NIS2-SC10, SC20 en SC30 keurmerk zonder ingewikkelde trajecten

Nee, het NIS2-SC-keurmerk is niet wettelijk erkend. Met het NIS2-SC-keurmerk laat je zien dat je maatregelen hebt genomen om je organisatie digitaal te beveiligen. Het bewijst alleen niet automatisch dat je aan de Cyberbeveiligingswet voldoet; dat beoordeelt de toezichthouder. Ook als de wet niet voor jouw organisatie geldt, kan een opdrachtgever het keurmerk van je vragen.

Als jouw organisatie in een aangewezen sector valt en aan de omvangscriteria voldoet, moet je aan de Nederlandse Cyberbeveiligingswet voldoen, die de NIS2-richtlijn uitvoert. Het gaat om essentiële en belangrijke entiteiten. Kleine organisaties vallen meestal buiten de wet, maar voor sommige diensten en overheidsorganisaties gelden uitzonderingen op de omvangsgrens. Ook leveranciers kunnen via contracten beveiligingseisen krijgen.

De NIS2-richtlijn trad op 16 januari 2023 in werking voor EU-lidstaten. Zij moesten de richtlijn daarna omzetten in nationale wetgeving. In Nederland gebeurde dat via de Cyberbeveiligingswet, die sinds 15 augustus 2026 geldt. Vanaf die datum moeten organisaties die onder de wet vallen onder meer hun cyberrisico’s beheersen, zich registreren en significante incidenten melden.

Als jouw organisatie onder de Cyberbeveiligingswet valt, moet je je registreren in het entiteitenregister van het NCSC. Dat geldt voor essentiële en belangrijke entiteiten onder de Nederlandse uitvoering van NIS2. Met de registratie worden contact- en organisatiegegevens vastgelegd. Organisaties buiten de wet hebben deze registratieplicht niet, ook al kan een opdrachtgever afzonderlijk beveiligingseisen stellen.

De implementatie van de NIS2-richtlijn in Nederland verloopt via de Cyberbeveiligingswet, die sinds 15 augustus 2026 geldt. De wet moet de digitale weerbaarheid van essentiële en belangrijke diensten versterken. Organisaties die binnen het toepassingsgebied vallen, moeten zich registreren, cyberrisico’s beheersen en significante incidenten melden. Of dit voor jouw organisatie geldt, hangt af van de sector, omvang en uitzonderingen.

NIS2-SC10, SC20 en SC30 zijn drie niveaus van het NIS2 Supply Chain-keurmerk. Daarmee laat je als leverancier zien welke maatregelen je hebt genomen om cyberrisico’s te beheersen. SC10 richt zich op de basis van informatiebeveiliging. SC20 en SC30 stellen steeds hogere eisen, afhankelijk van jouw rol in de keten, de risico’s van je dienstverlening en wat opdrachtgevers van je vragen.

Een NIS2-SC certificeringstraject start meestal met een nulmeting of quickscan. Vervolgens worden eventuele verbeterpunten aangepakt en wordt de benodigde documentatie opgesteld. Wanneer de organisatie klaar is voor certificering volgt een audit door een erkende partij. Na een succesvolle beoordeling wordt het certificaat afgegeven. Wij begeleiden organisaties gedurende het volledige traject. Van inventarisatie en implementatie tot auditvoorbereiding, zodat je precies weet wat nodig is om succesvol gecertificeerd te worden.

NIS2-SC10, SC20 en SC30 zijn ontwikkeld als praktische certificeringen voor organisaties die aantoonbaar willen voldoen aan cybersecurity-eisen binnen de keten. ISO 27001 is een internationale norm voor informatiebeveiligingsmanagement en heeft een bredere scope. Voor veel mkb-organisaties is SC10 of SC20 een laagdrempeliger traject dan een volledige ISO 27001-certificering. Organisaties die internationaal actief zijn of hogere eisen krijgen vanuit klanten kiezen vaak voor ISO 27001 of een combinatie van beide.