Overheid houdt vast aan invoering NIS2 op 1 juli 2026

NIS2 op 1 juli is niet “streng doen”, het is basis-hygiëne: als je drinkwater, energie, ziekenhuizen of OV platgaan door een ransomwareclubje, dan is de schade ook gewoon fysiek en ecologisch (dieselaggregaten, noodlozingen, verspilde koelketens, noem maar op). En die bedrijven die nu nog wachten op “Brussel vereenvoudigt het wel” zijn precies dezelfde types die pas na een datalek ineens budget vinden… succes ermee.

tuurlijk, nóg een “wet” die zogenaamd onze veiligheid regelt maar in de praktijk vooral papierwerk, boetes en meer centrale controle oplevert… en wie verdient eraan? dezelfde cybersecurityclubs en consultants die al jaren aan de overheid hangen, terwijl ze zelf hun systemen niet eens dicht krijgen (lab-lek iemand?). ik heb in de zorg gezien hoe dit gaat: regels stapelen, vinklijstjes vullen, en als het misgaat is niemand verantwoordelijk behalve de werkvloer!!

Alsof 1 juli 2026 “laat” is omdat Brussel ooit okt 2024 riep. In de echte wereld krijg je je leveranciers, audits, legacy-rommel en 24/7-bezetting niet gefikst met een pdf en wat awareness-posters. En dat “bedrijven die nu nog niks doen” verhaal is ook te makkelijk. Veel doen wél wat, maar lopen vast op gebrek aan mensen en geld, terwijl de overheid zelf nog steeds met halfdode systemen draait en pas wakker schrikt na het volgende datalek.

NIS2 wordt weer papierwerk tot de eerste ransomware de boel platlegt, dan blijkt die “compliance” niks waard en hangt iedereen ineens aan een extern bureautje om te redden wat er te redden valt toch

ja tuurlijk “op schema”... ik hoor van een klant bij een gemeente dat ze nog met wachtwoorden op post-its werken en dan gaan ze per 1 juli 2026 ineens NIS2-proof zijn, kom op zeg 😂 boetes of niet, straks is ’t weer een vinklijstje en iedereen doet alsof de MSP het wel ff fikst terwijl niemand die logs ooit opent.

TechBro_020 zit goed: NIS2 gaat de facto over ketenbeheersing en “essentiële” leveranciers, en daar vallen juist die MSP’s met shared accounts en halfbakken logging onder. Alleen: zonder echte handhaving wordt het een papierwet, maar met boetes + bestuurdersaansprakelijkheid (mits aantoonbaar nalatig) gaan veel directies ineens wél eisen dat MFA, PAM en incidentrespons contractueel afdwingbaar zijn. En let op: je kunt straks niet meer wegduiken achter “leverancier faalde”; in casu blijft de zorgplicht gewoon bij de organisatie liggen.

dat “kleine clubs worden meegezogen” is wel lekker klagen, maar veel van die praktijken draaien nu op halfgare wachtwoorden en een oude pc achter de balie, en dan huilen we als de boel gegijzeld wordt. als een leverancier eindelijk 2FA en fatsoenlijk patchen verplicht stelt is dat geen pesterij maar gewoon slot op de deur, en ja dat kost wat, maar een hack kost je je hele toko.

Ach joh, NIS2 wordt weer zo’n Haagse vinkjesparade: grote jongens huren een consultant en de boer mag met brak internet “bewijzen” dat ie veilig is, succes ermee hoor

NIS2 is weer zo’n Haagse reflex: na jaren slapen ineens “op schema” en dan mag de rest rennen, formulieren invullen en dure auditors inhuren. AnkeBio heeft gewoon gelijk: de grote jongens schuiven het risico en de administratie door naar de kleine toeleverancier, terwijl het buitengebied soms nog op een postduif draait qua internet. Als je écht veiligheid wil, begin dan met fatsoenlijke basisvoorzieningen en simpele, haalbare eisen; niet met boetes en consultants die er een verdienmodel van maken.

ja joh, “simpele eisen” en “goeie helpdesk”, dat is bij de overheid altijd 1 loket met 6 doorverwijzingen en een PDF van 48 pagina’s. En dat brakke internet in het buitengebied gaat NIS2 natuurlijk niet fixen, maar de keten gaat wél vragen om bewijsjes, want als er iets misgaat staat iedereen ineens met z’n jurist klaar. Kanttekening: die boetes zijn niet voor de hobby, maar reken maar dat het weer de kleine clubjes zijn die als eerste mogen gaan aantonen dat ze geen rommel draaien.

NIS2 is geen “boetes en rompslomp”, het is gewoon: basis-hygiëne afdwingen omdat te veel clubs nog steeds admin/admin draaien met MFA=nee en backups=misschien. €50k-€150k is alleen “tooling + audit” als je het als compliance-project koopt bij een consultancy; als je het als risk-reductie doet (asset inventory, patch/identity, logging, incident runbooks) ben je vooral aan het opruimen wat je al jaren had moeten fixen. En dat de overheid zelf halfbakken live gaat? klopt, maar dat is juist nóg een reden dat leveranciers/keten eindelijk eens volwassen moeten worden, want de aanvaller wacht niet op een beleidsstukje.

CorPansen vergeet één ding: NIS2 is niet “tooling kopen en auditje doen”, het gaat om bestuurdersaansprakelijkheid en ketenplicht, dus als jij als middelgroot bedrijf afhankelijk bent van een paar leveranciers met gare security ben je sowieso de sjaak, ook zonder extra portaal. En dat “overheid haalt het op papier” is precies waarom je dit wél strak wil: zonder harde meldplichten en toezicht blijft het bij vrijblijvende ISO-stickers tot het volgende Odido-achtige fiasco, maar ok blijf doen alsof uitstel gratis is. Bovendien: die kosten die je noemt zijn vaak gewoon achterstallig onderhoud dat jaren is weggemoffeld omdat niemand ooit budget kreeg voor basisdingen als IAM, logging en patchbeheer.

nou zeg, elke keer dat “dit systeem gaat UIT” roepen klinkt stoer, maar in de zorg/overheid kan dat dus gewoon niet hè: dan ligt de boel plat en is de patiënt of burger de klos, dus je krijgt weer vinkjes, consultants en papierwerk maar géén echte veiligheid, toch?

1 juli 2026 is weer zo’n magische datum alsof je met een Staatsblad-publicatie ineens “veilig” bent, maar kwantumfysica toont juist aan dat een systeem pas stabiel wordt als het bewustzijnsveld van alle ketenpartijen coherent meebeweegt, en dat doe je niet met vinklijstjes en meldportalen. Straks krijg je compliance-decoherentie: iedereen meldt braaf elk wissewasje om boetes te ontwijken, toezichthouder verdrinkt in ruis, en de echte aanvaller loopt er gewoon langs omdat de energie naar papierveiligheid lekt i.p.v. naar echte segmentatie en menselijk gedrag. En die EU-“vereenvoudiging” komt er heus sneller dan ze doen voorkomen; Brussel voelt de faseverschuiving al, dus NL gaat straks weer halverwege bijsturen en dan zit je met twee regimes tegelijk, succes ermee op vrijdagmiddag.

Typisch dat ze nu stoer “1 juli 2026” roepen terwijl de uitvoering weer op de schouders van dezelfde 3 securitymensen per organisatie komt, en die mogen dan óók nog 24/7 meldingen doen met formulieren waar niemand naar kijkt. En reken maar dat het bij veel clubs eindigt in een NIS2-adviestrajectje van €80.000 plus een tool-abonnement van €2.500 per maand, terwijl de grootste gaten gewoon in die externe leveranciers zitten die je contractueel niet eens kunt dwingen. Handhaven? ja hoor, op vrijdagmiddag een boete uitdelen is makkelijker dan een ministerie dat z’n eigen verouderde systeem uit durft te zetten.

ron mist echt de kern: NIS2 is niet “nog een inlog-app erbij”, het dwingt bestuurders om eigenaarschap te nemen over risico’s, keten, incidentrespons en continuïteit, dus juist dat vrijdagavond-CS-gedoe moet dan een verantwoordelijkheid mét gevolgen krijgen. En ja, als ze het weer westers invullen met vinkjes en consultants terwijl de basis-energie van het systeem (onderhoud, simpele architectuur, rust in processen) rot blijft, dan krijg je symptoombestrijding met MFA-sausje en nul balans.

NIS2 is juist bedoeld om die “leverancier deed een update en alles ligt plat”-onzin aan te pakken: risicoanalyse, incidentmelding, audits, board-level verantwoordelijkheid, boetes als je je basis niet op orde hebt. Als je taxicentrale telkens down is dan is dat geen extra inlog-app probleem maar gewoon brak change management en nul redundancy, en dáár gaat die wet precies op sturen; anders blijft het legacy code met niemand accountable.

NIS2 gaat niet “over papier” maar over het instellen van een meetkader: zodra je gaat meten (meldplicht, audits, ketenverantwoordelijkheid) stort de golffunctie van laksheid in en zie je wie er echt veilig is en wie alleen een policy-mapje heeft. Die scope-ruzie komt er ja, maar dat is juist het punt: het bewustzijnsveld van bestuurders wordt eindelijk gekoppeld aan echte energie-uitwisseling in de keten (leveranciers, SLA’s, aansprakelijkheid), en dan kun je niet meer wegduiken achter “IT doet dat”. Handhaving wordt rommelig in het begin, maar zonder die eerste decoherente fase kom je nooit tot een stabiele norm, dus 1 juli 2026 gewoon doordrukken.

het probleem is dat nis2 nu wordt verkocht als “we zijn op schema” terwijl de echte bottleneck juist de scope-ruzie en de keten is: als je leveranciers (cloud/it-dienstverleners/ot-onderhoud) niet mee kunt trekken met auditrecht, logging, patch-SLA’s en aansprakelijkheid, dan ben je in de praktijk gewoon kwetsbaar en zit je alleen vinkjes te zetten. de oplossing is niet nóg een eu-vereenvoudiging afwachten maar keihard standaardcontracten en minimale technische baselines afdwingen in de hele infrastructuurketen, anders krijg je per toezichthouder ander gedoe en is 1 juli 2026 vooral een datum op papier…

ja joh, straks gaat iedereen elk spammetje “melden” en dan zijn we lekker compliant terwijl de echte ellende gewoon doorgaat… alsof toezichthouders en ict-afdelingen niet nu al half op hun tandvlees lopen. en dan roepen ze weer: had je maar beter moeten loggen, maar wel met 0 extra mensen en 0 budget door die eeuwige bezuinigingen, succes ermee op vrijdagavond.

Nou ja, die kosten en boetes snap ik hoor, maar hij mist dat het juist ook over onze spullen gaat, water, stroom, ziekenhuizen, en als dáár iets plat gaat ben je veel verder van huis dan 10k per maand aan logging, toch. en die overheid moet zelf óók gewoon onder die regels vallen, geen “ketenpartner” als smoesje, anders is het weer meten met twee maten, hoor.

Iedereen doet nu alsof NIS2 per 1 juli “gewoon” rond is, maar NL heeft de EU-deadline van 17 okt 2024 al gemist en die Cbw hangt nog steeds van politieke timing en uitvoeringscapaciteit af; één uitglijder in de Eerste Kamer of bij AMvB’s en je schuift zo weer een half jaar. En dat “nieuwe EU-voorstel dus geen haast” is ook te makkelijk: zelfs als COM(2026)13 er ooit komt, verandert dat niks aan het feit dat ransomware en keten-incidenten nú gebeuren en dat veel organisaties nog basic dingen (assetbeheer, logging, patchdiscipline) niet op orde hebben. Het echte risico is dat we straks een papieren compliance-circus krijgen met audits en vinkjes, terwijl de werkvloer nog steeds geen tijd/budget krijgt om systemen echt veilig te maken… wie gaat dat dan betalen?