Kort antwoord: NIS2 en bedrijfscontinuïteit horen bij elkaar: de richtlijn gaat niet alleen over het tegenhouden van aanvallen, maar ook over doordraaien als het toch misgaat. Artikel 21 van de richtlijn noemt bedrijfscontinuïteit expliciet als onderdeel van de zorgplicht: back-upbeheer, herstel na een calamiteit en crisisbeheer. In Nederland geldt dat sinds 15 augustus 2026 via de Cyberbeveiligingswet, met het bestuur als eindverantwoordelijke. Organisaties moeten dus kunnen laten zien hoe snel kritieke processen weer draaien, en hoe ze tijdens een incident veilig blijven communiceren en informatie delen.
Bijgewerkt op 4 november 2026
Bij NIS2 denken veel organisaties eerst aan firewalls, MFA en patchbeleid. Dat is begrijpelijk, maar het is maar de helft van het verhaal. De richtlijn gaat er nadrukkelijk van uit dat incidenten blijven gebeuren. De vraag is dan niet alleen hoe u ze voorkomt, maar ook hoe snel u weer operationeel bent en of u dat kunt aantonen.
In dit artikel leest u wat NIS2 en de Cyberbeveiligingswet vragen op het gebied van bedrijfscontinuïteit, wat dat betekent voor industrie, kritieke infrastructuur en de financiële sector, en waarom de uitwisseling van informatie tijdens een incident een vaak vergeten onderdeel is van uw continuïteitsplan.
Wat vraagt NIS2 over bedrijfscontinuïteit?
Artikel 21 van de NIS2-richtlijn somt de maatregelen op die organisaties minimaal moeten nemen. Bedrijfscontinuïteit staat daar letterlijk in, met back-upbeheer, herstel na een calamiteit en crisisbeheer als voorbeelden. Daarnaast vraagt de richtlijn om beleid voor incidentbehandeling en om aandacht voor de beveiliging van de toeleveringsketen.
Drie andere onderdelen maken bedrijfscontinuïteit een bestuursvraagstuk:
- Verantwoordelijkheid van het bestuur. Bestuurders moeten de maatregelen goedkeuren, toezien op de uitvoering en zelf een training volgen (artikel 20).
- Meldplicht. Een significant incident meldt u met een vroegtijdige waarschuwing binnen 24 uur, een melding binnen 72 uur en een eindrapport binnen een maand (artikel 23).
- Toezicht. De toezichthouder kan vragen hoe u continuïteit heeft ingericht en of u dat heeft getest.
De Nederlandse uitwerking, de Cyberbeveiligingswet, is samen met de Wet weerbaarheid kritieke entiteiten op 15 augustus 2026 in werking getreden, voor ruim 8.000 organisaties in 18 sectoren (Rijksoverheid). Meer over de wet leest u op onze pagina over NIS2 en de Cyberbeveiligingswet.
Ransomware is het grootste continuïteitsrisico
Volgens het Verizon Data Breach Investigations Report 2026 speelde ransomware een rol bij 48% van de onderzochte datalekken, tegenover 44% een jaar eerder. 69% van de getroffen organisaties betaalde niet. Dat betekent dat herstel uit eigen back-ups en een goed geoefend crisisplan in de meeste gevallen het verschil maken tussen dagen en weken stilstand.
Ook de keten speelt mee: derde partijen waren volgens hetzelfde rapport betrokken bij 48% van de datalekken. Een storing of aanval bij een leverancier kan uw eigen continuïteit net zo goed raken als een aanval op uw eigen systemen.
NIS2 en bedrijfscontinuïteit per sector
Industrie en maakbedrijven
Productielijnen zijn sterk geautomatiseerd en verbonden met IT-systemen voor planning en logistiek. Een ransomware-aanval op kantoorsystemen kan zo ook de productie stilleggen. Scheid IT- en OT-netwerken, bepaal per productielijn de herstelvolgorde en houd rekening met voorraden als buffer. Lees ook hoe u bestanden in OT-omgevingen veilig deelt.
Energie, water, transport en andere kritieke infrastructuur
Hier raakt uitval direct de samenleving. Redundantie, failover en scenario’s voor handmatige bediening zijn essentieel. Organisaties die zijn aangewezen als kritieke entiteit hebben daarnaast verplichtingen onder de Wet weerbaarheid kritieke entiteiten, die ook fysieke weerbaarheid omvat.
Banken, verzekeraars en andere financiële instellingen
Voor de financiële sector geldt DORA als specifieke regeling. DORA vraagt een eigen beleid voor ICT-bedrijfscontinuïteit, herstelplannen en regelmatige tests, en legt veel nadruk op de continuïteit van ICT-dienstverleners. Lees meer over DORA en veilig bestanden delen.
De vergeten schakel: informatie delen tijdens een incident
Continuïteitsplannen gaan meestal over systemen en back-ups. Maar tijdens een incident moet u ook informatie delen: logbestanden met een forensisch onderzoeksbureau, polisinformatie met de verzekeraar, een melding met onderbouwing aan de toezichthouder en updates aan klanten en ketenpartners. Juist dan is de verleiding groot om “even snel” iets te mailen of via een privékanaal te sturen.
Leg daarom vooraf vast:
- via welk kanaal u in een crisis gevoelige bestanden deelt met externe partijen;
- wie daarvoor toegang heeft, ook als de gebruikelijke werkplek niet beschikbaar is;
- hoe u achteraf kunt aantonen wie welke informatie heeft ontvangen.
Dat laatste is meer dan een formaliteit. De meldplicht vraagt om een onderbouwd beeld van wat er is gebeurd, en bij een datalek moet u ook kunnen laten zien welke gegevens bij wie terecht zijn gekomen. Lees waarom vertrouwelijke documenten mailen juist dan risico’s geeft.
Zo vertaalt u NIS2 en bedrijfscontinuïteit naar actie
- Breng kritieke processen en afhankelijkheden in kaart. Welke processen moeten als eerste weer draaien, en van welke systemen en leveranciers zijn ze afhankelijk?
- Leg hersteldoelen vast. Bepaal per proces de maximale hersteltijd (RTO) en het maximale dataverlies (RPO), en laat het bestuur die doelen goedkeuren.
- Test herstel echt. Een back-up is pas bewijs als u heeft laten zien dat u ermee kunt herstellen. Leg de resultaten vast.
- Toets de continuïteit van leveranciers. Vraag naar hun herstelplannen, hersteltijden en meldafspraken, en neem die op in contracten.
- Oefen de crisis, inclusief communicatie. Doe een tabletop-oefening waarin ook de meldtermijnen en het veilig delen van informatie met externe partijen aan bod komen.
Wilt u weten hoe u dit aantoonbaar organiseert? Lees ons artikel over aantoonbare compliance en hoe de Cyberbeveiligingswet om bewijs per bestandsoverdracht vraagt.
Hoe Msafe helpt bij continuïteit van informatie-uitwisseling
Msafe Secure File Transfer is gebouwd voor het veilig delen van gevoelige bestanden met externe partijen. Dat helpt in de dagelijkse praktijk, en zeker tijdens een incident:
- Eén vaste route voor gevoelige bestanden, zodat niemand in een crisis hoeft te improviseren.
- Verificatie van ontvangers met bijvoorbeeld een eenmalige code via de telefoon, ook voor externe partijen zonder account.
- Een audit trail per overdracht, zodat u kunt aantonen wie welke informatie heeft ontvangen.
- Toegang die u kunt intrekken zolang een bestand nog niet is gedownload, en vervaldatums per share.
- Grote bestanden tot 1 TB als standaard, handig voor logbestanden en images.
Msafe is gecertificeerd volgens ISO/IEC 27001:2022 en wordt gehost in Nederland. Een tool vervangt geen continuïteitsplan, maar zorgt wel dat het delen van informatie een geregeld en aantoonbaar onderdeel ervan is.
Veelgestelde vragen over NIS2 en bedrijfscontinuïteit
NIS2 en bedrijfscontinuïteit: wet en sectoren
Artikel 21 van NIS2 noemt bedrijfscontinuïteit als verplicht onderdeel van de zorgplicht, met back-upbeheer, herstel na een calamiteit en crisisbeheer als voorbeelden. Organisaties moeten kunnen laten zien dat kritieke processen na een incident weer gaan draaien.
De Cyberbeveiligingswet, de Nederlandse uitwerking van NIS2, is op 15 augustus 2026 in werking getreden. Het bestuur is eindverantwoordelijk voor de maatregelen.
Voor financiële instellingen geldt DORA als specifieke regeling. DORA stelt eigen eisen aan ICT-bedrijfscontinuïteit, herstelplannen en tests, en aan de continuïteit van ICT-dienstverleners.
NIS2 en bedrijfscontinuïteit in de praktijk
De RTO (recovery time objective) is de maximale tijd waarin een proces weer moet draaien. De RPO (recovery point objective) is het maximale dataverlies dat acceptabel is, uitgedrukt in tijd. Samen bepalen ze hoe u back-ups en herstel inricht.
Tijdens een incident moet u snel gevoelige informatie delen met onder meer forensisch onderzoekers, verzekeraars en toezichthouders. Zonder vooraf afgesproken veilige route ontstaan omwegen, en kunt u achteraf niet aantonen wie welke informatie heeft ontvangen.
Wilt u weten hoe u informatie-uitwisseling in uw continuïteitsplan regelt? Plan een vrijblijvende demo.
