NIS2 · Sector ICT-diensten

NIS2 voor ICT-dienstverleners en MSP's

Wat de Cyberbeveiligingswet betekent voor managed service providers

Als IT-beheerder heeft u de sleutels van uw klanten in handen. Precies daarom valt het beheer van ICT-diensten sinds 15 augustus 2026 zelf onder de Cyberbeveiligingswet. En ook als u er niet direct onder valt, krijgt u er via uw klanten mee te maken.

ICT-dienstverleners in het kort

Sector

Bijlage 1: zeer kritiek

Meestal

Essentieel of belangrijk

Toezichthouder

Rijksinspectie Digitale Infrastructuur (RDI)

Melden

NCSC via mijn.ncsc.nl

Welke ICT-dienstverleners vallen onder NIS2?

De sector heet officieel beheer van ICT-diensten (business to business). Het gaat om twee soorten aanbieders.

Managed service providers: u installeert, beheert, onderhoudt of ondersteunt ICT voor klanten, op locatie of op afstand
Managed security service providers: u levert beveiligingsdiensten zoals monitoring, een SOC, incidentrespons of kwetsbaarheidsbeheer
Het gaat om dienstverlening aan andere organisaties, niet aan consumenten
Levert u ook cloud, hosting of datacenterdiensten? Dan valt u daarnaast onder digitale infrastructuur

Twijfelt u? Doe de gratis check →

Goed om te weten

Omvang
U valt eronder vanaf 50 medewerkers, of met een jaaromzet én balanstotaal boven € 10 miljoen. Vanaf 250 medewerkers, of met een jaaromzet boven € 50 miljoen én een balanstotaal boven € 43 miljoen, bent u groot.

Groepen tellen mee
De cijfers van verbonden ondernemingen binnen uw concern tellen mee. Ook een kleine dochter kan dus onder de wet vallen.

Klein, maar toch geraakt
Klanten die onder de wet vallen, moeten hun leveranciers beoordelen. Reken dus op vragenlijsten, audits en eisen in contracten.

Europese regels gelden rechtstreeks
Voor MSP’s en MSSP’s staan de technische eisen in de Europese uitvoeringsverordening 2024/2690. Die geldt naast de Cbw.

Waarom ICT-dienstverleners een doelwit zijn

Aanvallers zoeken de kortste weg naar zoveel mogelijk slachtoffers. Die weg loopt vaak via de IT-partner.

Eén aanval, veel slachtoffers

Wie binnen is bij een MSP, kan via de beheeromgeving door naar alle klanten tegelijk.

Beheertools als ingang

Software voor beheer op afstand heeft vergaande rechten. Een lek of gestolen inlog is een directe route naar klantomgevingen.

Hoge verwachtingen van klanten

Zorginstellingen, gemeenten en energiebedrijven moeten hun keten beveiligen. Zij kijken daarbij als eerste naar hun IT-partner.

Uit de praktijk

Kaseya VSA, 2021

In juli 2021 misbruikten criminelen een lek in Kaseya VSA, beheersoftware die veel MSP’s gebruiken. Via minder dan zestig MSP’s werden tot zo’n 1.500 bedrijven met ransomware getroffen. Het Nederlandse DIVD had het lek al ontdekt en gemeld, maar de aanvallers waren sneller.

Wat de wet van ICT-dienstverleners vraagt

De vier kernverplichtingen, vertaald naar uw praktijk als beheerder.

Zorgplicht

Maatregelen op basis van een risicobeoordeling, met extra aandacht voor toegangsbeheer, beheertools, kwetsbaarheden en veilig ontwikkelen. De Europese uitvoeringsverordening 2024/2690 maakt dit concreet.
Lees meer over de zorgplicht →

Meldplicht

Een significant incident meldt u binnen 24 uur via het portaal van het NCSC (mijn.ncsc.nl). Binnen 72 uur volgt een uitgebreidere melding en binnen een maand een eindverslag. Wanneer een incident significant is, staat voor MSP’s in de uitvoeringsverordening.
Lees meer over de meldplicht →

Registreren in het entiteitenregister

U registreert uw organisatie via mijn.ncsc.nl en houdt de gegevens actueel.
Lees meer over de registratieplicht →

Verantwoordelijkheid van het bestuur

Het bestuur keurt de maatregelen goed, houdt toezicht op de uitvoering en volgt verplicht een cybertraining. Bestuurders kunnen persoonlijk worden aangesproken.
Lees meer over toezicht →

Samenhang met andere regels

Veel ICT-dienstverleners werken al met een normenkader. Zo verhoudt dat zich tot de Cbw.

ISO 27001

Een goed ingericht ISMS dekt een groot deel van de zorgplicht. Registratie en meldplicht regelt u daarnaast apart.

Uitvoeringsverordening 2024/2690

Europese regels met concrete technische eisen voor MSP’s en MSSP’s, plus de drempels voor significante incidenten.

DORA via uw financiële klanten

Werkt u voor banken of verzekeraars? Dan krijgt u via hen ook met DORA te maken, bijvoorbeeld via contracteisen en audits.

Zo pakt u NIS2 aan als MSP

Vier stappen om grip te krijgen, zonder dat het een papieren exercitie wordt.

Bepaal uw rol

Bent u MSP, MSSP of ook cloud of datacenter? En hoe groot is uw organisatie inclusief concern?

Registreer bij het NCSC

Leg uw gegevens vast in het entiteitenregister via mijn.ncsc.nl.

Beveilig eerst uw beheeromgeving

Denk aan MFA, gescheiden beheeraccounts, logging op beheertools en snel patchen.

Maak het aantoonbaar

Leg maatregelen vast, zodat u klantvragen en audits snel en overtuigend beantwoordt.

Veelgestelde vragen over NIS2 en ICT-dienstverleners

Bekijk ook andere sectoren

Laat zien dat u een betrouwbare IT-partner bent

Wij helpen u NIS2 op orde te brengen en aantoonbaar te maken richting uw klanten.