Het begint vaak met een mail van een grote klant. Niet boos, niet dramatisch, maar wel dringend: “Kunnen jullie onze cybersecurityvragenlijst invullen?” Voor veel mkb-bedrijven voelt NIS2 daardoor niet als wetgeving uit Brussel, maar als een Excel-bestand met vijftig vragen over MFA, back-ups, incidenten en leveranciers. De klant wil geen essay. Hij wil bewijs dat jij geen zwakke schakel bent.
Dit artikel is voor Nederlandse mkb-ondernemers die in 2026 leveren aan grotere organisaties en merken dat security-eisen serieuzer worden. De praktische route: bouw in 14 dagen een NIS2-bewijsmap. Niet omdat papier veiligheid vervangt, maar omdat goede documentatie laat zien dat je basismaatregelen bestaan, worden beheerd en bij incidenten bruikbaar zijn.
TL;DR: maak bewijs vindbaar voordat de klant erom vraagt
- Verzamel 10 kernbewijzen: MFA, toegangsbeheer, patching, back-ups, hersteltest, incidentplan, training, leverancierslijst, verwerkersafspraken en contactpersonen.
- Begin met wat aantoonbaar is, niet met perfecte certificering.
- Gebruik screenshots, exportbestanden, beleid van 1 pagina en datumstempels.
- Werk met een eigenaar en een kwartaalcheck.
- Beantwoord klantvragen sneller door te verwijzen naar vaste documenten in plaats van elke keer opnieuw te zoeken.
Waarom NIS2 ook buiten de formele scope voelbaar is
Niet elk klein bedrijf valt rechtstreeks onder NIS2. Toch voelen veel leveranciers de impact via klanten die wél onder strengere verplichtingen vallen. Die klanten moeten hun ketenrisico’s beheersen en vragen daarom aan schoonmaakbedrijven, softwareleveranciers, marketingbureaus, IT-partners en technische dienstverleners hoe zij beveiliging regelen. De vraag is niet alleen: ben je gehackt? De vraag is: kun je laten zien wat je doet om dat te voorkomen en hoe je reageert als het misgaat?
Dat maakt bewijsvoering belangrijk. Een mondeling “we doen aan back-ups” is zwak. Een korte back-upprocedure, screenshot van instellingen en verslag van een hersteltest is sterker. Klanten zoeken voorspelbaarheid. Een compacte bewijsmap geeft die voorspelbaarheid zonder dat je meteen een zwaar certificeringstraject hoeft te starten.
Dag 1-2: scope en eigenaar kiezen
Begin klein. Bepaal voor welke diensten, systemen en klantdata de bewijsmap geldt. Een webshopbureau heeft andere risico’s dan een installateur met toegang tot klantportalen. Schrijf op welke systemen belangrijk zijn: Microsoft 365, boekhoudsoftware, CRM, laptops, hosting, wachtwoordmanager, back-upoplossing en eventueel productie- of klantomgevingen.
Wijs daarna één eigenaar aan. Dat hoeft geen fulltime security officer te zijn. In een mkb-bedrijf is het vaak de eigenaar, office manager, IT-partner of technisch verantwoordelijke. Belangrijk is dat iemand beslist, documenten actueel houdt en klantvragen coördineert. Zonder eigenaar wordt security een map die na de eerste vragenlijst veroudert.
Dag 3-4: MFA en toegangsbeheer aantonen
Multi-factor authentication is een van de meest gevraagde basismaatregelen. Verzamel bewijs dat MFA actief is voor Microsoft 365, Google Workspace, hosting, boekhouding, wachtwoordmanager en beheerdersaccounts. Maak screenshots van beleidspagina’s of exporteer gebruikersstatussen. Noteer uitzonderingen apart en geef ze een deadline.
Koppel MFA direct aan toegangsbeheer. Wie heeft adminrechten? Welke oud-medewerkers of externe gasten staan nog in Teams, SharePoint, hosting of CRM? Maak een lijst met beheerders, verwijder wat niet nodig is en leg vast dat je elk kwartaal controleert. Dit is geen luxe. Veel incidenten beginnen met oude accounts, gedeelde wachtwoorden of te brede rechten.
Dag 5-6: back-ups en hersteltest
Back-ups zijn pas bewijsbaar als je weet wat wordt geback-upt, hoe vaak, waar het staat en wanneer herstel getest is. Schrijf op welke data kritiek is: klantbestanden, financiële administratie, website, database, e-mail, projectdocumenten. Noteer frequentie, bewaartermijn en verantwoordelijke. Als je cloudsoftware gebruikt, controleer dan of jouw abonnement echt herstelmogelijkheden biedt; synchronisatie is niet hetzelfde als back-up.
Doe vervolgens een kleine hersteltest. Zet één bestand, map of testdatabase terug en noteer datum, resultaat en eventuele problemen. Een hersteltest van 30 minuten is waardevoller dan een prachtig back-upbeleid dat nooit is geprobeerd. Klanten vragen steeds vaker niet alleen of je back-ups hebt, maar of je herstel hebt getest.
Dag 7-8: patching en apparatenlijst
Maak een eenvoudige apparaten- en softwarelijst. Denk aan laptops, telefoons, servers, routers, websites, WordPress-installaties, plug-ins en bedrijfskritische SaaS-tools. Noteer per onderdeel wie beheert, of updates automatisch lopen en hoe kritieke kwetsbaarheden worden opgevolgd. Je hoeft geen enterprise assetmanagement te hebben om professioneel te antwoorden.
Voor mkb is de kunst om de lijst klein maar actueel te houden. Een spreadsheet met 30 regels die elke maand klopt is beter dan een duur systeem waar niemand naar kijkt. Voeg bewijs toe: updatebeleid van je IT-partner, screenshot van endpointbeheer, hostingpatches of changelog van je websiteonderhoud.
Dag 9-10: incidentplan zonder toneelstuk
Een incidentplan hoeft niet te beginnen met dikke rapporten. Start met vijf vragen: wie beslist, wie belt de klant, wie belt de IT-partner, welke systemen gaan eerst veilig en wanneer meld je extern? Zet telefoonnummers, noodaccounts en leverancierscontacten erin. Print een kopie of bewaar hem op een plek die bereikbaar is als Microsoft 365 tijdelijk niet werkt.
Beschrijf drie scenario’s: phishing met mogelijk gelekte inloggegevens, ransomware op een laptop en datalek met klantgegevens. Per scenario noteer je eerste 60 minuten, eerste werkdag en communicatie. Dat klinkt simpel, maar in paniek is simpel precies wat je nodig hebt.
Dag 11-12: leveranciers en contracten
NIS2 legt nadruk op ketenrisico. Ook als jij klein bent, gebruik je zelf leveranciers: boekhouding, hosting, CRM, e-mailmarketing, AI-tools, betaalproviders en freelancers. Maak een leverancierslijst met doel, soort data, contract/verwerkersovereenkomst en contactpunt. Markeer welke leveranciers kritisch zijn voor dienstverlening of klantdata.
Bekijk daarna of afspraken ontbreken. Heb je verwerkersovereenkomsten waar persoonsgegevens worden verwerkt? Staan beveiliging, geheimhouding en incidentmelding ergens vast? Je hoeft niet alles juridisch perfect te maken in twee dagen, maar je kunt wel zichtbaar maken welke gaten bekend zijn en wanneer je ze sluit.
Dag 13: training en gedrag
Veel vragenlijsten vragen naar bewustwording. Maak het concreet. Leg vast dat medewerkers minimaal jaarlijks training krijgen over phishing, wachtwoorden, klantdata en incidentmelding. Dat kan een korte sessie van 45 minuten zijn, aangevuld met een checklist voor nieuwe medewerkers. Bewijs is bijvoorbeeld een presentielijst, korte toets of onboardingdocument.
Neem AI-gebruik mee. Medewerkers moeten weten welke klantdata niet in publieke AI-tools mag, hoe ze output controleren en wanneer ze toestemming vragen. Security in 2026 gaat niet alleen over firewalls, maar ook over dagelijks gedrag in mail, chat en AI-tools.
Dag 14: de map structureren en oefenen
Maak een map met 10 onderdelen: 01 Scope, 02 MFA, 03 Toegang, 04 Apparaten en patching, 05 Back-ups, 06 Incidentplan, 07 Leveranciers, 08 Training, 09 Beleid, 10 Klantvragen. Zet boven elk document datum, eigenaar en volgende review. Gebruik pdf’s voor bewijs dat je niet per ongeluk wijzigt.
Oefen daarna met een echte klantvraag. Kun je binnen 30 minuten antwoord geven op: “Hebben jullie MFA?”, “Hoe snel kunnen jullie herstellen?”, “Wie melden we bij een incident?” en “Welke leveranciers verwerken onze data?” Als dat lukt, is de bewijsmap bruikbaar. Als je alsnog moet zoeken, weet je wat ontbreekt.
Conclusie
Een NIS2-bewijsmap maakt je niet automatisch veilig, maar dwingt wel tot volwassen basisgedrag. Je ziet waar accounts te ruim staan, waar back-ups onbewezen zijn en waar incidentcommunicatie nog vaag is. Voor mkb-bedrijven die leveren aan grotere klanten is dat commerciële hygiëne geworden.
Wacht dus niet tot de vragenlijst binnenkomt. Bouw in 14 dagen je bewijsmap, houd hem elk kwartaal bij en gebruik klantvragen om hem scherper te maken. Zo verandert NIS2 van stressmoment naar verkoopargument: niet omdat je alles perfect hebt, maar omdat je kunt aantonen dat je beveiliging serieus, controleerbaar en verbeterbaar is.
Direct toepasbare prompt
"Geef me een praktische aanpak voor [probleem] voor een Nederlands mkb-bedrijf. Houd het kort, met concrete stappen en voorbeeldtekst."