Waarom is NIS2 ook op jou van toepassing als softwareleverancier?

Laatst sprak ik een softwarebedrijf dat maatwerkapplicaties bouwt voor klanten in verschillende sectoren — waaronder een groot waterbedrijf. Tijdens ons gesprek kwam de vraag op: "Die NIS2, geldt dat eigenlijk ook voor ons?"

Een logische vraag. Want op het eerste gezicht lijkt de nieuwe Europese NIS2-richtlijn vooral bedoeld voor organisaties in vitale sectoren. Denk aan energiebedrijven, ziekenhuizen, vervoersdiensten en drinkwaterbedrijven.

Maar hier komt de twist: NIS2 stopt daar niet.

De richtlijn kijkt namelijk niet alleen naar deze “essentiële en belangrijke” organisaties, maar óók naar hun leveranciers.

Wat betekent dat voor softwarebedrijven?

Heel simpel: als jouw klant onder NIS2 valt, gaan zij steeds vaker vragen of hun leveranciers cybersecurity op orde hebben. Ze moeten namelijk kunnen aantonen dat hun hele keten — dus ook jouw dienstverlening — geen onnodig risico vormt.

Of je nu:

• cloudapplicaties levert,

• API’s bouwt,

• platformen host,

• of IT-diensten levert,

je valt binnen het blikveld van NIS2-zorgplicht.

Wat wordt er dan van je verwacht?

Je hoeft niet zelf volledig aan de NIS2 te voldoen — tenzij je natuurlijk zelf in een vitale sector opereert.Maar klanten kunnen (of moeten) wel vragen naar bijvoorbeeld:

• een cybersecuritybeleid dat risico’s in kaart brengt,

• concrete maatregelen zoals MFA, encryptie en monitoring,

• een helder incidentresponseplan,

• en soms zelfs audit- of compliancebewijzen.

Waarom nú actie ondernemen?

We leven inmiddels in 2025. De deadline voor implementatie van de NIS2 in nationale wetgeving was eind oktober 2024.Dat betekent: organisaties die onder de richtlijn vallen, moeten nu écht aan de slag. En dus gaan ze hun leveranciers nu onder de loep nemen.

Wil je niet achter de feiten aanlopen of een interessante klant mislopen door te vage antwoorden op hun vragen?Dan is dit het moment om intern na te gaan of jullie klaar zijn voor wat klanten van je gaan verwachten.

Ben jij al door klanten benaderd met vragen over cybersecurity of NIS2?

Of wil je weten hoe je je als softwareleverancier goed kunt voorbereiden?

💬 Laat het ons weten — wij denken graag met je mee!