- Valt de organisatie onder een sector uit Richtlijn (EU) 2022/2555?
- Is de organisatie middelgroot of groot, of geldt er een kritieke uitzondering?
- Wordt de organisatie als essentiële of belangrijke entiteit aangemerkt, of raakt NIS2 haar vooral via klanten en leveranciers?
De NIS2-richtlijn is Europese cybersecuritywetgeving die in Nederland verplicht wordt voor organisaties die binnen de reikwijdte vallen zodra de Nederlandse implementatiewetgeving van toepassing is. De richtlijn zelf is al vastgesteld, maar de praktische verplichtingen voor Nederlandse organisaties lopen via nationale wetgeving, vooral via herziening van de Wet beveiliging netwerk- en informatiesystemen (Wbni). Laatst bijgewerkt: 2026. Deze tekst is bedoeld als algemene uitleg en is geen juridisch advies; raadpleeg officiële publicaties van de Nederlandse overheid, RDI, NCSC en de bevoegde vakdepartementen voor actuele termijnen, aanwijzingen en handhaving.
Is NIS2 verplicht?
Ja, NIS2 is verplicht voor organisaties die binnen de aangewezen sectoren en omvangscriteria vallen. De richtlijn verplicht EU-lidstaten om cyberbeveiliging, incidentmelding, toezicht en handhaving voor bepaalde organisaties wettelijk te regelen. In Nederland gebeurt dat via nationale implementatie, waardoor de precieze toezichtrollen en uitvoeringsdetails in Nederlandse wet- en regelgeving worden vastgelegd.
De kern is dat NIS2 geen vrijwillige norm is zoals een intern beveiligingsbeleid of een certificeringskader. Het is Europese wetgeving die lidstaten moeten omzetten. Voor organisaties betekent dit dat zij moeten beoordelen of zij in scope vallen, hun risico’s aantoonbaar moeten beheersen en ernstige incidenten volgens vaste termijnen moeten melden.
Een veelvoorkomende verwarring is dat NIS2 soms wordt gekoppeld aan anti-witwasregels. Dat klopt niet. NIS2 gaat over cybersecurity en digitale weerbaarheid van netwerk- en informatiesystemen. Sectoren zoals financiële marktinfrastructuur kunnen wel onder NIS2 vallen, maar dat maakt de richtlijn geen AML-regime.
Voor wie geldt NIS2 in Nederland?
De scope begint bij de sector. NIS2 richt zich op organisaties in aangewezen sectoren, waaronder onder meer energie, vervoer, bankwezen, financiële marktinfrastructuur, gezondheidszorg, drinkwater, afvalwater, digitale infrastructuur, ICT-dienstbeheer, overheid, post- en koeriersdiensten, afvalbeheer, chemie, voedsel, productie en digitale aanbieders. De exacte indeling komt uit de bijlagen bij Richtlijn (EU) 2022/2555 en de Nederlandse implementatie moet bepalen hoe dit nationaal wordt toegepast.
Daarna volgt de omvangstoets. In beginsel vallen middelgrote en grote organisaties binnen de aangewezen sectoren onder NIS2. Micro- en kleine organisaties zijn meestal uitgezonderd, maar die uitzondering is niet absoluut. Een kleinere organisatie kan alsnog onder de verplichtingen komen als zij bijvoorbeeld een vitale rol vervult, de enige aanbieder van een essentiële dienst is, of door de overheid op basis van risico wordt aangewezen.
De derde stap is de kwalificatie als essentiële of belangrijke entiteit. Dit onderscheid vervangt de oudere manier van denken in termen van exploitanten van essentiële diensten en digitale dienstverleners. Essentiële entiteiten worden strenger en vaak proactiever gecontroleerd, terwijl belangrijke entiteiten doorgaans meer reactief toezicht krijgen, bijvoorbeeld naar aanleiding van signalen of incidenten. Beide categorieën moeten passende beveiligingsmaatregelen nemen en incidenten melden.
Een praktische scopecheck bestaat daarom uit drie vragen: valt de activiteit binnen een NIS2-sector, is de organisatie middelgroot of groter, en is er een uitzondering of aanwijzing die de organisatie alsnog in scope brengt. De uitkomst is meestal één van drie mogelijkheden: essentieel, belangrijk of buiten directe scope. Zelfs buiten directe scope kan NIS2 merkbaar worden, omdat klanten contractueel strengere eisen aan leveranciers, MSP’s, hosters en softwarepartijen gaan stellen.
Waarom cloud, MSP en digitale infrastructuur extra aandacht krijgen
NIS2 legt meer nadruk op ketenafhankelijkheden dan veel organisaties gewend zijn. Managed service providers, managed security service providers, cloudproviders, datacenters, DNS-diensten, trust service providers en andere digitale infrastructuurspelers kunnen zelf in scope vallen of indirect zwaar geraakt worden via klanten die onder NIS2 vallen. Dit is logisch: een incident bij één technische dienstverlener kan meerdere sectoren tegelijk raken.
In praktijk ontstaat hierdoor een tweede laag van verplichtingen. Een ziekenhuis, energiebedrijf of overheidsorganisatie moet de beveiliging van leveranciers kunnen beoordelen, maar de leverancier moet op zijn beurt kunnen aantonen dat logging, incidentrespons, toegangsbeheer, continuïteit en rapportage op orde zijn. NIS2 maakt leveranciersbeheer daardoor minder administratief en meer operationeel: contracten moeten aansluiten op wat tijdens een incident daadwerkelijk nodig is.
Een veelgemaakte fout is dat organisaties NIS2 behandelen als een juridische inventarisatie die eindigt bij de vraag “vallen wij eronder?”. De betere aanpak is om ook te bepalen welke kritieke diensten afhankelijk zijn van derden, welke incidentinformatie contractueel beschikbaar moet zijn en hoe snel die informatie kan worden gedeeld. Zonder die afspraken wordt een 24-uursmelding al snel een papieren verplichting die operationeel moeilijk haalbaar is.
Welke verplichtingen brengt NIS2 mee?
NIS2 verplicht organisaties tot passende en evenredige technische, operationele en organisatorische maatregelen. Dat betekent onder meer risicobeheer, incidentafhandeling, bedrijfscontinuïteit, crisisbeheer, beveiliging van de toeleveringsketen, kwetsbaarhedenbeheer, toegangsbeveiliging, encryptie waar passend, beleid voor cyberhygiëne en training, en governance op bestuursniveau. De maatregelen moeten passen bij de risico’s, omvang en maatschappelijke functie van de organisatie.
Bestuurlijke verantwoordelijkheid is een belangrijk verschil met veel eerdere beveiligingsprogramma’s. NIS2 verwacht dat bestuurders toezicht houden op cybersecurityrisico’s en dat risicobeheersmaatregelen niet uitsluitend bij de IT-afdeling blijven liggen. Dit vraagt om rapportages die begrijpelijk zijn voor bestuur en auditcommissie: welke kritieke diensten zijn beschermd, welke restrisico’s bestaan, welke leveranciers vormen een concentratierisico en welke incidenten zouden meldplichtig kunnen zijn.
Organisaties die al werken met ISO/IEC 27001, NEN 7510 of vergelijkbare managementsystemen beginnen niet vanaf nul. Zulke kaders kunnen helpen om beleid, risicoanalyse, controls, interne audits en verbetercycli te structureren. Ze vervangen NIS2 niet automatisch, maar vormen vaak een bruikbaar fundament om verplichtingen aantoonbaar te maken. Voor verdere verdieping in de koppeling tussen NIS2 en bestaande managementsystemen kan een vergelijking tussen NIS2 en ISO 27001 nuttig zijn, mits die wordt gebruikt als interpretatiekader en niet als bewijs van wettelijke naleving.
Voor teams die een gestructureerde implementatieaanpak zoeken, kan een NIS2 Lead Implementer-training helpen om governance, risicobeheer en implementatiekeuzes in samenhang te plaatsen. De waarde zit vooral in het vertalen van wettelijke eisen naar rollen, processen en bewijsvoering binnen de eigen organisatie.
Meldtermijnen bij incidenten
NIS2 werkt met gefaseerde incidentmelding. Bij een significant incident moet een vroege waarschuwing in beginsel binnen 24 uur worden gedaan, gevolgd door een initiële melding binnen 72 uur en een eindrapport binnen één maand. De details hangen af van de nationale implementatie en de beoordeling of een incident significant is, maar deze termijnen zijn belangrijk genoeg om nu al in incidentresponsprocessen te verwerken.
De vroege waarschuwing is bedoeld om snel te signaleren dat er mogelijk sprake is van een ernstig incident, bijvoorbeeld met vermoedelijke kwaadwillige oorzaak of grensoverschrijdende impact. De 72-uursmelding bevat meer feitelijke informatie, zoals ernst, impact en indicatoren voor compromittering voor zover bekend. Het eindrapport moet doorgaans de oorzaak, gevolgen, getroffen maatregelen en lessen bevatten.
In Nederland spelen het NCSC, het CSIRT-stelsel, sectorale autoriteiten en toezichthouders een rol bij coördinatie, informatie-uitwisseling en toezicht. De Rijksinspectie Digitale Infrastructuur (RDI) krijgt in de Nederlandse context een zichtbare rol, naast vakdepartementen en andere bevoegde autoriteiten. Organisaties doen er verstandig aan om niet te wachten op een incident voordat duidelijk is wie intern mag melden, welke externe route geldt en welke gegevens juridisch en technisch gedeeld mogen worden.
Toezicht, boetes en gevolgen van niet-naleving
Niet-naleving van NIS2 kan leiden tot toezichtmaatregelen en sancties. De richtlijn bevat een Europees boeteraamwerk met maxima, maar de Nederlandse uitwerking bepaalt hoe toezicht en handhaving in de praktijk worden georganiseerd. Daarom is het verstandig om officiële Nederlandse publicaties te volgen voor de actuele toepassing van boetes, aanwijzingen, termijnen en bevoegdheden.
De gevolgen zijn breder dan een mogelijke boete. Een organisatie die haar NIS2-verplichtingen niet kan aantonen, loopt risico op contractuele problemen met klanten, strengere audits, reputatieschade en vertraging bij aanbestedingen of leveranciersbeoordelingen. Vooral bij kritieke dienstverlening kan een onvoldoende onderbouwd beveiligingsprogramma leiden tot vragen vanuit toezichthouders, bestuurders, verzekeraars en ketenpartners.
Toezicht verschilt naar categorie. Essentiële entiteiten kunnen proactiever worden gecontroleerd, terwijl belangrijke entiteiten vaak vooral na incidenten of signalen in beeld komen. Dat onderscheid betekent niet dat belangrijke entiteiten minder hoeven te doen. Het verschil zit vooral in de toezichtmodaliteit, niet in het idee dat de ene categorie cybersecurity vrijblijvend mag behandelen.
Wat organisaties nu moeten regelen
De verstandigste voorbereiding begint met een scopebeoordeling die door juridische, security-, privacy-, audit- en businessverantwoordelijken wordt gedeeld. De organisatie moet niet alleen vaststellen of zij zelf onder NIS2 valt, maar ook welke klanten, leveranciers en dochterondernemingen geraakt worden. In veel gevallen blijkt de ketenimpact eerder concreet dan de formele aanwijzing door een toezichthouder.
Daarna volgt de vertaling naar governance en risicobeheer. Bestuurders hebben periodieke rapportage nodig over cyberrisico’s, incidentgereedheid en leveranciersafhankelijkheden. Securityteams hebben duidelijke prioriteiten nodig: welke diensten zijn kritiek, welke dreigingen zijn realistisch, welke logging ontbreekt, welke back-up- en herstelafspraken zijn getest en welke leveranciers kunnen binnen de meldtermijnen bruikbare informatie leveren.
Voer een scopeanalyse uit op sector, omvang, uitzonderingen en ketenrol.
Leg bestuurlijke verantwoordelijkheid vast met heldere rapportage en besluitvorming.
Map NIS2-eisen op bestaande controls, zoals ISO/IEC 27001 of NEN 7510.
Werk incidentrespons bij voor 24 uur, 72 uur en één maand rapportage.
Herzie leverancierscontracten voor logging, meldplichten, auditrechten en continuïteit.
De grootste implementatierisico’s zitten vaak in timing en eigenaarschap. Als bestuur, interne audit en juridische teams pas aanhaken nadat technische maatregelen zijn gekozen, ontstaat er later discussie over bewijsvoering en aansprakelijkheid. Als leveranciers pas tijdens een incident om logdata of forensische informatie worden gevraagd, is de kans groot dat contracten en processen tekortschieten. NIS2 vraagt daarom om samenwerking tussen disciplines, niet om een geïsoleerd IT-project.
Veelgestelde vragen
Is NIS2 verplicht voor alle bedrijven?
Nee. NIS2 geldt niet voor alle bedrijven. De verplichtingen richten zich in beginsel op middelgrote en grote organisaties in aangewezen sectoren, met uitzonderingen voor bepaalde kritieke of aangewezen organisaties. Kleine leveranciers kunnen wel indirect geraakt worden doordat klanten NIS2-eisen contractueel doorleggen.
Vanaf wanneer geldt NIS2 in Nederland?
De Europese richtlijn is vastgesteld, maar organisaties moeten voor de Nederlandse toepassing kijken naar de nationale implementatie via aanpassing van de Wbni en officiële communicatie van de overheid. Omdat implementatiedetails kunnen wijzigen, is het raadzaam om de publicaties van de Nederlandse overheid, RDI en NCSC te volgen.
Wat is het verschil tussen essentiële en belangrijke entiteiten?
Essentiële entiteiten hebben doorgaans een zwaarder maatschappelijk of economisch belang en kunnen proactiever toezicht verwachten. Belangrijke entiteiten vallen ook onder NIS2-verplichtingen, maar het toezicht is vaak reactiever. Beide categorieën moeten passende beveiligingsmaatregelen nemen en significante incidenten melden.
Welke incidenten moeten worden gemeld?
Significante incidenten moeten worden gemeld volgens de NIS2-systematiek. In hoofdlijnen betekent dit een vroege waarschuwing binnen 24 uur, een initiële melding binnen 72 uur en een eindrapport binnen één maand. De precieze beoordeling hangt af van impact, duur, getroffen gebruikers, mogelijke grensoverschrijdende gevolgen en nationale uitwerking.
Is ISO 27001 genoeg voor NIS2?
ISO/IEC 27001 kan een sterk fundament zijn, maar certificering is niet automatisch hetzelfde als NIS2-naleving. Organisaties moeten aantonen dat hun maatregelen aansluiten op de specifieke wettelijke verplichtingen, meldtermijnen, bestuursverantwoordelijkheid en ketenvereisten van NIS2.
De juiste volgende stap
NIS2 is verplicht voor organisaties die binnen de Europese scope vallen en door de Nederlandse implementatie worden geraakt. De vraag is daarom niet alleen of de organisatie formeel in scope is, maar ook of zij haar kritieke diensten, leveranciers, incidentprocessen en bestuursrapportage aantoonbaar op orde heeft.
Een praktische volgende stap is het combineren van een juridische scopeanalyse met een security-gap-analyse en een leveranciersreview. Wie meerdere securityonderwerpen tegelijk wil professionaliseren, kan daarnaast kijken naar Unlimited Security Training. Voor bredere security governance en auditvaardigheden kunnen ISACA-trainingen relevant zijn, en organisaties die willen sparren over opleidingskeuzes kunnen contact opnemen.
