NIS2: advice, gap analysis or implementation

What is NIS2?

NIS2 is a European directive and stands for Network and Information Security 2. NIS2 is the successor to 2016' s NIS. It does not supplement the old NIS but replaces it completely. NIS2 aims at improved digital and economic resilience.

In Nederland is NIS2 geïmplementeerd in de Cyberbeveiligingswet (Cbw). Deze wet is op 15 augustus 2026 in werking getreden en vervangt de voormalige Wet beveiliging netwerk- en informatiesystemen (Wbni). Organisaties die onder de Cyberbeveiligingswet vallen, moeten sindsdien aan de wettelijke verplichtingen voldoen.

Who does NIS2 apply to?

Een belangrijk verschil tussen NIS en NIS2 is dat de richtlijn voor aanzienlijk meer sectoren geldt. De Cyberbeveiligingswet maakt onderscheid tussen essentiële entiteiten en belangrijke entiteiten.

Of een organisatie als essentieel of belangrijk wordt aangemerkt, is niet uitsluitend afhankelijk van de sector. Ook de omvang van de organisatie, het soort dienstverlening, eventuele wettelijke uitzonderingen en een mogelijke aanwijzing door de verantwoordelijke minister spelen een rol.

In hoofdregel valt een organisatie onder de Cyberbeveiligingswet wanneer zij actief is binnen een van de aangewezen sectoren en:

50 of meer medewerkers in fte heeft; of
minder dan 50 medewerkers heeft, maar zowel een jaaromzet als een balanstotaal van meer dan € 10 miljoen.

Bij het bepalen van de omvang kunnen ook partnerondernemingen en verbonden ondernemingen, zoals moeder- en dochtermaatschappijen, moeten worden meegeteld. Voor bepaalde categorieën organisaties geldt geen omvangscriterium of gelden specifieke regels. Organisaties zijn zelf verantwoordelijk voor het bepalen of zij onder de wet vallen.

De onderstaande tabel geeft de sectorindeling uit de bijlagen bij de Cyberbeveiligingswet weer. De indeling in de tabel betekent niet automatisch dat iedere organisatie binnen een sector ook als essentieel of belangrijk kwalificeert.

Hoogkritieke sectoren	Overige kritieke sectoren
Energy	Digital providers
Transport	Postal and courier services
Banking	Waste Management
Infrastructuur voor de financiële markt	Productie, verwerking en distributie van levensmiddelen
Healthcare	Vervaardiging, productie en distributie van chemische stoffen
Drinking water	Research
Digital infrastructure	Manufacturing
Managers of ICT services.
Wastewater
Government Services
Space

De precieze reikwijdte is afhankelijk van de in de Cyberbeveiligingswet opgenomen omschrijvingen per sector en subsector. Voor organisaties met meerdere activiteiten, groepsmaatschappijen of vestigingen in verschillende EU-landen kan het bepalen van de toepasselijkheid complex zijn.

The contents of NIS2

De eisen aan de te nemen maatregelen voor de beheersing van cyberbeveiligingsrisico’s zijn in beginsel hetzelfde voor essentiële en belangrijke entiteiten. Wel verschilt de wijze van toezicht. Essentiële entiteiten staan onder proactief toezicht, terwijl bij belangrijke entiteiten in beginsel sprake is van reactief toezicht, bijvoorbeeld na een incident of bij signalen van niet-naleving.

Toezichthouders beschikken over verschillende handhavingsinstrumenten, waaronder waarschuwingen, bindende aanwijzingen, audits, lasten onder bestuursdwang en bestuurlijke boetes. Voor overtreding van de belangrijkste verplichtingen kan de maximale boete voor essentiële entiteiten oplopen tot € 10 miljoen of 2% van de wereldwijde jaaromzet van de onderneming waartoe de entiteit behoort, indien dat laatste bedrag hoger is.

Voor belangrijke entiteiten bedraagt dit maximaal € 7 miljoen of 1,4% van de wereldwijde jaaromzet, indien dat bedrag hoger is. Onder strikte voorwaarden kan bij een essentiële entiteit bovendien aan de rechter worden verzocht om één of meer bestuurders tijdelijk te schorsen, totdat de overtreding is beëindigd. NIS2 en de Cyberbeveiligingswet zijn daarom regelgeving om serieus te nemen.

Organisaties moeten passende en evenredige technische, operationele en organisatorische maatregelen nemen. Hieronder vallen onder meer:

beleid voor risicoanalyse en de beveiliging van informatiesystemen;
incidentenbehandeling;
back-upbeheer, herstelplannen, bedrijfscontinuïteit en crisisbeheer;
beveiliging van de toeleveringsketen;
beveiliging bij het verwerven, ontwikkelen en onderhouden van netwerk- en informatiesystemen;
beleid voor het beoordelen van de effectiviteit van beveiligingsmaatregelen;
cyberhygiëne en opleiding op het gebied van cyberbeveiliging;
beleid voor cryptografie en encryptie;
beveiliging van personeel, toegangsbeheer en beheer van bedrijfsmiddelen;
waar passend, het gebruik van multifactor-authenticatie en beveiligde communicatie.

De maatregelen moeten zijn gebaseerd op een risicoanalyse en moeten aansluiten bij onder meer de stand van de techniek, de omvang van de organisatie, de kans op incidenten en de mogelijke maatschappelijke en economische gevolgen daarvan.

Bij het bepalen van de maatregelen moet ook rekening worden gehouden met de beveiliging van de toeleveringsketen. Organisaties moeten daarbij onder andere kijken naar specifieke kwetsbaarheden van hun rechtstreekse leveranciers en dienstverleners en naar de kwaliteit van hun producten en cyberbeveiligingspraktijken. De Cyberbeveiligingswet heeft hierdoor niet alleen impact op organisaties die rechtstreeks onder de wet vallen. Ook toeleveranciers kunnen te maken krijgen met aanvullende beveiligingseisen van hun klanten.

Verder geldt een belangrijke rol en verantwoordelijkheid voor het bestuur. Het bestuur moet de cybersecuritymaatregelen goedkeuren en toezien op de uitvoering daarvan. Bestuurders moeten over voldoende kennis en vaardigheden beschikken om cyberbeveiligingsrisico’s en beveiligingsmaatregelen te kunnen begrijpen en beoordelen.

Uitvoerende bestuurders moeten hiervoor een passende training volgen en hun kennis aantoonbaar actueel houden. Bestuurders die bij de inwerkingtreding van de wet in functie waren, moeten uiterlijk twee jaar na de inwerkingtreding – dus uiterlijk 15 augustus 2028 – over de vereiste kennis en vaardigheden beschikken. Voor bestuurders die later worden benoemd, geldt in beginsel een termijn van twee jaar na hun benoeming.

Naast de zorgplicht geldt een registratieplicht. Organisaties die onder de Cyberbeveiligingswet vallen, moeten zich registreren in het nationale entiteitenregister via MijnNCSC en hun registratiegegevens actueel houden.

Ook geldt een meldplicht voor significante incidenten. De melding verloopt gefaseerd:

een vroegtijdige waarschuwing zo snel mogelijk en uiterlijk binnen 24 uur nadat de organisatie kennis heeft gekregen van het significante incident;
een nadere incidentmelding zo snel mogelijk en uiterlijk binnen 72 uur;
een eindverslag uiterlijk één maand na de incidentmelding.

Als het incident na één maand nog voortduurt, moet op dat moment een voortgangsverslag worden ingediend. Het eindverslag volgt dan uiterlijk één maand nadat het incident is afgehandeld. De precieze drempelwaarden om te bepalen of een incident significant is, kunnen per sector verschillen en zijn nader uitgewerkt in ministeriële regelingen.

Voor bepaalde organisaties kan sectorspecifieke Europese regelgeving, zoals DORA voor delen van de financiële sector, geheel of gedeeltelijk voorzien in gelijkwaardige verplichtingen. In dat geval moet zorgvuldig worden beoordeeld welke verplichtingen en meldroutes van toepassing zijn.

NIS2 implementation

NIS2 en de Cyberbeveiligingswet gelden voor aanzienlijk meer organisaties dan op het eerste gezicht wordt gedacht. Dit komt mede doordat entiteiten ook de cyberbeveiligingsrisico’s binnen hun toeleveringsketen moeten beheersen. Het is duidelijk dat de implementatie van NIS2 niet alleen een interne exercitie is.

De Cyberbeveiligingswet werkt risicogebaseerd en bevat op verschillende onderdelen open normen. Deze zijn nader uitgewerkt in het Cyberbeveiligingsbesluit en in sectorspecifieke ministeriële regelingen. Organisaties moeten op basis van een gedegen risicoanalyse bepalen welke technische, operationele en organisatorische maatregelen passend en evenredig zijn voor hun specifieke situatie.

Een gedegen risicoanalyse, een goed normenkader en het selecteren, implementeren en aantoonbaar maken van passende maatregelen is geen abc’tje. Dit vraagt om een samenhangende aanpak van governance, risicomanagement, informatiebeveiliging, incidentmanagement, bedrijfscontinuïteit en leveranciersmanagement.

In ons blog vindt u meer gedetailleerde informatie over NIS2 en de Cyberbeveiligingswet. U kunt ook ons gratis whitepaper downloaden voor verdere inzichten.

In ons gratis whitepaper vindt u meer uitgebreide inzichten.

The support provided from ARC People

Our clients ask us to support senior professionals with expertise and at a fair rate. To do so, you can contact the contact person at the bottom of this page, or submit a question to our ARC Interim Desk, which can suggest an available expert within a few days.

ARC People kan onder meer ondersteunen bij:

het bepalen van de toepasselijkheid van de Cyberbeveiligingswet;
het uitvoeren van een gap-analyse of nulmeting;
het opstellen of aanscherpen van een normenkader;
het uitvoeren van risicoanalyses;
het beoordelen van governance en bestuurlijke verantwoordelijkheid;
het inrichten van incident- en meldprocedures;
het beoordelen van de beveiliging van de toeleveringsketen;
de implementatie en toetsing van passende beheersmaatregelen.

¹ N.B. NIS2 is een Europese richtlijn die door de verschillende lidstaten in nationale wetgeving is geïmplementeerd. Wanneer uw organisatie actief is in meerdere Europese landen of daar klanten bedient, kunnen verschillende nationale implementatiewetten, bevoegde autoriteiten en meld- of registratieverplichtingen van toepassing zijn. Het is daarom belangrijk om de toepasselijkheid en jurisdictie per situatie te beoordelen.

Discover the latest insights

Our recent blog provides more detailed information about NIS2, or download our free whitepaper for further comprehensive insights.

Download whitepaper

Want to learn more about NIS2?

Are you interested in learning more about this topic? Then contact one of our experts. We are ready to answer your questions and help you further.

Our knowledgeable team, with years of experience, will provide you with personalized advice appropriate to your specific situation. We strive to respond to your inquiries as quickly as possible.

Get in touch