive?
  2. Worden bestanden gedeeld via de cloud of nog via e-mailbijlagen?
  3. Zijn er applicaties waarvoor licenties zijn afgenomen maar die nul gebruikers hebben?
  4. Hoe verhoudt het gebruik van Microsoft-tools zich tot externe of schaduwsystemen?

Met deze informatie kun je gerichte keuzes maken: welke tools prioriteit krijgen, welke medewerkers extra begeleiding nodig hebben en waar de grootste winst te behalen valt.

Wat is het verschil tussen implementatie en adoptie?

Implementatie is het technisch inrichten en beschikbaar stellen van software. Adoptie is het proces waarbij medewerkers die software daadwerkelijk gaan gebruiken als onderdeel van hun dagelijkse werk. Implementatie is een eenmalige technische stap; adoptie is een continu organisatorisch traject.

Veel organisaties stoppen na de implementatie. De software staat klaar, de accounts zijn aangemaakt, de licenties zijn actief. Maar zonder adoptietraject verandert er weinig in het werkgedrag van medewerkers. Ze weten niet wat de tools kunnen, zien het nut niet in of missen de vaardigheden om er effectief mee te werken.

Adoptie vraagt om een andere aanpak dan implementatie. Het gaat om communicatie, training op maat, het aanwijzen van interne ambassadeurs en het creëren van momenten waarop medewerkers de tools in hun eigen werkcontext leren kennen. Het gaat niet om eenmalige instructies, maar om het geleidelijk opbouwen van nieuwe gewoonten en werkwijzen.

Een sterke verbetering van bedrijfsprocessen begint dan ook pas echt nadat de technologie succesvol is geadopteerd, niet al bij de livegang.

Wanneer is een adoptietraject de moeite waard?

Een adoptietraject is de moeite waard wanneer je merkt dat medewerkers beschikbare tools niet gebruiken, wanneer je overschakelt naar een nieuw platform of wanneer je wilt dat een investering in software daadwerkelijk rendeert. In vrijwel alle gevallen levert begeleide adoptie meer op dan onbegeleide uitrol.

Concrete signalen dat een adoptietraject nodig is:

  • Medewerkers gebruiken nog steeds externe tools naast het aangeschafte platform
  • Samenwerking verloopt via e-mail terwijl Teams beschikbaar is
  • Er zijn klachten over “te veel systemen” of “ik weet niet waar ik wat kan vinden”
  • Rapportages laten zien dat minder dan de helft van de medewerkers actief is in kerntools
  • Er staat een migratie of upgrade gepland waarbij werkwijzen gaan veranderen

Een adoptietraject hoeft niet groot of langdurig te zijn. Kleine, gerichte interventies, zoals een praktische training voor een specifiek team of een interne campagne rondom één tool, kunnen al een merkbaar verschil maken. De sleutel is structuur en herhaling: één keer uitleggen is niet genoeg.

Hoe Puur ICT helpt bij betere benutting van Microsoft 365

Wij zien bij veel organisaties hetzelfde patroon: de technologie is aanwezig, maar de benutting blijft achter. Daarom bieden wij niet alleen implementatie, maar ook begeleide adoptietrajecten die ervoor zorgen dat medewerkers Microsoft 365 écht gaan gebruiken op een manier die past bij hun werkpraktijk.

Wat wij daarvoor doen:

  • Gebruiksanalyse: We brengen in kaart welke tools worden gebruikt, welke niet en waar de grootste kansen liggen
  • Adoptieplan op maat: Op basis van de analyse stellen we een concreet plan op, afgestemd op de doelstellingen en het tempo van jouw organisatie
  • Training en begeleiding: We trainen medewerkers praktisch en in begrijpelijke taal, zonder technisch jargon
  • Inrichting van de Puur Moderne Werkplek: We zorgen dat de digitale werkplek zo is ingericht dat medewerkers intuïtief de juiste tools vinden en gebruiken
  • Doorlopend beheer en advies: We blijven betrokken, signaleren nieuwe kansen en schalen de ondersteuning mee als jouw organisatie groeit

Wil je weten hoeveel waarde jouw organisatie laat liggen? Neem contact op met Puur ICT voor een vrijblijvend gesprek over de mogelijkheden.

Senior professional in pak bestudeert een organisatiediagram op bureau, met laptop met beveiligingsdashboard op achtergrond.

Wie is verantwoordelijk voor NIS2-compliance binnen een organisatie?

/in /door

De eindverantwoordelijkheid voor NIS2-compliance ligt bij het bestuur van een organisatie, niet bij de IT-afdeling. Dat is een van de meest ingrijpende verschuivingen die de Europese NIS2-richtlijn teweegbrengt: cybersecurity is geen technisch vraagstuk meer, maar een bestuurlijke verplichting. In dit artikel beantwoorden we de meest gestelde vragen over NIS2-verantwoordelijkheid, van de rol van de directeur tot de praktische stappen richting naleving.

Wie draagt de eindverantwoordelijkheid voor NIS2 binnen een organisatie?

De eindverantwoordelijkheid voor NIS2-compliance ligt bij de bestuurders van een organisatie. De Europese NIS2-richtlijn, en de Nederlandse vertaling ervan in de Cyberbeveiligingswet, stellen expliciet dat bestuursleden persoonlijk aansprakelijk zijn voor de naleving van de cybersecurityverplichtingen. Dit geldt niet alleen voor de directeur-bestuurder, maar voor het volledige bestuur als collectief orgaan.

Dit is een bewuste keuze van de wetgever. Door cybersecurity op bestuursniveau te verankeren, wordt voorkomen dat het onderwerp blijft hangen bij de IT-afdeling zonder dat er budget, prioriteit of organisatorische aandacht voor vrijkomt. De redenering is helder: wie beslissingen neemt over strategie, continuïteit en reputatie, moet ook verantwoording kunnen afleggen over de digitale weerbaarheid van de organisatie.

Concreet betekent dit dat bestuurders aantoonbaar moeten beschikken over actuele kennis en vaardigheden op het gebied van cyberbeveiliging. Niet als bijzaak, maar als onderdeel van hun bestuurdersrol. Wie dat niet kan aantonen, voldoet niet aan de wet, ongeacht hoe goed de IT-afdeling functioneert.

Wat zijn de concrete NIS2-verplichtingen voor bestuurders?

Bestuurders van organisaties die onder de NIS2-wetgeving vallen, hebben vier concrete verplichtingen: het goedkeuren van en toezicht houden op maatregelen voor risicobeheer, het borgen van tijdige incidentmelding, het bewaken van ketenbeveiliging en het aantoonbaar volgen van training op het gebied van cybersecurity. Persoonlijke aansprakelijkheid bij niet-naleving maakt dit tot een harde verplichting.

In de praktijk vertaalt dit zich naar een aantal specifieke taken:

  • Het laten uitvoeren van risicoanalyses en het goedkeuren van de bijbehorende maatregelen
  • Het opstellen of laten opstellen van een incident response plan
  • Het tijdig melden van beveiligingsincidenten bij de bevoegde autoriteiten
  • Het bewaken van de beveiliging in de keten, inclusief leveranciers en ICT-partners
  • Het aantoonbaar bijhouden van kennis over cyberrisico’s en cyberwetgeving

Dat laatste punt is bijzonder relevant: de Cyberbeveiligingswet vereist dat bestuurders binnen twee jaar na inwerkingtreding beschikken over de juiste kennis en vaardigheden, en dat zij deze kennis periodiek actualiseren. Deelname aan training moet aantoonbaar zijn, bijvoorbeeld via een certificaat of deelnemersregistratie.

Hoe verschilt de rol van de IT-manager van die van de directeur bij NIS2?

De IT-manager is verantwoordelijk voor de technische uitvoering van NIS2-maatregelen, terwijl de directeur de eindverantwoordelijkheid draagt voor de naleving als geheel. De directeur keurt maatregelen goed, stelt prioriteiten en legt verantwoording af. De IT-manager implementeert, bewaakt en rapporteert. Beide rollen zijn onmisbaar, maar de hiërarchie is duidelijk.

In de praktijk betekent dit dat een IT-manager een risicoanalyse kan uitvoeren en technische beveiligingsmaatregelen kan voorstellen, maar dat de directeur deze moet goedkeuren en de middelen moet vrijmaken om ze te realiseren. Wanneer een incident optreedt, is het de directeur die melding doet bij de toezichthouder, niet de IT-manager.

Dit onderscheid is ook relevant voor de manier waarop beide rollen met NIS2-compliance omgaan. De IT-manager heeft behoefte aan technische richtlijnen, tooling en processen. De directeur heeft behoefte aan inzicht in risico’s, juridische kaders en bestuurlijke besluitvorming. Een goede samenwerking tussen beide rollen is de basis voor effectieve cybersecurity compliance binnen de organisatie.

Moet elke organisatie voldoen aan de NIS2-richtlijn?

Niet elke organisatie valt direct onder de NIS2-wetgeving, maar de reikwijdte is aanzienlijk breder dan veel organisaties verwachten. De richtlijn onderscheidt twee categorieën: essentiële entiteiten en belangrijke entiteiten. Denk aan sectoren zoals zorg, energie, logistiek, ICT-dienstverlening, financiële dienstverlening en overheid. Middelgrote organisaties met meer dan 50 medewerkers of een jaaromzet boven tien miljoen euro vallen in veel van deze sectoren al in scope.

Daarnaast zijn er organisaties die niet formeel onder NIS2 vallen, maar er toch mee te maken krijgen. Als je diensten levert aan een organisatie die wel onder de wet valt, kunnen zij eisen stellen aan jouw cybersecurity als onderdeel van hun ketenbeveiliging. In de praktijk betekent dit dat ook leveranciers, ICT-partners en dienstverleners aan NIS2-eisen moeten voldoen, ook al zijn ze zelf geen essentiële of belangrijke entiteit.

De vraag is dus niet alleen of je formeel in scope valt, maar ook of je onderdeel bent van een keten waarbij NIS2-compliance een voorwaarde is voor samenwerking.

Wat gebeurt er als een organisatie niet voldoet aan NIS2?

Organisaties die niet voldoen aan de NIS2-wetgeving riskeren aanzienlijke boetes, toezichtmaatregelen en in het uiterste geval een tijdelijk bestuursverbod voor individuele bestuurders. Voor essentiële entiteiten kunnen boetes oplopen tot tien miljoen euro of twee procent van de wereldwijde jaaromzet. Voor belangrijke entiteiten gelden lagere maxima, maar de gevolgen blijven ingrijpend.

Naast financiële sancties zijn er ook reputatierisico’s. Toezichthouders kunnen besluiten om overtredingen openbaar te maken, wat directe gevolgen heeft voor het vertrouwen van klanten, partners en aandeelhouders. Voor organisaties die afhankelijk zijn van publieke aanbestedingen of samenwerking met overheden, kan niet-naleving bovendien leiden tot uitsluiting van opdrachten.

Het meest ingrijpende gevolg is de persoonlijke aansprakelijkheid van bestuurders. Wanneer een organisatie aantoonbaar tekortschiet in haar cybersecurityverplichtingen, kunnen individuele bestuurders aansprakelijk worden gesteld. Dat maakt NIS2-compliance niet alleen een organisatorische, maar ook een persoonlijke verantwoordelijkheid.

Hoe begin je met het inrichten van NIS2-compliance in de praktijk?

De eerste stap naar NIS2-compliance is een nulmeting: breng in kaart waar je organisatie nu staat op het gebied van cybersecurity, welke risico’s er zijn en welke maatregelen al zijn getroffen. Vanuit dat beeld kun je prioriteiten stellen, een plan van aanpak opstellen en de verantwoordelijkheden intern beleggen. Begin klein, maar begin nu.

Een praktische aanpak ziet er als volgt uit:

  1. Bepaal of je in scope valt: controleer of je organisatie onder de NIS2-wetgeving valt als essentiële of belangrijke entiteit, of dat je via de keten verplichtingen hebt.
  2. Voer een risicoanalyse uit: identificeer de grootste digitale risico’s voor je organisatie en prioriteer op basis van impact en waarschijnlijkheid.
  3. Stel een incident response plan op: zorg dat duidelijk is wie wat doet bij een beveiligingsincident en hoe meldplichten worden nagekomen.
  4. Train je bestuur: zorg dat bestuurders aantoonbaar beschikken over de vereiste kennis op het gebied van cyberrisico’s en wetgeving.
  5. Beleg verantwoordelijkheden: maak intern duidelijk wie verantwoordelijk is voor welk onderdeel van de NIS2-naleving.
  6. Monitor en evalueer continu: NIS2-compliance is geen project met een einddatum, maar een doorlopend proces.

Het is ook verstandig om je ICT-omgeving te beoordelen op de mate waarin deze bijdraagt aan je cybersecurity. Een goed ingericht ICT-beheer en ondersteuning vormt de technische basis waarop je NIS2-maatregelen kunnen worden gebouwd.

Hoe Puur ICT helpt met NIS2-compliance

Wij begrijpen dat NIS2-compliance voor veel organisaties een complexe en tijdrovende opgave is, zeker wanneer er geen dedicated CISO aanwezig is. Als Microsoft 365-specialist en gecertificeerde ICT-dienstverlener ondersteunen wij organisaties stap voor stap bij het inrichten van NIS2-compliance. Wat wij concreet bieden:

  • Nulmeting (Digicheck): we brengen de huidige beveiligingssituatie van je organisatie in kaart en identificeren waar de grootste risico’s liggen.
  • Bestuurderstraining: een tweedaagse training waarmee bestuurders aantoonbaar voldoen aan de opleidingsplicht uit de Cyberbeveiligingswet, inclusief risicomanagement, incidentrespons en bestuurdersaansprakelijkheid.
  • Technische en organisatorische maatregelen: we adviseren en implementeren de juiste beveiligingsmaatregelen binnen het Microsoft-ecosysteem, afgestemd op jouw organisatie.
  • Doorlopend beheer en monitoring: we bewaken de naleving continu en rapporteren helder, zodat je als bestuurder altijd grip houdt op de situatie.
  • Ketenbeveiliging: we helpen je ook in kaart te brengen welke eisen jouw leveranciers en partners stellen, en omgekeerd.

Wil je weten of jouw organisatie in scope valt en wat de eerste stappen zijn? Neem contact op met Puur ICT voor een vrijblijvend gesprek. We spreken graag met je in begrijpelijke taal, zonder jargon, en met een concreet plan als resultaat.

Directeur in maatpak bespreekt beveiligingsrisicorapport met IT-professional aan moderne vergadertafel in licht kantoor.

Hoe bespreek je cyberrisico’s als bestuurder met je IT-team?

/in /door

Als bestuurder bespreek je cyberrisico’s met je IT-team door technische dreigingen te vertalen naar bestuurlijke consequenties: wat betekent een incident voor de continuïteit, de reputatie en de bestuurlijke verantwoordelijkheid van de organisatie? Dat vraagt om een gedeelde taal, een vaste gespreksstructuur en wederzijds begrip van prioriteiten. In dit artikel beantwoorden we de meest gestelde vragen over effectieve cyberrisicocommunicatie tussen bestuur en IT.

Welke cyberrisico’s zijn het meest relevant voor jouw organisatie?

De meest relevante cyberrisico’s voor jouw organisatie zijn die dreigingen die direct raken aan je primaire processen, je gevoelige data en je afhankelijkheid van digitale systemen. Voor organisaties met 100 tot 600 werkplekken zijn dat doorgaans: ransomware-aanvallen, phishing gericht op medewerkers, onbeveiligde toegang tot systemen en datalekken door menselijke fouten.

Niet elke dreiging is even urgent voor elke organisatie. De relevantie hangt af van de sector, de hoeveelheid persoonsgegevens die je verwerkt en de mate waarin je werkprocessen digitaal zijn. Een woningcorporatie loopt bijvoorbeeld een ander risicoprofiel dan een zakelijke dienstverlener. Toch zijn er gemeenschappelijke kwetsbaarheden die vrijwel elke organisatie deelt:

  • Zwakke of hergebruikte wachtwoorden zonder multifactorauthenticatie
  • Medewerkers die phishingmails niet herkennen
  • Verouderde software met bekende beveiligingslekken
  • Onvoldoende controle over wie toegang heeft tot welke systemen
  • Geen of onvoldoende back-up- en herstelstrategie

Een goed startpunt is een risicoanalyse die specifiek kijkt naar de bedrijfskritieke systemen en de data die jouw organisatie beheert. Zo kun je als bestuurder gericht prioriteiten stellen in plaats van te reageren op elke nieuwe dreiging die in het nieuws verschijnt. Bekijk ook welke beveiligingsmogelijkheden binnen Microsoft 365 al beschikbaar zijn voor jouw werkplek.

Hoe vertaal je technische dreigingen naar bestuurlijke taal?

Technische dreigingen vertaal je naar bestuurlijke taal door ze te koppelen aan concrete gevolgen voor de organisatie: uitval van dienstverlening, financiële schade, reputatieverlies of juridische aansprakelijkheid. Een IT-team dat spreekt over “een kritieke kwetsbaarheid in het besturingssysteem” maakt meer indruk als het dat vertaalt naar “als dit wordt misbruikt, liggen onze systemen mogelijk drie dagen plat.”

Dit vraagt om een bewuste vertaalslag van beide kanten. Als bestuurder hoef je de techniek niet tot in detail te begrijpen, maar je hebt wel recht op antwoorden in termen die jij kunt beoordelen en verantwoorden. Vraag je IT-team altijd om dreigingen te beschrijven aan de hand van drie vragen:

  1. Wat kan er gebeuren? Beschrijf het scenario in begrijpelijke termen.
  2. Wat is de impact? Denk aan kosten, uitval, reputatie en compliance.
  3. Wat doen we eraan? Welke maatregel verkleint het risico en wat kost dat?

Door dit format consequent te gebruiken, creëer je een gemeenschappelijke taal. Bestuurders kunnen zo weloverwogen besluiten nemen over investeringen in beveiliging, zonder dat ze afhankelijk zijn van technisch jargon dat de urgentie eerder verhult dan verduidelijkt.

Welke vragen moet een bestuurder stellen aan het IT-team?

Een bestuurder moet aan het IT-team vragen stellen die inzicht geven in de werkelijke beveiligingsstatus van de organisatie, de grootste kwetsbaarheden en de mate van voorbereiding op een incident. Goede vragen sturen het gesprek richting risico en verantwoordelijkheid, niet alleen richting techniek.

Stel deze vragen structureel in elk overleg over cyberbeveiliging binnen het bestuur:

  • Wat zijn op dit moment onze drie grootste beveiligingsrisico’s?
  • Wat gebeurt er als we morgen worden getroffen door ransomware? Hoe lang duurt herstel?
  • Wie heeft toegang tot onze meest gevoelige data, en hoe controleren we dat?
  • Wanneer is onze beveiliging voor het laatst extern getoetst?
  • Voldoen we aan de geldende wet- en regelgeving op het gebied van informatiebeveiliging?
  • Wat hebben we het afgelopen kwartaal verbeterd, en wat staat er nog open?

Deze vragen dwingen je IT-team om buiten de technische details te denken en te rapporteren op het niveau dat voor jou als bestuurder relevant is. Tegelijkertijd laat je zien dat je de verantwoordelijkheid voor cyberbeveiliging serieus neemt, wat intern het signaal geeft dat veiligheid geen IT-feestje is maar een organisatiebrede prioriteit.

Hoe vaak moet een bestuurder cyberrisico’s bespreken met IT?

Een bestuurder moet cyberrisico’s minimaal eens per kwartaal structureel bespreken met het IT-team, aangevuld met een direct overleg na elk significant incident of bij grote wijzigingen in de IT-omgeving. Eénmaal per jaar is onvoldoende gezien het tempo waarop dreigingen zich ontwikkelen.

In de praktijk werkt een gelaagde aanpak het beste:

  • Kwartaaloverleg: Bespreek de actuele risicostand, lopende verbetertrajecten en eventuele incidenten. Dit is het moment voor strategische besluitvorming.
  • Jaarlijkse evaluatie: Beoordeel het totale beveiligingsbeleid, externe audits en de aansluiting op de organisatiestrategie.
  • Ad-hoc overleg: Bij een incident, een nieuwe dreiging in de sector of een grote systeemwijziging schakel je direct.

Consistentie is belangrijker dan frequentie. Een vast ritme zorgt ervoor dat cyberbeveiliging niet alleen op de agenda komt als er iets misgaat, maar een structureel onderdeel wordt van de bestuurlijke cyclus. Dat vergroot de kwaliteit van de gesprekken en de besluitvorming aanzienlijk.

Wat zijn veelgemaakte fouten in het gesprek over cyberbeveiliging?

De meest gemaakte fouten in het gesprek over cyberbeveiliging zijn: te veel focus op technische details zonder bestuurlijke vertaling, beveiliging behandelen als een eenmalig project in plaats van een doorlopend proces, en de verantwoordelijkheid volledig bij IT neerleggen in plaats van het als gedeelde organisatieverantwoordelijkheid te zien.

Andere veelvoorkomende valkuilen zijn:

  • Alleen reageren op incidenten: Beveiliging pas bespreken als er iets misgaat, in plaats van proactief risico’s te beheren.
  • Geen prioritering: Alles lijkt urgent, waardoor er uiteindelijk niets structureel wordt opgepakt.
  • Gebrek aan budget en mandaat: IT signaleert risico’s, maar krijgt niet de middelen om ze aan te pakken.
  • Onvoldoende aandacht voor de menselijke factor: Technische maatregelen zijn nutteloos als medewerkers niet weten hoe ze veilig moeten werken.
  • Geen documentatie: Afspraken en besluiten worden niet vastgelegd, waardoor opvolging ontbreekt.

De kern van het probleem is vaak een communicatiekloof: IT spreekt over systemen, bestuurders denken in risico en verantwoordelijkheid. Wie die kloof erkent en actief overbrugt, legt een stevige basis voor een volwassen beveiligingscultuur binnen de organisatie.

Welke rol speelt een externe IT-partner in cyberrisicobeheer?

Een externe IT-partner speelt een aanvullende en vaak onmisbare rol in cyberrisicobeheer door een onafhankelijk perspectief te bieden, specialistische kennis in te brengen en de continue monitoring en beveiliging van systemen te verzorgen die een interne IT-afdeling niet altijd alleen kan dragen. Zeker voor organisaties zonder een groot intern securityteam is dit van grote waarde.

Een goede externe partner doet meer dan technisch beheer. Hij denkt proactief mee over risico’s, vertaalt dreigingen naar bestuurlijk relevante informatie en helpt bij het inrichten van een beveiligingsbeleid dat aansluit op de strategie van de organisatie. Concreet kan een externe IT-partner bijdragen aan:

  • Periodieke risicoanalyses en beveiligingsaudits
  • Beheer van toegangsrechten en identiteitsbeveiliging
  • Monitoring van systemen op verdachte activiteiten
  • Begeleiding bij incidentrespons en herstelplannen
  • Rapportages die geschikt zijn voor bestuurlijk overleg

Voor bestuurders is het belangrijk dat een externe partner niet alleen reageert op problemen, maar ook proactief adviseert en rapporteert in taal die jij als beslisser kunt gebruiken. Dat maakt het verschil tussen een leverancier en een vertrouwde partner.

Hoe Puur ICT helpt bij cyberrisicobeheer en IT-communicatie

Wij begrijpen dat de gesprekken tussen bestuurders en IT-teams effectiever worden als er een externe partner is die beide werelden verbindt. Als Microsoft 365-specialist ondersteunen we organisaties niet alleen technisch, maar ook op het vlak van structuur, overzicht en bestuurlijke grip op IT-risico’s. Wat wij bieden:

  • Proactief beheer en monitoring van je IT-omgeving via onze ICT-beheer en ondersteuning
  • Een veilige, goed ingerichte werkplek op basis van Microsoft 365, inclusief beveiligingsmaatregelen zoals Intune en multifactorauthenticatie via de Puur Moderne Werkplek
  • Heldere rapportages en adviesgesprekken die aansluiten op bestuurlijke verantwoordelijkheid
  • Begeleiding bij het inrichten van beveiligingsbeleid dat past bij jouw organisatiegrootte en risicoprofiel
  • Korte lijnen en persoonlijk contact, zodat je altijd snel kunt schakelen

Wil je weten hoe wij jouw organisatie kunnen helpen om cyberrisico’s structureel te beheersen en de communicatie tussen bestuur en IT te versterken? Neem contact met ons op en ontdek wat Puur ICT voor jouw organisatie kan betekenen.

De ICT Specialist uit het Noorden

De ICT specialist uit het Noorden; het kantoor van Puur ICT in Heerenveen mag dan wel gelegen zijn in Friesland, maar wij zijn actief in het hele land.

Met onze oplossingen om jouw ICT te versimpelen en bedrijfsprocessen te verbeteren ontzorgen wij onze klanten. Onze ICT specialisten nemen jou graag mee op reis naar de Microsoft 365 cloud om de ICT functionaliteit vanuit Microsoft 365 volledig te benutten.

Contactgegevens

Tel:  +31 (0) 88 165 2300
Email:  info@puurict.nl

Hoofdkantoor Heerenveen
Abe Lenstra Boulevard 62
8448 JB HEERENVEEN

Vestiging Amsterdam
Hullenbergweg 413
1101 CS AMSTERDAM

Cookieverklaring
Privacyverklaring
Algemene voorwaarden
Kennisbank

Volg ons ook op

LinkedIn

YouTube

© Copyright - Puur ICT | De Microsoft 365 specialist uit het Noorden