Op 28 juli 2026 is deze pagina voor het laatst bijgewerkt. In Nederland vraagt NIS2 om inzicht in de nationale context, de geldende verplichtingen en de voorbereiding die organisaties nodig hebben.
Op 17 oktober 2024 moesten EU-lidstaten de NIS2-richtlijn hebben omgezet in nationale wetgeving. Voor Nederlandse organisaties is die datum vooral relevant omdat NIS2 niet rechtstreeks als dagelijkse compliance-handleiding leest; de praktische verplichtingen lopen via Nederlandse implementatiewetgeving, toezicht en sectorale aanwijzingen.
NIS2 is de Europese richtlijn die cyberweerbaarheid van essentiële en belangrijke entiteiten moet verhogen door eisen te stellen aan risicobeheer, incidentmelding, bestuurstoezicht en ketenbeveiliging. In Nederland wordt NIS2 uitgewerkt als opvolger van de Wet beveiliging netwerk- en informatiesystemen, met betrokkenheid van onder meer de Rijksoverheid, NCSC-NL, de Rijksinspectie Digitale Infrastructuur en sectorale toezichthouders. Dit artikel is bedoeld als praktische duiding, niet als juridisch advies; organisaties blijven afhankelijk van hun eigen sector, diensten, groepsstructuur en de definitieve nationale regels die op hen van toepassing zijn.
Wat NIS2 verandert voor Nederlandse organisaties
De oorspronkelijke NIS-richtlijn richtte zich op een smaller deel van vitale aanbieders en digitale dienstverleners. NIS2 trekt de scope breder, maakt bestuur en toezicht explicieter en legt meer nadruk op aantoonbaar risicobeheer. Daardoor raakt de richtlijn niet alleen securityteams, maar ook bestuurders, procurement, juridische teams, operations en leveranciersmanagement.
Een belangrijke verschuiving is dat NIS2 organisaties beoordeelt op de maatschappelijke en economische relevantie van hun diensten. Sectoren zoals energie, vervoer, gezondheidszorg, drinkwater, digitale infrastructuur, overheidsdiensten, afvalwater, post- en koeriersdiensten, levensmiddelen, chemie, productie en bepaalde digitale aanbieders kunnen onder de richtlijn vallen. De precieze uitwerking hangt af van de sectorbijlagen bij NIS2 en de Nederlandse implementatie.
De meest voorkomende fout in de Nederlandse voorbereiding is een te smalle scopebepaling. Organisaties kijken dan alleen naar de sectornaam en concluderen te snel dat zij niet vitaal zijn. NIS2 werkt echter ook met omvangscriteria, type dienst, positie in de keten en in sommige gevallen aanwijzing door een bevoegde autoriteit. Een bedrijf dat zichzelf niet als vitale aanbieder ziet, kan toch onder de richtlijn vallen omdat het een dienst levert die binnen de sectorbijlagen valt of omdat het onderdeel is van een grotere groep.
Wie valt onder NIS2: essentiële en belangrijke entiteiten
NIS2 gebruikt de termen essentiële entiteiten en belangrijke entiteiten. Dat onderscheid vervangt de oude reflex om te spreken over aanbieders van essentiële diensten en digitale dienstverleners uit de eerste NIS-richtlijn. Essentiële entiteiten vallen doorgaans in sectoren met een hogere maatschappelijke impact en krijgen strenger toezicht vooraf of tijdens de naleving. Belangrijke entiteiten kunnen eveneens stevige verplichtingen hebben, maar het toezicht is vaak meer reactief ingericht.
Een praktisch besliskader begint bij vier vragen. Eerst wordt gekeken naar de omvang: in veel gevallen is de drempel 50 of meer medewerkers of ten minste 10 miljoen euro jaaromzet, tenzij een uitzondering geldt. Daarna volgt de sector- en dienstentoets: levert de organisatie een dienst die in de NIS2-bijlagen valt. Vervolgens komt de classificatie als essentieel of belangrijk, op basis van sector, impact en nationale uitwerking. Tot slot moeten grensgevallen worden beoordeeld, zoals concernstructuren, uitbestede diensten, Nederlandse vestigingen van niet-EU-concerns en leveranciers die een kritieke functie vervullen voor een entiteit die zelf onder NIS2 valt.
Die laatste categorie verdient extra aandacht. Outsourcing verandert de verantwoordelijkheid niet automatisch. Een organisatie kan beheer, hosting, monitoring of incidentrespons uitbesteden, maar blijft in veel gevallen verantwoordelijk voor risicobeheer, contractuele borging, meldbaarheid en toezicht op de leverancier. Voor concerns is bovendien relevant welke entiteit de dienst feitelijk levert, waar beslissingen worden genomen en welke juridische entiteit onder toezicht valt.
De Nederlandse implementatie en de rol van toezichthouders
In Nederland wordt NIS2 geïmplementeerd via nationale wetgeving die de Wbni opvolgt. De Rijksoverheid publiceert de voortgang van de implementatie en sectorale informatie. NCSC-NL speelt een rol in ondersteuning, informatievoorziening en coördinatie rond cyberdreigingen, terwijl de Rijksinspectie Digitale Infrastructuur en andere sectorale autoriteiten toezichtstaken kunnen krijgen afhankelijk van het type entiteit. De exacte rolverdeling kan per sector verschillen.
Voor organisaties betekent dit dat één Europees kader in de praktijk meerdere Nederlandse loketten kan raken. Een zorginstelling, energiebedrijf, cloudprovider of financiële instelling krijgt niet noodzakelijk dezelfde toezichthouder, dezelfde registratiepraktijk of dezelfde sectorale guidance. Daarom is het verstandig om NIS2 niet los te behandelen van bestaande verplichtingen zoals privacywetgeving, sectorale continuïteitseisen, ISO/IEC 27001, DORA voor financiële instellingen en de CER-richtlijn voor kritieke entiteiten.
Die samenloop is geen administratief detail. In de financiële sector overlapt NIS2 met DORA op thema’s zoals ICT-risicobeheer, incidentrapportage, testen en derde partijen. In kritieke infrastructuur kan de CER-richtlijn fysieke en organisatorische weerbaarheid toevoegen aan de digitale eisen. Organisaties die deze kaders apart implementeren, creëren vaak dubbele controles en dubbele audits. Een beter vertrekpunt is één controleraamwerk waarin maatregelen, bewijsstukken, eigenaren en rapportages worden gekoppeld aan meerdere verplichtingen.
Risicobeheer: van beleid naar aantoonbare werking
NIS2 vraagt om passende technische, operationele en organisatorische maatregelen. In de praktijk gaat het om bekende securitydomeinen zoals risicoanalyse, incidentrespons, business continuity, crisismanagement, ketenbeveiliging, toegangsbeheer, kwetsbaarhedenbeheer, encryptie, logging, training en basismaatregelen voor cyberhygiëne. Het verschil zit minder in de losse maatregel en meer in de aantoonbaarheid ervan.
Een beleid dat niet is getest, vormt zwak bewijs. Een back-upprocedure zonder hersteltest zegt weinig over weerbaarheid. Een leveranciersclausule zonder auditrecht of meldafspraak helpt beperkt wanneer een leverancier tijdens een incident zwijgt. NIS2 dwingt organisaties daarom om beleid, processen, technische controles en bewijsvoering aan elkaar te koppelen.
Voor bestuurders is dit een wezenlijke verandering. NIS2 legt nadruk op toezicht door het managementorgaan en op kennis van cyberrisico’s. Dat vraagt om aantoonbare besluitvorming, periodieke rapportage aan directie of raad van bestuur, risico-KPI’s, opvolging van bevindingen en training op bestuursniveau. Een NIS2 lead implementer-programma kan in die context helpen om juridische eisen, governance en implementatiekeuzes in één werkbaar kader te plaatsen, mits de organisatie daarnaast eigen juridische en sectorale toetsing uitvoert.
Incidentmeldingen: 24 uur, 72 uur en één maand
De meldplicht onder NIS2 wordt vaak te eenvoudig samengevat. De kern is niet alleen dat een incident moet worden gemeld, maar dat een organisatie snel moet kunnen beoordelen of sprake is van een aanzienlijk incident, welke autoriteit of CSIRT betrokken is, welke informatie beschikbaar is en welke onzekerheden nog bestaan.
De Europese NIS2-tekst werkt met drie belangrijke momenten. Binnen 24 uur na kennisname hoort een vroege waarschuwing te worden gedaan wanneer een aanzienlijk incident wordt vermoed. Binnen 72 uur volgt een incidentmelding met nadere beoordeling, ernst, impact en indicatoren voor mogelijke compromittering. Binnen één maand volgt een eindverslag met onder meer oorzaak, gevolgen, maatregelen en de afhandeling. In Nederland kan de praktische route via een nationaal coördinatiepunt, het CSIRT en de bevoegde toezichthouder lopen, afhankelijk van de sector en de implementatie.
| Moment | Doel | Inhoud in de praktijk |
|---|
| Binnen 24 uur | Vroege waarschuwing | Signaal dat mogelijk sprake is van een aanzienlijk incident, met eerste inschatting van aard, vermoedelijke oorzaak en eventuele grensoverschrijdende impact. |
| Binnen 72 uur | Incidentmelding | Nadere informatie over ernst, getroffen diensten, impact, indicatoren, genomen maatregelen en resterende onzekerheden. |
| Binnen één maand | Eindverslag | Analyse van oorzaak, tijdlijn, gevolgen, herstelmaatregelen, structurele verbeteringen en resterende risico’s. |
De operationele bottleneck zit vaak bij classificatie. Teams weten tijdens een crisis niet wanneer een incident “aanzienlijk” is, omdat vooraf geen impactcriteria zijn vastgesteld. Heldere drempels voor beschikbaarheid, integriteit, vertrouwelijkheid, aantal getroffen gebruikers, maatschappelijke impact, financiële impact en keteneffecten voorkomen dat kostbare uren verloren gaan aan interne discussie. Training in incidentrespons en crisisoefeningen, bijvoorbeeld via securitytraining voor incident- en risicoteams, is vooral waardevol wanneer die oefeningen de 24-uurs- en 72-uursbesluitvorming realistisch testen.
Leveranciersrisico als praktisch knelpunt
NIS2 maakt ketenbeveiliging expliciet. Dat is logisch, omdat veel incidenten niet beginnen bij de entiteit zelf, maar bij een leverancier, managed service provider, softwarecomponent, cloudomgeving of externe beheerpartij. Toch blijft leveranciersrisico in veel programma’s een papieren activiteit: er is een vragenlijst, maar geen testbare afspraak over detectie, melding, forensische toegang of exit.
Een leverancier kan daardoor een single point of failure worden voor compliance. Als een contract geen meldtermijn, escalatiepad, auditrecht, logtoegang, hersteldoel of exit-clausule bevat, wordt tijdige melding binnen 72 uur praktisch moeilijk. De entiteit moet immers informatie aanleveren over impact, oorzaak en maatregelen, terwijl cruciale feiten bij de leverancier liggen.
De volwassen aanpak begint bij diensten in scope, niet bij een algemene leverancierslijst. Per kritieke dienst moet duidelijk zijn welke leveranciers betrokken zijn, welke data en systemen zij raken, welke onderaannemers relevant zijn, welke incidentinformatie zij moeten leveren en hoe snel. Deze afspraken horen niet alleen in contracten te staan, maar moeten ook worden getest via tabletop-oefeningen en periodieke assurance.
Een pragmatische voorbereiding in 90 dagen
Volledige NIS2-volwassenheid ontstaat niet in drie maanden. Wel kan een organisatie in 90 dagen genoeg orde aanbrengen om scope, governance, grootste risico’s en meldbaarheid onder controle te krijgen. De eerste stap is een system of record voor assets en diensten in scope. Zonder betrouwbare inventaris van diensten, systemen, eigenaren, leveranciers en afhankelijkheden houdt geen gap-assessment stand bij audit of toezicht.
| Periode | Focus | Resultaat |
|---|
| Dag 1-30 | Scope en governance | Vastgelegde NIS2-scope, eigenaar per dienst, eerste classificatie als essentieel of belangrijk, bestuurlijke sponsor en rapportagelijn. |
| Dag 31-60 | Risico’s en leveranciers | Gap-assessment tegen NIS2-eisen, prioriteitenlijst, leveranciersanalyse voor kritieke diensten en eerste contractuele verbeterpunten. |
| Dag 61-90 | Meldproces en bewijsvoering | Incidentclassificatie, escalatie-RACI, conceptmeldtemplates, tabletop-oefening en bewijsregister voor beleid, controles en besluitvorming. |
Een veelgemaakte fout is om NIS2 als IT-project te organiseren. Securitymaatregelen zijn noodzakelijk, maar de richtlijn vraagt ook governance, leverancierssturing, juridische beoordeling, crisiscommunicatie, auditvoorbereiding en bestuursrapportage. Zonder incidentclassificatie, escalatie-RACI, leveranciersclausules, tabletop-oefeningen en bewijs van werking blijft de organisatie kwetsbaar, zelfs wanneer technische controles redelijk op orde zijn.
Organisaties die al werken met ISO/IEC 27001 kunnen veel bestaande processen hergebruiken, zoals risicobeoordeling, interne audits, managementreview en continue verbetering. De kunst is om NIS2-eisen te mappen op bestaande controls en bewijsstukken, in plaats van een parallel complianceprogramma op te zetten. Verdieping in securitytraining kan daarbij nuttig zijn, bijvoorbeeld via brede securityvaardigheidstrajecten voor teams die risicobeheer, incidentrespons en assurance gezamenlijk moeten uitvoeren.
Primaire bronnen en onzekerheden
De belangrijkste primaire bronnen voor NIS2 zijn de richtlijntekst op EUR-Lex, de implementatie-informatie van de Rijksoverheid, guidance van NCSC-NL, toezichtinformatie van de Rijksinspectie Digitale Infrastructuur en sectorale aanwijzingen van bevoegde autoriteiten. ENISA biedt daarnaast Europese context over cyberweerbaarheid, dreigingsinformatie en samenwerking tussen lidstaten. Deze bronnen moeten als leidend worden beschouwd wanneer sectorale interpretatie of meldroutes veranderen.
Omdat nationale implementatie en toezicht per sector kunnen verschillen, moet elke organisatie rekening houden met onzekerheden. Registratieprocessen, exacte loketten, sectorale guidance en toezichtprioriteiten kunnen in de tijd worden aangescherpt. Daarom is het verstandig om beslissingen, aannames en bronverwijzingen vast te leggen. Dat maakt latere herbeoordeling eenvoudiger en voorkomt dat het NIS2-programma afhankelijk wordt van verouderde interpretaties.
Van richtlijn naar bestuurbare cyberweerbaarheid
NIS2 vraagt om meer dan een juridische analyse van toepasselijkheid. De richtlijn dwingt organisaties om te laten zien welke diensten kritisch zijn, welke risico’s daarbij horen, wie bestuurlijk toezicht houdt, hoe incidenten worden beoordeeld en hoe leveranciers bijdragen aan weerbaarheid. De meest effectieve voorbereiding begint daarom bij scope en dienstverlening, gevolgd door governance, meldbaarheid, ketenafspraken en bewijsvoering.
Een praktische volgende stap is een korte, bestuurlijk gedragen nulmeting: welke diensten vallen mogelijk onder NIS2, welke incidenten zouden meldplichtig kunnen zijn, welke leveranciers zijn onmisbaar en welk bewijs is vandaag beschikbaar. Wie daarbij externe begeleiding of training nodig heeft, kan contact opnemen met Readynez om te bespreken hoe NIS2-voorbereiding, securitytraining en incidentresponsvaardigheden gericht kunnen worden opgebouwd.
