Veelgestelde vragen NIS2 richtlijn cybersecurity

NIS2 is de tweede versie van de Europese Network and Information Security Directive (de oorspronkelijke richtlijn is uit 2016). NIS2 verplicht organisaties in essentiële en belangrijke sectoren om hun cybersecurity en digitale weerbaarheid te versterken, met strengere eisen en betere handhaving dan de oorspronkelijke richtlijn.

NIS2 is een Europese richtlijn, terwijl de Cyberbeveiligingswet (Cbw) de Nederlandse wet is die deze richtlijn omzet in nationale regels. De Cbw is dus de Nederlandse uitwerking van NIS2, met specifieke verplichtingen voor organisaties in Nederland.

De EU constateerde dat de eerste NIS‑richtlijn leidde tot ongelijke cyberweerbaarheid tussen lidstaten en sectoren. Door de toegenomen dreigingen waren sterkere, uniformere regels nodig.

NIS2 geldt voor essentiële en belangrijke entiteiten, waaronder energie, transport, gezondheidszorg, drinkwater, digitale infrastructuur, postdiensten, afvalbeheer, voedselproductie en digitale aanbieders. Ook leveranciers in de keten vallen onder de strengere eisen.

Lidstaten bieden scope-tests en sectoroverzichten aan. In Nederland publiceert het NCSC sectorinformatie en een doorverwijsboom.

Met NIS2-compliance toont u aan dat uw organisatie cybersecurity structureel heeft ingericht volgens erkende Europese normen. Ontdek de belangrijkste voordelen van NIS2-compliance voor uw organisatie op onze website.

• Risicobeheermaatregelen invoeren
• Incidentmeldingen doen binnen strikte termijnen
• Beveiligingsbeleid opstellen en onderhouden
• Continuïteitsplannen en crisismanagement inrichten
• Toezicht en audits toestaan
• Registratieplicht naleven

• Vroege waarschuwing (binnen 24 uur)
• Incidentmelding binnen 72 uur
• Eindrapport binnen één maand

NIS2 vereist onder andere risicobeoordelingen, incidentdetectie, back-ups, toegangsbeheer, supply‑chain‑beveiliging, versleuteling en training.

Organisaties moeten ketenrisico’s actief beheren. Leveranciers moeten mogelijk aantonen dat zij voldoen aan minimale cybersecurity‑normen.

• Nederland: NCSC
• België: CCB
• Duitsland: BSI

De NIS2‑richtlijn (en straks de Nederlandse Cyberbeveiligingswet (Cbw) schrijft géén officieel keurmerk, certificaat of label voor dat organisaties moeten behalen.

De NIS2-richtlijn is eind 2022 aangenomen. Lidstaten implementeren deze momenteel in nationale wetgeving. Organisaties moeten tijdig voorbereid zijn. De belangrijkste deadline voor NIS2 in Nederland is verschoven. Nederland heeft de oorspronkelijke EU-deadline van 17 oktober 2024 niet gehaald. Naar verwachting zal eind Q2 2026 de NIS2 (Cbw) van kracht worden voor Nederland. 

• Vaststellen of uw organisatie onder NIS2 valt
• Een gap‑analyse uitvoeren
• Risico’s en processen in kaart brengen
• Basisbeveiliging op orde brengen
• Incidentrespons voorbereiden
• Leveranciers beoordelen
• Bestuurders trainen
• Bewustwording vergroten
• Documentatie opzetten

ISO 27001 en/of NEN 7510 certificering helpt enorm, maar organisaties voldoen daarmee niet automatisch aan NIS2. In onderstaand schema ziet u welke aspecten worden afgedekt door ISO 27001/NEN 7510 en welke door NIS2.  

Doorgaans is daarvoor de CISO/informatiebeveiligingsmanager de aangewezen persoon. Deze heeft:

• Overzicht over risico’s, processen en beveiligingsmaatregelen
• Kennis van ISO 27001 en/of NEN 7510 (die veel overlap hebben met NIS2)
• Kennis over het uitvoeren van gap‑analyses
• Kennis van technische én organisatorische maatregelen

Ja, zodra de Nederlandse Cyberbeveiligingswet (Cbw) in werking treedt (verwacht in 2026), kunnen toezichthouders:

• Boetes opleggen
• Bindende aanwijzingen geven
• Audits afdwingen
• Bestuurders persoonlijk aansprakelijk stellen

De boetes zijn vergelijkbaar met de AVG, maar in sommige gevallen zelfs strenger.

Voor essentiële entiteiten (bijvoorbeeld energie, zorg, telecom, water):

• Tot € 10 miljoen of
• 2% van de wereldwijde jaaromzet (het hoogste bedrag telt)

Voor belangrijke entiteiten (bijvoorbeeld IT‑dienstverleners, post, afval, voedsel, digitale diensten):

• Tot € 7 miljoen of
• 1,4% van de wereldwijde jaaromzet

Ja, dit is een van de grootste veranderingen in de nieuwe wetgeving.

Bestuurders kunnen:

• Persoonlijk verantwoordelijk worden gehouden voor nalatigheid
• Verplicht worden om cybersecuritytraining te volgen
• Tijdelijk geschorst worden in extreme gevallen

ISO‑normen kennen dit soort juridische verplichtingen niet, NIS2 wel.

Wettelijk gezien wel! De Cyberbeveiligingswet bevat géén overgangsperiode. Dat betekent dat organisaties vanaf de ingangsdatum verplicht zijn om aan alle eisen te voldoen.