NIS2: advies, gap-analyse of implementatie?

Wat is NIS2?

NIS2 is een Europese richtlijn en staat voor Network- and Information Security 2. NIS2 is de opvolger van NIS uit 2016. Het is geen aanvulling op de oude NIS maar vervangt deze volledig. NIS2 heeft een verbeterde digitale en economische weerbaarheid tot doel.

In Nederland is NIS2 geïmplementeerd in de Cyberbeveiligingswet (Cbw). Deze wet is op 15 augustus 2026 in werking getreden en vervangt de voormalige Wet beveiliging netwerk- en informatiesystemen (Wbni). Organisaties die onder de Cyberbeveiligingswet vallen, moeten sindsdien aan de wettelijke verplichtingen voldoen.

Voor wie is NIS2 van toepassing?

Een belangrijk verschil tussen NIS en NIS2 is dat de richtlijn voor aanzienlijk meer sectoren geldt. De Cyberbeveiligingswet maakt onderscheid tussen essentiële entiteiten en belangrijke entiteiten.

Of een organisatie als essentieel of belangrijk wordt aangemerkt, is niet uitsluitend afhankelijk van de sector. Ook de omvang van de organisatie, het soort dienstverlening, eventuele wettelijke uitzonderingen en een mogelijke aanwijzing door de verantwoordelijke minister spelen een rol.

In hoofdregel valt een organisatie onder de Cyberbeveiligingswet wanneer zij actief is binnen een van de aangewezen sectoren en:

50 of meer medewerkers in fte heeft; of
minder dan 50 medewerkers heeft, maar zowel een jaaromzet als een balanstotaal van meer dan € 10 miljoen.

Bij het bepalen van de omvang kunnen ook partnerondernemingen en verbonden ondernemingen, zoals moeder- en dochtermaatschappijen, moeten worden meegeteld. Voor bepaalde categorieën organisaties geldt geen omvangscriterium of gelden specifieke regels. Organisaties zijn zelf verantwoordelijk voor het bepalen of zij onder de wet vallen.

De onderstaande tabel geeft de sectorindeling uit de bijlagen bij de Cyberbeveiligingswet weer. De indeling in de tabel betekent niet automatisch dat iedere organisatie binnen een sector ook als essentieel of belangrijk kwalificeert.

Hoogkritieke sectoren	Overige kritieke sectoren
Energie	Digitale aanbieders
Transport	Post- en koeriersdiensten
Bankwezen	Afvalstoffenbeheer
Infrastructuur voor de financiële markt	Productie, verwerking en distributie van levensmiddelen
Gezondheidszorg	Vervaardiging, productie en distributie van chemische stoffen
Drinkwater	Onderzoek
Digitale infrastructuur	Vervaardiging / manufacturing
Beheerders van ICT-diensten
Afvalwater
Overheidsdiensten
Ruimtevaart

De precieze reikwijdte is afhankelijk van de in de Cyberbeveiligingswet opgenomen omschrijvingen per sector en subsector. Voor organisaties met meerdere activiteiten, groepsmaatschappijen of vestigingen in verschillende EU-landen kan het bepalen van de toepasselijkheid complex zijn.

De inhoud van NIS2

De eisen aan de te nemen maatregelen voor de beheersing van cyberbeveiligingsrisico’s zijn in beginsel hetzelfde voor essentiële en belangrijke entiteiten. Wel verschilt de wijze van toezicht. Essentiële entiteiten staan onder proactief toezicht, terwijl bij belangrijke entiteiten in beginsel sprake is van reactief toezicht, bijvoorbeeld na een incident of bij signalen van niet-naleving.

Toezichthouders beschikken over verschillende handhavingsinstrumenten, waaronder waarschuwingen, bindende aanwijzingen, audits, lasten onder bestuursdwang en bestuurlijke boetes. Voor overtreding van de belangrijkste verplichtingen kan de maximale boete voor essentiële entiteiten oplopen tot € 10 miljoen of 2% van de wereldwijde jaaromzet van de onderneming waartoe de entiteit behoort, indien dat laatste bedrag hoger is.

Voor belangrijke entiteiten bedraagt dit maximaal € 7 miljoen of 1,4% van de wereldwijde jaaromzet, indien dat bedrag hoger is. Onder strikte voorwaarden kan bij een essentiële entiteit bovendien aan de rechter worden verzocht om één of meer bestuurders tijdelijk te schorsen, totdat de overtreding is beëindigd. NIS2 en de Cyberbeveiligingswet zijn daarom regelgeving om serieus te nemen.

Organisaties moeten passende en evenredige technische, operationele en organisatorische maatregelen nemen. Hieronder vallen onder meer:

beleid voor risicoanalyse en de beveiliging van informatiesystemen;
incidentenbehandeling;
back-upbeheer, herstelplannen, bedrijfscontinuïteit en crisisbeheer;
beveiliging van de toeleveringsketen;
beveiliging bij het verwerven, ontwikkelen en onderhouden van netwerk- en informatiesystemen;
beleid voor het beoordelen van de effectiviteit van beveiligingsmaatregelen;
cyberhygiëne en opleiding op het gebied van cyberbeveiliging;
beleid voor cryptografie en encryptie;
beveiliging van personeel, toegangsbeheer en beheer van bedrijfsmiddelen;
waar passend, het gebruik van multifactor-authenticatie en beveiligde communicatie.

De maatregelen moeten zijn gebaseerd op een risicoanalyse en moeten aansluiten bij onder meer de stand van de techniek, de omvang van de organisatie, de kans op incidenten en de mogelijke maatschappelijke en economische gevolgen daarvan.

Bij het bepalen van de maatregelen moet ook rekening worden gehouden met de beveiliging van de toeleveringsketen. Organisaties moeten daarbij onder andere kijken naar specifieke kwetsbaarheden van hun rechtstreekse leveranciers en dienstverleners en naar de kwaliteit van hun producten en cyberbeveiligingspraktijken. De Cyberbeveiligingswet heeft hierdoor niet alleen impact op organisaties die rechtstreeks onder de wet vallen. Ook toeleveranciers kunnen te maken krijgen met aanvullende beveiligingseisen van hun klanten.

Verder geldt een belangrijke rol en verantwoordelijkheid voor het bestuur. Het bestuur moet de cybersecuritymaatregelen goedkeuren en toezien op de uitvoering daarvan. Bestuurders moeten over voldoende kennis en vaardigheden beschikken om cyberbeveiligingsrisico’s en beveiligingsmaatregelen te kunnen begrijpen en beoordelen.

Uitvoerende bestuurders moeten hiervoor een passende training volgen en hun kennis aantoonbaar actueel houden. Bestuurders die bij de inwerkingtreding van de wet in functie waren, moeten uiterlijk twee jaar na de inwerkingtreding – dus uiterlijk 15 augustus 2028 – over de vereiste kennis en vaardigheden beschikken. Voor bestuurders die later worden benoemd, geldt in beginsel een termijn van twee jaar na hun benoeming.

Naast de zorgplicht geldt een registratieplicht. Organisaties die onder de Cyberbeveiligingswet vallen, moeten zich registreren in het nationale entiteitenregister via MijnNCSC en hun registratiegegevens actueel houden.

Ook geldt een meldplicht voor significante incidenten. De melding verloopt gefaseerd:

een vroegtijdige waarschuwing zo snel mogelijk en uiterlijk binnen 24 uur nadat de organisatie kennis heeft gekregen van het significante incident;
een nadere incidentmelding zo snel mogelijk en uiterlijk binnen 72 uur;
een eindverslag uiterlijk één maand na de incidentmelding.

Als het incident na één maand nog voortduurt, moet op dat moment een voortgangsverslag worden ingediend. Het eindverslag volgt dan uiterlijk één maand nadat het incident is afgehandeld. De precieze drempelwaarden om te bepalen of een incident significant is, kunnen per sector verschillen en zijn nader uitgewerkt in ministeriële regelingen.

Voor bepaalde organisaties kan sectorspecifieke Europese regelgeving, zoals DORA voor delen van de financiële sector, geheel of gedeeltelijk voorzien in gelijkwaardige verplichtingen. In dat geval moet zorgvuldig worden beoordeeld welke verplichtingen en meldroutes van toepassing zijn.

NIS2 implementatie

NIS2 en de Cyberbeveiligingswet gelden voor aanzienlijk meer organisaties dan op het eerste gezicht wordt gedacht. Dit komt mede doordat entiteiten ook de cyberbeveiligingsrisico’s binnen hun toeleveringsketen moeten beheersen. Het is duidelijk dat de implementatie van NIS2 niet alleen een interne exercitie is.

De Cyberbeveiligingswet werkt risicogebaseerd en bevat op verschillende onderdelen open normen. Deze zijn nader uitgewerkt in het Cyberbeveiligingsbesluit en in sectorspecifieke ministeriële regelingen. Organisaties moeten op basis van een gedegen risicoanalyse bepalen welke technische, operationele en organisatorische maatregelen passend en evenredig zijn voor hun specifieke situatie.

Een gedegen risicoanalyse, een goed normenkader en het selecteren, implementeren en aantoonbaar maken van passende maatregelen is geen abc’tje. Dit vraagt om een samenhangende aanpak van governance, risicomanagement, informatiebeveiliging, incidentmanagement, bedrijfscontinuïteit en leveranciersmanagement.

In ons blog vindt u meer gedetailleerde informatie over NIS2 en de Cyberbeveiligingswet. U kunt ook ons gratis whitepaper downloaden voor verdere inzichten.

In ons gratis whitepaper vindt u meer uitgebreide inzichten.

De geboden ondersteuning vanuit ARC People

Onze klanten vragen ons om ondersteuning van seniore professionals met verstand van zaken en tegen een fair tarief. U kunt daarvoor de contactpersoon onderaan deze pagina contacten, of een vraag stellen aan onze ARC Interim Desk, die u binnen enkele dagen een beschikbare expert kan voordragen.

ARC People kan onder meer ondersteunen bij:

het bepalen van de toepasselijkheid van de Cyberbeveiligingswet;
het uitvoeren van een gap-analyse of nulmeting;
het opstellen of aanscherpen van een normenkader;
het uitvoeren van risicoanalyses;
het beoordelen van governance en bestuurlijke verantwoordelijkheid;
het inrichten van incident- en meldprocedures;
het beoordelen van de beveiliging van de toeleveringsketen;
de implementatie en toetsing van passende beheersmaatregelen.

¹ N.B. NIS2 is een Europese richtlijn die door de verschillende lidstaten in nationale wetgeving is geïmplementeerd. Wanneer uw organisatie actief is in meerdere Europese landen of daar klanten bedient, kunnen verschillende nationale implementatiewetten, bevoegde autoriteiten en meld- of registratieverplichtingen van toepassing zijn. Het is daarom belangrijk om de toepasselijkheid en jurisdictie per situatie te beoordelen.

Ontdek de laatste inzichten

In ons recente blog vindt u meer gedetailleerde informatie over NIS2, of download ons gratis whitepaper voor verder uitgebreide inzichten.

Download whitepaper

Meer informatie over NIS2?

Bent u geïnteresseerd in meer informatie over dit onderwerp? Neem dan contact op met één van onze experts. Wij staan klaar om uw vragen te beantwoorden en u verder te helpen.

Ons deskundig team, met jarenlange ervaring, zal u een persoonlijk advies bieden dat aansluit bij uw specifieke situatie. Wij streven ernaar om zo snel mogelijk op uw vragen te reageren.

Neem contact op