Is je organisatie écht klaar voor NIS2?

Vind antwoorden op deze route door Cybersec Netherlands 2026

De Cyberbeveiligingswet (NIS2) treedt op 15 augustus 2026 in werking. Ruim 8.000 organisaties krijgen te maken met nieuwe verplichtingen, waaronder een registratieplicht, meldplicht en zorgplicht. Hoe breng je dat in praktijk? Op Cybersec Netherlands vind je antwoorden als je deze route volgt langs workshops en stands.

Cybersecurity verschuift voor duizenden Nederlandse organisaties van ‘belangrijk onderwerp’ naar een formele verantwoordelijkheid. Die zorgplicht vraagt om passende maatregelen op basis van een risicoanalyse.

Dat klinkt overzichtelijk, maar de praktijk is weerbarstiger. Want hoe kun je straks aantonen dat je beveiligingsmaatregelen daadwerkelijk werken? Dat is een wezenlijk andere vraag dan ‘hebben we beleid?’ of ‘hebben we een ISO 27001-certificaat?’.

Precies daar wordt Cybersec Netherlands 2026 interessant. Wie op 9 en/of 10 september naar Jaarbeurs Utrecht komt, kan de NIS2-discussie vertalen naar concrete actiepunten: van regelgeving en governance naar risicoanalyse, technische maatregelen, testen, monitoring en uiteindelijk aantoonbare weerbaarheid.

Van vinkje naar bewijs

De verleiding is groot om NIS2 te behandelen als een compliance-project. Beleidsdocumenten actualiseren, verantwoordelijkheden vastleggen, een risicoanalyse uitvoeren en vervolgens aantonen dat de organisatie aan de eisen voldoet. Maar cybersecurity werkt niet zo netjes.

Het NCSC benadrukt zelf dat risicomanagement de basis vormt van de zorgplicht. Dat maakt de centrale vraag voor securityverantwoordelijken eigenlijk vrij simpel, want als de auditor, bestuurder of toezichthouder je morgen vraagt welke risico’s er onder controle zijn, welk bewijs leg je dan op tafel? Dat is ook de vraag waarmee je Cybersec Netherlands kunt bezoeken.

Stap 1: begin bij het raamwerk, niet bij de tool

De eerste stop op deze route is daarom niet een security operations center (soc), firewall of vulnerability-scanner. Begin bij de manier waarop je organisatie risico’s organiseert.

Een logische start is de sessie ‘Hoe helpt ISO/IEC 27001 bij NIS-compliance?’ (9 en 10 september,  10.15 – 10.45 uur, Masterclass theater 3). Hierin kijkt Rob Jansen, lead auditor Zakelijke Dienstverlening & ICT bij DNV Business Assurance, naar de relatie tussen de Cyberbeveiligingswet, risicobeoordeling, maatregelen, scope, ketenrisico’s en bedrijfscontinuïteit.

ISO 27001 kan helpen om informatiebeveiliging systematisch te organiseren, maar certificering is geen bewijs dat een organisatie immuun is voor aanvallen. Het gaat uiteindelijk om de vertaling van risico’s naar maatregelen en aantoonbare werking.

Ook BSI Group The Netherlands past in dit eerste deel van de route (stand 11.E061). De organisatie richt zich op normen, certificering en assessment. Voor bezoekers die willen weten hoe je van ‘we doen aan security’ naar een aantoonbaar ingerichte aanpak komt, is dat een logische halte.

Wat levert deze stop op?
Een scherper beeld van de governance-vraag achter NIS2: welke risico’s accepteer je, wie is daarvoor verantwoordelijk en hoe toon je aan dat je maatregelen niet alleen bestaan, maar daadwerkelijk onderdeel zijn van een werkend managementproces?

Stap 2: ontdek waar je werkelijk kwetsbaar bent

Een risicoanalyse heeft weinig waarde als het onderliggende beeld van de organisatie niet klopt. Welke assets zijn daadwerkelijk verbonden met internet? Welke systemen zijn vergeten? Welke accounts hebben nog toegang? Welke externe afhankelijkheden bestaan er? En wat gebeurt er als een leverancier uitvalt?

De sessie ‘The breach gap: how attackers really get in’ (10 september, 13.30 – 13.50 uur, Mainstage) sluit daar goed op aan. Matt Hull, verantwoordelijk voor cyber intelligence en response bij NCC Group, stelt dat organisaties zich vaak voorbereiden op geavanceerde aanvallers, terwijl succesvolle inbraken veel vaker voortkomen uit bekende problemen zoals onbeheerde exposure, identity sprawl, verkeerde vertrouwensaannames, configuratiedrift en operationele blinde vlekken.

Dat is misschien wel een van de interessantste NIS2-lessen van de beurs. Risicomanagement begint niet met de vraag welke dreiging morgen op je afkomt, maar met de vraag welke zwakke plekken je vandaag niet meer ziet. Daarom hoort Censys op deze route thuis (stand 11.D058). Internet-exposure en externe attack-surface visibility helpen organisaties om hun beeld van de buitenkant aan te scherpen: de praktische tegenhanger van de theoretische risicoanalyse.

Wat levert deze stop op?
Een inventarisatie van de plekken waar je NIS2-aanpak mogelijk op een verkeerde aanname rust. Niet wat volgens de administratie bestaat, maar wat een aanvaller daadwerkelijk kan zien en bereiken.

Stap 3: kijk of je beveiliging het in de praktijk houdt

Dan komt het ongemakkelijke gedeelte. Je hebt je risico’s in kaart, je hebt maatregelen en processen. Maar werken ze ook? Dat is het onderwerp van de sessie ‘Your last pentest is already outdated: the case for continuous purple teaming’ (9 september, 14.45 – 15.15 uur, Masterclass theater 4) van Sander Maas, co-founder van Offensys. De gedachte is simpel: een eenmalige pentest laat zien wat er op het moment van testen werd gevonden. Maar infrastructuur, configuraties en detectieregels veranderen voortdurend.

Offensys (stand 11.C023) richt zich daarom op geautomatiseerde en herhaalbare aanvalssimulaties waarmee securityteams continu kunnen controleren of hun verdediging nog doet wat zij denken dat die doet. Dat verschuift de discussie van ‘we hebben onze controls getest’ naar ‘we weten dat onze controls vandaag werken’. Voor organisaties met een soc is dat een wezenlijk verschil.

Wat levert deze stop op?
Een praktische manier om van compliance-bewijs naar operationeel bewijs te gaan: niet alleen documenteren dat maatregelen bestaan, maar regelmatig vaststellen of ze daadwerkelijk effect hebben.

Stap 4: vergeet de omgeving die niet zomaar gepatcht kan worden

Voor organisaties met industriële processen komt daar nog een extra complicatie bij. In it kun je een kwetsbaar systeem relatief eenvoudig patchen of vervangen. In operationele technologie (ot) ligt dat vaak anders. Een plc, hmi of scada-component kan onderdeel zijn van een productieproces dat niet zomaar kan worden stilgelegd.

De sessie ‘Ot-security: van inzicht naar aantoonbare risicoreductie’ (9 en 10 september, 11.00 – 11.30 uur, OT Security Dome 1) is daarom relevant voor iedereen die NIS2 niet alleen vanuit IT bekijkt. Stefan Barten, sales engineer bij Modelec Data-Industrie, behandelt onder meer asset-inzicht, continue monitoring, segmentatie, ids/ips en compenserende maatregelen wanneer patchen geen optie is.

Ook Modelec Data-Industrie (stand 11.B078) hoort daarom op deze route thuis. De focus op secure OT-networking en netwerkzichtbaarheid sluit aan op de vraag hoe je kwetsbaarheden beheerst zonder de continuïteit van industriële processen uit het oog te verliezen.

Wat levert deze stop op?
Een beter beeld van hoe je aantoonbare risicoreductie organiseert in omgevingen waar patchen, vervangen of opnieuw opstarten niet altijd mogelijk is.

Stap 5: maak toegang beheersbaar

Er is nog een categorie risico die in vrijwel iedere NIS2-discussie terugkomt: identiteit. Wie heeft toegang tot welke systemen? Zijn die rechten nog noodzakelijk? En hoe houd je daar aantoonbaar grip op?

De sessie ‘IAM & NIS2 – 5 steps to take control of user access within days’ (9 september, 14.45 – 15.15 uur, Masterclass theater 2) pakt precies dit vraagstuk aan. Jakob Festraets, head of delivery bij Elimity, laat zien hoe organisaties inzicht krijgen in wie toegang heeft tot wat en hoe zij toegangsrisico’s kunnen reduceren.

Dat maakt Elimity (stand 11.C010) een logische halte op de beursvloer. De focus op identity governance en het beheersen van gebruikersrechten sluit direct aan op de vraag hoe je toegang niet alleen organiseert, maar ook aantoonbaar onder controle houdt.

Wat levert deze stop op?
Een concreter antwoord op een vraag die bestuurders steeds vaker zullen stellen: wie kan bij onze kritieke informatie en systemen, en weten we zeker dat die toegang terecht is?

Bewijsbare veiligheidsketen

Wie deze route volgt, krijgt uiteindelijk geen checklist met ‘NIS2-tools’. De rode draad door Cybersec Netherlands 2026 is juist dat cyberweerbaarheid uit meerdere lagen bestaat. Je begint bij governance en risico, brengt vervolgens exposure en kwetsbaarheden in kaart en toetst of maatregelen daadwerkelijk werken. In ot moet dat bovendien zonder de operatie onnodig te verstoren, terwijl identiteit en toegang beheersbaar moeten blijven.

Dat sluit aan op de manier waarop de Cyberbeveiligingswet is opgebouwd. De wet kent niet alleen een meldplicht, maar ook een zorgplicht waarbij organisaties passende maatregelen moeten nemen op basis van hun risico’s. Bij significante incidenten geldt bovendien een eerste waarschuwing die zo snel mogelijk en in ieder geval binnen 24 uur moet worden gedaan. Daarmee wordt de vraag uiteindelijk groter dan ‘zijn we NIS2-compliant?’ De betere vraag is: kunnen we aantonen dat onze organisatie bestand is tegen de risico’s die er werkelijk toe doen?