Wat Kost Het Om Aan NIS2 Te Voldoen?

De vraag die na elke NIS2-presentatie als eerste komt, gaat zelden over artikel 21 of over meldtermijnen. Die vraag gaat over geld. Wat kost het om aan de Cyberbeveiligingswet te voldoen, en waar gaat dat budget dan precies naartoe?

Sinds 15 augustus 2026 geldt de Cyberbeveiligingswet, de Nederlandse omzetting van de Europese NIS2-richtlijn. Ruim 8.000 Nederlandse organisaties vallen eronder. Voor veel van hen is de begroting het lastigste onderdeel, want een totaalbedrag laat zich niet opzoeken. De NIS2 kosten hangen vooral af van wat u al heeft staan.

Hoe zijn de NIS2 kosten opgebouwd?

Wie een offerte opvraagt, krijgt vaak één bedrag te zien zonder onderbouwing. Dat helpt niet bij een investeringsbeslissing. Splits de kosten daarom uit naar posten die u zelf kunt beïnvloeden. Pas dan ziet u waar het geld heen gaat en welke keuze u ruimte geeft.

De verplichtingen zelf liggen vast. NIS2 kent drie plichten: de zorgplicht, de meldplicht en de registratieplicht. De zorgplicht werkt de wet uit in de tien maatregelgebieden van artikel 21. Wat die maatregelen kosten, verschilt per organisatie, want de wet eist maatregelen die passen bij uw risico en uw omvang.

Welke kostenposten komen altijd terug?

In vrijwel elk NIS2-traject ziet u dezelfde vijf posten terug. De onderstaande tabel laat zien wat elke post inhoudt en waardoor die hoger of lager uitvalt.

Wat kost de documentatie?

Documentatie is de post waar de verschillen het grootst zijn. NIS2 kent geen certificaat, dus u toont naleving aan met vastgelegd beleid, procedures en registraties. Zonder documentatie kunt u een toezichthouder niets laten zien, hoe goed uw techniek ook is geregeld.

U kunt alles zelf schrijven. Dat kost geen licentie, maar wel veel uren van iemand die weet hoe een beveiligingsbeleid eruit hoort te zien. In de praktijk is dit de post die het vaakst wordt onderschat, omdat een compleet stelsel al snel uit tientallen documenten bestaat. Een overzicht van wat u nodig heeft, vindt u in het artikel over de documenten die NIS2 van u vraagt.

Het alternatief is een vooringevuld pakket. Dan koopt u de structuur en de teksten, en betaalt u in uren alleen nog voor het aanpassen aan uw eigen situatie. Ons NIS2 compliance pakket bevat de complete documentatieset, inclusief de registers voor de meldplicht en de registratieplicht.

Wat kost de techniek?

De technische kosten vallen vaak lager uit dan verwacht, omdat organisaties meer functionaliteit bezitten dan zij gebruiken. Multifactorauthenticatie zit doorgaans al in bestaande licenties. Ook logging en back-upfunctionaliteit zijn vaak aanwezig, maar niet ingericht of nooit getest.

Begin daarom met inventariseren voordat u iets koopt. Een gap-analyse laat zien welke maatregelen al staan, welke half staan en welke ontbreken. Pas daarna weet u of u echt iets moet aanschaffen. De grootste uitgaven zitten meestal in monitoring, in het opnieuw inrichten van back-up en herstel en in netwerksegmentatie bij oudere infrastructuur.

Hoeveel interne uren kost NIS2?

Interne uren zijn de grootste verborgen kostenpost. Ze staan op geen enkele factuur, maar ze bepalen wel of het traject doorloopt of stilvalt. Reken op inzet van een projecttrekker, van de IT-verantwoordelijke en van elke proceseigenaar die input moet leveren voor de risicoanalyse.

• Projectleiding. Iemand die het traject trekt, bewaakt en aan het bestuur rapporteert. Dit is doorlopende inzet, geen eenmalige klus.
• Risicoanalyse. Werksessies met de mensen die de processen kennen, plus de uitwerking en de besluitvorming daarna.
• Invullen en afstemmen. Documenten passend maken en laten goedkeuren door de juiste verantwoordelijken.
• Implementatie en testen. Maatregelen daadwerkelijk inrichten en aantonen dat ze werken.
• Onderhoud. Jaarlijkse herbeoordeling, interne audit en directiebeoordeling. NIS2 is geen project met een einddatum.

Wat kost de verplichte bestuurstraining?

Artikel 20 verplicht het bestuur om de maatregelen goed te keuren, toezicht te houden en aantoonbaar scholing te volgen. Die scholing is geen vrijblijvende suggestie. Bij essentiële entiteiten kan een bestuurder tijdelijk uit een leidinggevende functie worden geschorst.

De kosten hangen af van de vorm. Een sessie op maat met de eigen risico’s erin verwerkt kost meer dan een standaardcursus, maar levert bruikbaarder bewijs op. Belangrijk is dat u de deelname en de inhoud vastlegt. Meer hierover leest u in het artikel over de cyberkennis die het bestuur moet aantonen.

Zelf doen of volledig uitbesteden?

De keuze tussen zelf doen en uitbesteden verschuift vooral kosten tussen posten. Wie uitbesteedt, betaalt minder in eigen uren en meer in facturen. Wie het zelf doet met een documentatiepakket, betaalt vooral in uren en houdt de kennis binnen de organisatie.

Er zit nog een verschil in dat pas later zichtbaar wordt. NIS2 vraagt jaarlijks onderhoud. Zit alle kennis bij een externe partij, dan betaalt u die inzet elk jaar opnieuw. Zit de kennis binnen, dan wordt het onderhoud goedkoper naarmate uw systeem volwassener wordt. De actuele prijzen van de pakketten staan op de winkelpagina.

Waar kunt u besparen zonder risico te lopen?

Besparen mag, zolang u niet bespaart op zaken die u later als bewijs nodig heeft. De volgende keuzes verlagen de kosten zonder dat uw naleving eronder lijdt.

• Inventariseer eerst. Koop niets voordat de gap-analyse laat zien wat er werkelijk ontbreekt.
• Gebruik bestaande licenties. Zet aan wat u al betaalt in plaats van een nieuwe tool aan te schaffen.
• Bouw voort op ISO 27001. Heeft u al een managementsysteem, gebruik dat dan als basis, zoals beschreven bij ISO 27001 als basis voor NIS2.
• Prioriteer op risico. Begin met maatregelen die het grootste risico afdekken, niet met de makkelijkste.
• Voorkom dubbel werk. Eén set documenten voor NIS2 en informatiebeveiliging, in plaats van twee stelsels naast elkaar.

Veelgestelde vragen over NIS2 kosten

1. Wat kost NIS2 voor een mkb-bedrijf?

Dat hangt af van uw startpunt. Een organisatie met werkende back-ups, multifactorauthenticatie en enig beleid betaalt vooral in interne uren en in documentatie. Een organisatie zonder die basis investeert daarnaast in techniek en training. De wet vraagt maatregelen die passen bij uw omvang en risico, dus een kleinere organisatie hoeft niet hetzelfde op te tuigen als een concern.

2. Zijn er subsidies voor NIS2?

Er bestaan regelingen voor digitalisering en cyberweerbaarheid die per jaar en per regio verschillen. Wij noemen daar geen bedragen of voorwaarden bij, omdat die snel wijzigen. Informeer bij uw brancheorganisatie of bij het regionale ondernemersloket welke regelingen op dit moment openstaan voor uw sector en omvang.

3. Zijn de kosten eenmalig of jaarlijks?

Beide. De implementatie is grotendeels eenmalig: documentatie opzetten, maatregelen inrichten, mensen trainen. Daarna blijven jaarlijkse kosten bestaan voor de herbeoordeling van risico’s, interne audits, hertraining van personeel en bestuur, en het actueel houden van documenten. Reken op structureel onderhoud, niet op een eenmalig project.

4. Wat kost het als u niets doet?

Voor essentiële entiteiten geldt een boete van maximaal 10 miljoen euro of 2 procent van de wereldwijde jaaromzet, waarbij het hoogste bedrag geldt. Voor belangrijke entiteiten is dat maximaal 7 miljoen euro of 1,4 procent. Meer hierover leest u bij de boetes onder NIS2.

5. Kunt u NIS2 gefaseerd aanpakken?

Ja, en dat spreidt de uitgaven. Begin met registratie, risicoanalyse en de meldprocedure, want die zijn direct nodig. Werk daarna de technische maatregelen af op volgorde van risico. Een bruikbare fasering vindt u in het NIS2-stappenplan.

Conclusie

NIS2 kosten laten zich niet in één bedrag vangen, en elke partij die dat wel doet, gokt. Splits uw begroting uit naar documentatie, techniek, interne uren, training en eventuele externe hulp. Bepaal daarna per post wat u zelf kunt en waar u hulp inkoopt. Dat levert een onderbouwde begroting op die u aan uw bestuur kunt uitleggen.

De grootste besparing zit in het voorkomen van dubbel werk: niet zelf beleid schrijven dat al bestaat, en niet kopen wat u al in huis heeft. Wilt u de documentatiekosten voorspelbaar houden, kijk dan naar het pakket met 176 NIS2 document templates, waarmee u de documentatie voor een vast bedrag afdekt en uw eigen uren beperkt tot invullen en afstemmen.