NIS2 en de Cyberbeveiligingswet, iemand die het trekt.

Het moment

Meestal begint het niet bij de wet zelf, maar bij iets kleins. De uitkomst van de zelfevaluatie. Een brief van de toezichthouder. Een grote klant die een ketenvragenlijst stuurt en binnen drie weken antwoord wil. Of een bestuurder die na de verplichte training ineens vragen stelt waar niemand een antwoord op heeft. Dan blijkt dat iedereen het belang wel ziet, maar dat niemand er de tijd voor heeft. In het Veeam-onderzoek van april 2026 noemt 41 procent van de IT-verantwoordelijken "gebrek aan tijd voor implementatie" als grootste knelpunt. Dat is precies het gat waar wij voor bellen: niet nog een adviesrapport, maar iemand die het gaat doen.

Val je onder de Cbw?

Dat hangt af van twee dingen: je sector en je omvang. De wet geldt voor organisaties in de sectoren uit bijlage 1 en 2 van de Cyberbeveiligingswet, van energie, vervoer, banken, drinkwater en digitale infrastructuur tot digitale aanbieders, post, afval, levensmiddelen, chemie en vervaardiging. Daarbinnen tel je mee vanaf 50 fte, of als je kleiner bent maar zowel je omzet als je balanstotaal boven de 10 miljoen euro ligt. Voor een paar groepen, zoals telecomaanbieders en overheden, geldt geen omvangseis. De snelste manier om het zeker te weten is de NIS2-zelfevaluatie van de RDI, anoniem en gratis; het NCSC legt de twee stappen uit en heeft een handreiking voor organisaties met meerdere vestigingen. Wij zijn geen juristen en gaan je niet vertellen óf je eronder valt. We komen in beeld zodra het antwoord ja is.

Wat er nu moet gebeuren

De wet is op 15 augustus 2026 ingegaan en kent geen overgangstermijn (Rijksoverheid). Wat er dan ligt, en wie dat in de praktijk trekt:

1. Registreren bij het NCSC. Via mijn.ncsc.nl, met KvK-nummer en domeinnamen. Een halve dag werk, als iemand het oppakt. Meestal de security officer of een GRC-officer.
2. Risicoanalyse en de zorgplicht. De wet schrijft geen checklist voor, maar wel een onderbouwde risicoanalyse en aantoonbare maatregelen op toegang, back-up, leveranciers, incidenten en continuïteit. Dit is het hart van het traject en het werk van een interim CISO of een NIS2-kwartiermaker, vaak met een ISO 27001-fundament eronder.
3. De meldplicht inrichten. Een significant incident meld je binnen 24 uur, met een vervolgmelding binnen 72 uur en een eindverslag na een maand. Dat lukt alleen als er een proces ligt en iemand weet wie belt. Werk voor een security officer of je SOC-lead.
4. De keten. Leveranciers beoordelen, contracten aanpassen, en zelf de vragenlijsten van je grote klanten beantwoorden. GRC-werk, met kennis van leveranciersbeoordeling.
5. Het bestuur. Bestuurders keuren de maatregelen goed, houden toezicht en volgen een training; daar staat twee jaar na inwerkingtreding voor (artikel 26 Cbw). Iemand moet ze daarin meenemen zonder ze te overladen; dat is bij uitstek wat een ervaren CISO doet.

Wie dit trekt

In de praktijk zoeken organisaties voor dit traject een NIS2-kwartiermaker of projectleider die het hele programma opzet en de lijnen uitzet, een interim CISO of security officer die de zorgplicht en het bestuur voor zijn rekening neemt, een GRC-officer voor registratie, keten en bewijsvoering, of een ISO 27001 lead implementer als het ISMS het fundament moet worden. Welke van die vier het bij jou wordt, hangt af van wat er al ligt en wie er al is; daar beginnen we dus mee in de intake, en vaak blijkt de vraag anders dan de functietitel. Zoek je iemand voor vast, dan is dat gewoon werving & selectie; tijdelijk is het interim. Allebei doen we al jaren.

Interim: binnen twee dagen, en wat het kost

Snel betekent bij ons niet slordig. We beginnen met een echte intake: wat ligt er al, waarom nu, wie moet deze persoon meekrijgen. Daarna zoeken we in een netwerk van interimmers die we meestal al jaren kennen, en zo heb je bij een interim-opdracht binnen twee dagen je eerste kandidaat op gesprek. Zoek je iemand voor vast, dan werkt het anders en duurt het langer. De beste vaste kandidaten zijn zelden actief op zoek: ze zitten ergens goed en komen alleen in beweging voor de juiste argumenten, van iemand die hen kent en weet wat hen drijft. Dat is precies ons werk, en het levert de beste match op, maar niet in twee dagen. Interimmers zijn ondernemers: commerciëler, flexibeler naar beide kanten, en daardoor sneller voor te stellen vanuit het netwerk dat we actief onderhouden. Hebben we niemand die écht past, dan zeggen we dat, want een profiel dat je tijd kost is erger dan een eerlijk nee. Het tarief van de professional en onze marge zie je altijd apart, en die marge is nooit meer dan € 15 per uur bij een fulltime opdracht. Contracteren kan rechtstreeks met de zzp'er of via je eigen broker, waarbij wij alleen onze marge factureren, of volledig via Gruzzy met één factuur. Wie er nu beschikbaar is, en in welke tariefband, staat anoniem bij de beschikbare interimmers.

Zzp, en de Wet DBA

Een NIS2-traject is bij uitstek een opdracht met een kop en een staart: er is een resultaat, de professional bepaalt zelf hoe het werk gebeurt, en er is geen gezagsverhouding zoals bij een werknemer. Dat is precies wat de Belastingdienst wil zien sinds de handhaving op schijnzelfstandigheid in 2025 weer is begonnen, en dus past zzp hier goed, met een modelovereenkomst. Bij de intake toetsen we dat meteen. Is het werk in werkelijkheid een functie, bijvoorbeeld een security officer die ook na het traject blijft, dan zeggen we dat. Meestal is dat een vaste rol via werving; wil je echt tijdelijk iemand in dienst, dan kan detachering, al is dat niet onze kern. We adviseren hier graag over, vóór je tekent.