NIS2 is een Europese richtlijn die in Nederland via nationale wetgeving wordt omgezet. Daardoor is het geen EU-verordening en ook geen certificaat dat je kunt behalen, ook al wordt dat vaak zo begrepen.
In werkelijkheid is NIS2 een EU-richtlijn, officieel Richtlijn (EU) 2022/2555, die lidstaten moeten omzetten in nationale wetgeving en die organisaties verplicht hun cyberweerbaarheid aantoonbaar te organiseren.
Laatst bijgewerkt: 28 juli 2026. Deze tekst is informatief bedoeld en is geen juridisch advies. Voor besluiten over toepasselijkheid, meldingen en toezicht hoort een organisatie de actuele publicaties van EUR-Lex, ENISA, NCSC-NL, RDI en de Nederlandse overheid te raadplegen.
Wat NIS2 regelt
De NIS2-richtlijn vervangt de oorspronkelijke NIS-richtlijn en moet binnen de Europese Unie zorgen voor een hoger gemeenschappelijk niveau van cyberbeveiliging. De richtlijn richt zich op organisaties die belangrijk zijn voor economische en maatschappelijke continuïteit, zoals energie, transport, zorg, digitale infrastructuur, overheid, financiële diensten, afvalwater, post- en koeriersdiensten, levensmiddelen, chemie, productie en bepaalde digitale aanbieders.
Het woord “richtlijn” is belangrijk. NIS2 werkt niet rechtstreeks op dezelfde manier als een EU-verordening; elke lidstaat moet de richtlijn vertalen naar nationale wetgeving. De EU-transpositiedeadline was 17 oktober 2024. In Nederland sluit de implementatie aan op de bestaande Wet beveiliging netwerk- en informatiesystemen, maar de uiteindelijke nationale verplichtingen, procedures en toezichtrollen worden bepaald door de Nederlandse implementatiewetgeving en bijbehorende besluiten.
NIS2 vraagt geen eenmalige technische aanpassing. De kern is bestuurbare cyberweerbaarheid: beleid voor risicobeheer, incidentbehandeling, bedrijfscontinuïteit, ketenbeveiliging, kwetsbaarheden, toegangsbeheer, cryptografie en basismaatregelen zoals multi-factor authenticatie waar passend. De richtlijn legt daarmee de verantwoordelijkheid dichter bij bestuur en senior management dan veel organisaties gewend zijn.
Wie valt onder NIS2?
De eerste vraag is niet welke beveiligingstool nodig is, maar of de organisatie onder de richtlijn valt. NIS2 gebruikt daarvoor sectoren uit Bijlage I en Bijlage II, aangevuld met de zogenoemde size-cap-regel. Middelgrote en grote organisaties in de genoemde sectoren vallen in veel gevallen binnen scope. Kleinere organisaties kunnen toch onder NIS2 vallen wanneer zij een bijzonder risicoprofiel hebben, bijvoorbeeld door hun rol in digitale infrastructuur, openbare elektronische communicatiediensten of andere functies met grote maatschappelijke afhankelijkheid.
Een praktische scope-analyse begint bij drie vragen. Valt de activiteit onder een sector uit Bijlage I of II van Richtlijn (EU) 2022/2555? Is de organisatie middelgroot of groot volgens de relevante criteria voor omvang? Is er een uitzondering of bijzondere aanwijzing waardoor een kleine organisatie toch wordt meegenomen, of waardoor een specifieke entiteit anders wordt behandeld? Bij groepen met meerdere juridische entiteiten moet deze analyse per entiteit worden gemaakt, omdat de activiteiten, landen van vestiging en toezichtlijnen kunnen verschillen.
Het onderscheid tussen “essentiële” en “belangrijke” entiteiten is vervolgens bepalend voor toezicht en sancties. Essentiële entiteiten bevinden zich doorgaans in sectoren met een directe impact op vitale maatschappelijke functies, zoals energie, vervoer, gezondheidszorg, drinkwater, digitale infrastructuur en bepaalde overheidsdiensten. Belangrijke entiteiten vallen eveneens onder verplichtingen, maar het toezicht is doorgaans anders ingericht en kan meer achteraf plaatsvinden. In beide gevallen blijft de verplichting tot passende beveiligingsmaatregelen en incidentmelding overeind.
In Nederland vraagt de scope-analyse extra aandacht bij organisaties die zowel IT- als OT-omgevingen beheren, zoals productiebedrijven, logistieke knooppunten, energiepartijen en watergerelateerde organisaties. Een cyberincident in kantoorautomatisering heeft een andere dynamiek dan een storing in operationele technologie, maar NIS2 dwingt organisaties om die afhankelijkheden samen te beoordelen. Juist de verbindingen tussen bedrijfsnetwerken, leveranciersportalen, onderhoudstoegang en industriële systemen blijken vaak bepalend voor het werkelijke risicoprofiel.
Nederlandse context: bevoegde autoriteiten, CSIRT en bestaande wetgeving
De Nederlandse implementatie van NIS2 moet worden gelezen naast de huidige Wbni en bestaande sectorale toezichtstructuren. NCSC-NL heeft nu al een centrale rol in waarschuwingen, dreigingsinformatie en ondersteuning rond vitale aanbieders en digitale weerbaarheid. RDI is in Nederland bekend als toezichthouder binnen digitale infrastructuur en telecomgerelateerde domeinen. Daarnaast kunnen sectorale CSIRTs en bevoegde autoriteiten een rol spelen, afhankelijk van de sector en de uiteindelijke nationale aanwijzing.
Voor organisaties betekent dit dat “de toezichthouder” niet altijd één loket is. Een zorginstelling, managed service provider, cloudgerelateerde aanbieder, energiebedrijf of fabrikant kan met verschillende nationale en sectorale contactpunten te maken krijgen. Bij internationale groepen speelt bovendien de vraag naar hoofdvestiging, of main establishment, omdat die kan bepalen welke lidstaat primair bevoegd is voor bepaalde typen aanbieders.
Deze jurisdictiekwestie wordt vaak onderschat. Een Nederlands hoofdkantoor met operationele dochterbedrijven in andere EU-lidstaten kan per entiteit verschillende verplichtingen hebben. Omgekeerd kan een organisatie met Nederlandse klanten maar een hoofdvestiging elders in de EU onder een andere primaire autoriteit vallen. De praktische les is dat juridische structuur, feitelijke dienstverlening en technische operatie samen moeten worden bekeken.
Incidentmeldingen: 24 uur, 72 uur en één maand
NIS2 scherpt de meldplicht aan voor significante incidenten. De richtlijn werkt met een gefaseerd proces: een vroege waarschuwing binnen 24 uur nadat de organisatie kennis heeft gekregen van een significant incident, een incidentmelding binnen 72 uur en een eindrapport binnen één maand. Meldingen gaan naar de bevoegde autoriteit of het aangewezen CSIRT volgens de nationale procedure. Voor Nederland moeten organisaties daarom de actuele instructies van NCSC-NL, RDI en sectorale contactpunten volgen.
De 24-uursmelding is bedoeld om snel te signaleren dat er mogelijk een ernstig incident speelt. Deze melding hoeft nog niet volledig te zijn, maar moet voldoende richting geven aan aard, vermoedelijke oorzaak, mogelijke grensoverschrijdende impact en eerste mitigerende maatregelen. In praktijk vraagt dit om een intern escalatieproces dat sneller werkt dan veel reguliere incidentprocedures.
De 72-uursmelding moet inhoudelijker zijn. Daarin hoort de organisatie de ernst, impact, indicatoren, getroffen diensten, bekende technische feiten en genomen of geplande maatregelen te beschrijven. Het eindrapport binnen één maand brengt de analyse samen: oorzaak, tijdlijn, impact, herstel, structurele maatregelen en lessen voor preventie. Wanneer een incident nog doorloopt, kan een voortgangsrapportage nodig zijn voordat het definitieve rapport gereed is.
Een veelvoorkomende fout is dat organisaties de meldplicht pas ontwerpen nadat een incident heeft plaatsgevonden. De klok begint echter te lopen zodra er kennis is van een significant incident. Daarom hoort vooraf duidelijk te zijn wie de meldbeslissing neemt, wie contact onderhoudt met het CSIRT of de bevoegde autoriteit, welke informatie minimaal beschikbaar moet zijn en hoe juridische, communicatie-, IT-, OT- en managementteams samenwerken.
Bestuurlijke verantwoordelijkheid en sancties
NIS2 maakt cyberbeveiliging nadrukkelijk een bestuursverantwoordelijkheid. Managementorganen moeten risicobeheersmaatregelen goedkeuren, toezicht houden op de uitvoering en kunnen worden aangesproken wanneer nalatigheid leidt tot niet-naleving. De richtlijn benoemt ook training voor bestuurders en medewerkers, zodat cyberrisico niet uitsluitend als technisch onderwerp wordt behandeld.
De sancties zijn aanzienlijk. Voor essentiële entiteiten noemt NIS2 administratieve geldboetes tot ten minste 10 miljoen euro of 2 procent van de wereldwijde jaaromzet, afhankelijk van welk bedrag hoger is. Voor belangrijke entiteiten noemt de richtlijn maxima tot ten minste 7 miljoen euro of 1,4 procent van de wereldwijde jaaromzet, eveneens afhankelijk van welk bedrag hoger is. Nationale wetgeving bepaalt de precieze toepassing, maar de richting is duidelijk: naleving wordt gekoppeld aan bestuurlijke en financiële consequenties.
Naast boetes kunnen bestuurlijke maatregelen zwaar wegen. Denk aan aanwijzingen om tekortkomingen te verhelpen, verplichtingen tot audits of rapportages, tijdelijke maatregelen en intensiever toezicht. Voor bestuurders is het daarom onvoldoende om te vragen of “IT ermee bezig is”. Er moet aantoonbaar eigenaarschap zijn, inclusief budget, besluitvorming, risicobeoordeling en periodieke rapportage.
Wat organisaties meestal over het hoofd zien
Veel NIS2-programma’s beginnen met beleidsteksten, maar lopen vast op asset-inventarisatie. Zonder actueel overzicht van systemen, data, leveranciers, netwerkverbindingen en kritieke bedrijfsprocessen is het moeilijk te bepalen welke maatregelen passend zijn. Dit geldt vooral voor organisaties met legacy-systemen, industriële omgevingen, overgenomen bedrijven of verspreide cloudomgevingen.
Supply-chain security is een tweede struikelblok. NIS2 vraagt aandacht voor risico’s in de toeleveringsketen, waaronder leveranciers van IT-diensten, cloudplatformen, managed services, software, onderhoudspartijen en andere afhankelijkheden. Inkoopcontracten horen daarom afspraken te bevatten over beveiligingsmaatregelen, kwetsbaarheden, logging, auditrechten, incidentmeldingen, onderaannemers en beëindiging van toegang.
Ook kwetsbaarhedenbeheer wordt vaak te smal ingericht. Een patchproces voor servers is waardevol, maar NIS2 vraagt breder risicobeheer. Organisaties moeten weten hoe zij kwetsbaarheden ontvangen, beoordelen, prioriteren, mitigeren en documenteren. Bij OT-omgevingen kan patchen bovendien niet altijd direct, waardoor compenserende maatregelen, segmentatie en onderhoudsvensters belangrijk worden.
Wie medewerkers voorbereidt op NIS2 doet er goed aan juridische kennis, governance en technische uitvoering bij elkaar te brengen. Readynez kan in die context worden gebruikt voor gerichte training rond cyberbeveiliging en compliance, maar het belangrijkste blijft dat de organisatie zelf een werkend beheersysteem opzet dat aansluit op haar sector, risico’s en meldplicht.
NIS2 naast ISO/IEC 27001, DORA en CER
NIS2 staat niet los van bestaande kaders. ISO/IEC 27001 kan helpen om risicobeheer, beleid, controles en continue verbetering gestructureerd vast te leggen. Een ISO/IEC 27001-certificering betekent echter niet automatisch dat een organisatie aan NIS2 voldoet, omdat NIS2 specifieke wettelijke verplichtingen, scopevragen, meldplichten en toezichtmechanismen bevat.
Voor de financiële sector is DORA belangrijk. DORA richt zich specifiek op digitale operationele weerbaarheid van financiële entiteiten en ICT-derdepartijrisico. NIS2 en DORA kunnen elkaar raken, maar DORA is in veel financiële contexten het specifiekere kader. Organisaties moeten daarom bepalen welk regime voor welke entiteit, dienst en verplichting leidend is.
De CER-richtlijn richt zich op de weerbaarheid van kritieke entiteiten in bredere zin, waaronder fysieke en organisatorische risico’s. Waar NIS2 vooral netwerk- en informatiesystemen raakt, kijkt CER naar continuïteit van kritieke diensten vanuit een breder veerkrachtperspectief. In sectoren zoals energie, vervoer, gezondheid en water is afstemming tussen cyberweerbaarheid en fysieke continuïteitsplanning daarom noodzakelijk.
Eerste stappen richting NIS2-compliance
Een werkbaar NIS2-programma begint met scope en governance. Organisaties moeten eerst vaststellen welke juridische entiteiten, diensten, landen, sectoren en leveranciers binnen bereik vallen. Daarna volgt de vertaling naar beleid, risicoanalyse, technische maatregelen, contracten, incidentrespons en bestuursrapportage.
Bepaal per juridische entiteit of activiteiten onder Bijlage I of II van NIS2 vallen en leg de redenering vast.
Breng kritieke diensten, assets, data, leveranciers en afhankelijkheden in kaart, inclusief IT- en OT-koppelingen.
Richt een meldproces in voor de 24-uurswaarschuwing, 72-uursmelding en rapportage binnen één maand.
Laat bestuur en senior management periodiek besluiten over cyberrisico’s, maatregelen, budget en voortgang.
Werk leverancierscontracten bij met eisen voor beveiliging, kwetsbaarheden, incidentmelding en onderaannemers.
De volgorde is belangrijk. Zonder scopeanalyse wordt te veel of te weinig gedaan. Zonder asset- en keteninzicht blijven maatregelen oppervlakkig. Zonder bestuurlijke besluitvorming wordt compliance een projectdocument in plaats van een structurele manier van werken.
Veelgestelde vragen over NIS2
Is NIS2 hetzelfde als een certificering?
Nee. NIS2 is een EU-richtlijn die lidstaten omzetten in nationale wetgeving. Certificeringen zoals ISO/IEC 27001 kunnen helpen om onderdelen van risicobeheer en beveiligingsprocessen aantoonbaar te maken, maar vervangen de wettelijke verplichtingen van NIS2 niet.
Wanneer moet een NIS2-incident worden gemeld?
Bij een significant incident geldt een gefaseerde meldplicht: een vroege waarschuwing binnen 24 uur, een uitgebreidere incidentmelding binnen 72 uur en een eindrapport binnen één maand. De exacte nationale procedure loopt via de bevoegde autoriteit of het aangewezen CSIRT.
Welke Nederlandse instanties spelen een rol?
De precieze rolverdeling hangt af van sector en nationale implementatie. NCSC-NL is relevant voor dreigingsinformatie, waarschuwingen en ondersteuning rond digitale weerbaarheid. RDI speelt een rol in digitale infrastructuur en telecomgerelateerde domeinen. Sectorale toezichthouders en CSIRTs kunnen daarnaast betrokken zijn.
Valt een kleine organisatie altijd buiten NIS2?
Nee. De size-cap-regel betekent dat middelgrote en grote organisaties in aangewezen sectoren vaak binnen scope vallen, maar kleine organisaties kunnen onder omstandigheden toch worden meegenomen. Dat is vooral relevant wanneer hun dienst een bijzonder risico of grote maatschappelijke afhankelijkheid veroorzaakt.
Wat is het verschil tussen essentiële en belangrijke entiteiten?
Essentiële entiteiten bevinden zich doorgaans in sectoren met directe vitale impact en kunnen met strenger toezicht te maken krijgen. Belangrijke entiteiten hebben eveneens beveiligings- en meldverplichtingen, maar het toezichtregime kan anders zijn. De nationale implementatie bepaalt hoe dit in Nederland concreet wordt toegepast.
Van richtlijn naar werkbare uitvoering
NIS2 dwingt organisaties om cyberbeveiliging te verbinden met bestuur, continuïteit en ketenverantwoordelijkheid. De grootste vooruitgang ontstaat meestal niet door een nieuw beleidsdocument, maar door heldere scopekeuzes, actuele assetinformatie, geoefende incidentmeldingen en aantoonbare managementbetrokkenheid.
Een praktische volgende stap is om de officiële bronnen naast de eigen organisatiestructuur te leggen: Richtlijn (EU) 2022/2555 op EUR-Lex, ENISA-richtsnoeren en de actuele Nederlandse informatie van NCSC-NL, RDI en de overheid. Training via Readynez kan vervolgens helpen om betrokken teams dezelfde taal te laten spreken over risico, governance en uitvoering, terwijl de juridische beoordeling bij de organisatie en haar adviseurs blijft.
