NIS2 is van kracht: wat de Cyberbeveiligingswet betekent voor je marketing.

Sinds 15 augustus 2026 geldt de Cyberbeveiligingswet (Cbw), de Nederlandse invulling van de Europese NIS2-richtlijn. De Tweede Kamer nam de wet op 15 april 2026 aan, de Eerste Kamer volgde op 7 juli 2026. Voor software-, IT- en techbedrijven, telecom inbegrepen, zet de wet de hele markt in beweging.

De meeste stukken over NIS2 gaan over compliance. Dit stuk gaat over iets anders: wat de wet betekent voor je marketing. Want een verplichting voor je klanten is, als je het goed aanpakt, vraag voor jou.

Wat verandert er met NIS2?

NIS2 verhoogt de eisen aan digitale weerbaarheid voor organisaties in essentiële en belangrijke sectoren. In Nederland gaat het om ruim 8.000 organisaties in 18 sectoren. De wet raakt die organisaties zelf én nadrukkelijk hun toeleveringsketen: de IT-leveranciers, hosting- en cloudpartijen, MSP's en telecomdiensten die zij gebruiken. Wat er precies onder valt en welke eisen gelden, staat bij het NCSC en de Rijksoverheid.

Er ligt nog veel werk. Organisaties uit de sectoren van de Rijksinspectie Digitale Infrastructuur (RDI) vulden de NIS2-quickscan 3.389 keer in, tussen februari 2024 en september 2025. De top twee van onderwerpen waar ze nog mee aan de slag moeten: het trainen van bestuurders en de beveiliging van de toeleveringsketen. Dat tweede punt gaat over jou als leverancier. En een gat tussen wat moet en waar bedrijven staan, betekent beweging.

Wat is er veranderd sinds de invoering?

De wet ging in op 15 augustus 2026. Lang werd 1 juli verwacht, ook in de eerste versie van dit artikel. De datum staat in het Cyberbeveiligingsbesluit, de wet zelf in Staatsblad 2026, 187. De Cbw vervangt de Wet beveiliging netwerk- en informatiesystemen (Wbni). Dit geldt nu:

• Registratieplicht. Wie onder de wet valt, moet geregistreerd staan bij het NCSC, via MijnNCSC met eHerkenning. Wijzigingen geef je binnen twee weken door.
• Zorgplicht. Je neemt passende maatregelen tegen cyberrisico's, van risicoanalyse en back-ups tot multifactorauthenticatie. Ketenbeveiliging hoort er uitdrukkelijk bij.
• Meldplicht. Bij een significant incident stuur je binnen 24 uur een vroegtijdige waarschuwing, binnen 72 uur een melding en uiterlijk een maand na die melding een eindverslag. Dat gaat via het meldpunt van het NCSC.
• Bestuur. Het bestuur keurt de maatregelen goed. Elke bestuurder moet uiterlijk in augustus 2028 aantoonbaar verstand hebben van cyberrisico's, met een trainingscertificaat.
• Toezicht. Elke sector heeft een eigen toezichthouder. De RDI houdt onder meer toezicht op telecom, cloud, datacenters, MSP's, MSSP's en digitale aanbieders. Essentiële entiteiten krijgen actief toezicht, belangrijke entiteiten vooral achteraf, bijvoorbeeld na een incident.
• Boetes. Wie de zorg- of meldplicht overtreedt, riskeert tot 10 miljoen euro of 2 procent van de wereldwijde jaaromzet als essentiële entiteit, en tot 7 miljoen euro of 1,4 procent als belangrijke entiteit. Het hoogste bedrag telt. Bestuurders riskeren zelf tot 25.000 euro als ze de kennis- en trainingsplicht niet naleven.

Op 7 oktober 2026 tekenden het NCSC en de toezichthouders samenwerkingsafspraken. Hoe streng de handhaving wordt, is nog niet duidelijk. Wel kwamen veel organisaties laat in actie: kort na de start stond nog geen helft in het register, meldde Accountant.nl op basis van het FD.

Breng je zelf producten met software op de markt, zoals apps, installeerbare software of apparaten? Sinds 11 september 2026 geldt dan ook de meldplicht uit de Cyber Resilience Act voor actief misbruikte kwetsbaarheden en ernstige incidenten. Dat is een aparte Europese verordening.

Wie raakt het, en je klanten ook.

Voor jou als techbedrijf zijn er twee kanten. Aan de ene kant val je misschien zelf onder de wet. Dat geldt voor managed service providers, managed security service providers en aanbieders van cloud- en datacenterdiensten die middelgroot of groter zijn: grofweg vanaf 50 medewerkers of 10 miljoen euro omzet. Aanbieders van openbare telecomnetwerken en -diensten vallen er zelfs ongeacht hun omvang onder. Twijfel je? Gebruik de zelfevaluatietool van de overheid.

Aan de andere kant krijgen jouw klanten dezelfde druk, en kijken zij naar leveranciers die hen helpen voldoen. De wet vraagt hen om bij de beveiliging van hun keten te kijken naar de praktijken van hun directe leveranciers. Een IT-dienstverlener of MSP die NIS2 begrijpt en kan vertalen naar concrete stappen, wordt opeens een stuk relevanter.

Dat geldt breed: van security- en netwerkpartijen tot software- en telecomleveranciers die onderdeel zijn van de keten van hun klanten. De vraag die bij al die klanten opkomt is simpel: "met wie regel ik dit?"

Een verplichting voor je klant is vraag voor jou.

Hier komt de marktlogica om de hoek. Op elk moment is maar een klein deel van je markt actief op zoek (de bekende 5 procent in de 95-5 regel).

Een nieuwe wet doet iets bijzonders: die duwt in korte tijd een veel groter deel van je markt richting "nu in koopmodus". NIS2 is zo'n duw, en die loopt nu. De wet geldt, veel organisaties zijn nog bezig en ze moeten kritisch naar hun leveranciers kijken.

Maar er is een addertje. Onderzoek van Bain & Company en Google laat zien dat B2B-kopers hun shortlist vaak al klaar hebben voordat ze gaan zoeken.

Als die bedrijven in actie komen, kiezen ze uit de namen die ze al kennen. Wie nu zichtbaar en geloofwaardig is rond NIS2, staat op die lijst. Wie pas begint als iedereen zoekt, is te laat.

Word de naam die bovenkomt.

De winst zit dus niet in een advertentie op het laatste moment, maar in herkenbaarheid die je nu opbouwt. Dat doe je met autoriteit: laat zien dat je de wet en de praktijk beheerst.

Een helder artikel over wat NIS2 voor jouw type klant betekent, doet meer dan tien algemene posts. Het bouwt vertrouwen bij de 95 procent die vandaag nog niet belt, maar morgen wel kiest.

Antwoordpagina's: gevonden op de NIS2-vragen.

Je klanten zoeken hun antwoorden steeds vaker in ChatGPT, Gemini en Perplexity, naast Google. En na een AI-overzicht klikt nog maar een klein deel door. De voorselectie gebeurt in het antwoord.

Daarom werkt een klassieke dienstenpagina hier minder goed dan een set antwoordpagina's: pagina's die concrete vragen beantwoorden, zoals "Valt mijn bedrijf onder de Cyberbeveiligingswet?", "Wat moet ik als leverancier aantonen?" of "Wat moet ik binnen 24 uur melden?".

Zo word je gevonden in zowel Google als de AI-zoekmachines, precies wanneer de vraag opkomt. Dat is de kern van vindbaarheid via SEO/GEO/AEO. We legden de aanpak uit in LLM SEO en GEO: zo word je gevonden in ChatGPT.

Zo vertaal je NIS2 naar marketing.

1. Maak een paar scherpe antwoordpagina's

Beantwoord de echte vragen van je doelgroep rond NIS2, per type klant. Geen juridische woordenbrij, wel concreet en bruikbaar.

2. Bouw autoriteit met vakcontent

Deel je kijk in vakblogs en op LinkedIn vanuit de oprichter. Thought leadership beïnvloedt een groot deel van de B2B-beslissingen, juist bij een onderwerp waar onzekerheid speelt.

3. Volg de beweging met je marktradar

Signalen als vacatures voor security-rollen of veranderingen in de tech-stack laten zien welke bedrijven met NIS2 bezig zijn, zodat je op tijd in beeld bent.

Checklist voor je marketing.

Loop deze punten na voordat je over NIS2 publiceert of belt.

• Ken je eigen status. Check met de zelfevaluatietool of je zelf onder de wet valt, en zo ja, of je geregistreerd staat. Een leverancier die zelf achterloopt, is een zwakke schakel.
• Maak je feiten actueel. Haal "verwacht", "binnenkort" en "1 juli 2026" van je site, uit je decks en uit je mailtemplates.
• Gebruik beide namen. Zet NIS2 én Cyberbeveiligingswet in titels en tussenkoppen. Je kopers zoeken op allebei.
• Bouw een securitypagina. Zet op één plek wat klanten bij een leveranciersbeoordeling vragen: certificeringen, waar je data staat, hoe je incidenten afhandelt en hoe snel je hen informeert. Zie ook Security is een koopcriterium geworden.
• Beloof niet te veel. Zeg niet dat jij een klant "NIS2-proof" maakt. Voldoen doet de organisatie zelf. Jij helpt met concrete stappen.
• Neem sales mee. Geef je salesteam één pagina met de kern: registratie, zorgplicht, de meldtermijnen en wat jij als leverancier regelt.
• Schrijf ook voor bestuurders. Zij moeten uiterlijk in augustus 2028 aantoonbaar verstand hebben van cyberrisico's. En zij keuren de maatregelen goed, ook die voor de keten.

Veelgestelde vragen.

Per wanneer geldt de Cyberbeveiligingswet (NIS2)?

Sinds 15 augustus 2026. De Tweede Kamer nam de wet op 15 april 2026 aan en de Eerste Kamer op 7 juli 2026. Het Cyberbeveiligingsbesluit (Staatsblad 2026, 189) legde de startdatum vast. De wet vervangt de Wet beveiliging netwerk- en informatiesystemen (Wbni).

Geldt NIS2 ook voor mijn IT- of telecombedrijf?

Dat hangt af van je diensten en je omvang. Managed service providers, managed security service providers en cloud- en datacenteraanbieders vallen eronder als ze middelgroot of groter zijn. Aanbieders van openbare telecomnetwerken en -diensten vallen er ongeacht hun omvang onder. Check je eigen situatie met de zelfevaluatietool van de overheid of via het NCSC.

Moet ik als leverancier voldoen als mijn klant onder NIS2 valt?

Niet automatisch. De plichten gelden voor de organisaties die onder de wet vallen. Maar die moeten de beveiliging van hun toeleveringsketen regelen en daarbij kijken naar de beveiligingspraktijken van hun directe leveranciers. Als leverancier kun je dus vragen krijgen over je beveiliging, of eisen in het contract.

Welke boetes kent de Cyberbeveiligingswet?

Wie de zorgplicht of meldplicht overtreedt, riskeert als essentiële entiteit tot 10 miljoen euro of 2 procent van de wereldwijde jaaromzet, en als belangrijke entiteit tot 7 miljoen euro of 1,4 procent. Het hoogste bedrag telt. Bestuurders die niet aan de kennis- en trainingsplicht voldoen, kunnen zelf een boete tot 25.000 euro krijgen.

Is NIS2-compliance een dienst van Gold Lemon?

Nee. Wij zijn een marketingbureau. We helpen software-, IT- en techbedrijven om de vraag rond NIS2 commercieel te benutten en vindbaar te zijn op het moment dat hun markt in beweging komt.

Lees ook: Marketing voor software-, IT- en telecombedrijven: zo kom je op de shortlist

Verder: zo zetten we dit soort onderwerpen in voor software-, IT- en techbedrijven: B2B-marketingbureau voor het MKB.