Wat is de NIS2-richtlijn?
De NIS2-richtlijn is de herziene Europese richtlijn voor netwerk- en informatiebeveiliging. Deze richtlijn vervangt de oorspronkelijke NIS-richtlijn en heeft als doel het verhogen van het cyberweerbaarheidsniveau binnen de Europese Unie. Organisaties die onder de NIS2 vallen (zie verderop), worden verplicht om hun digitale veiligheid structureel te verbeteren.
De NIS2-richtlijn is een Europese richtlijn welke te vinden is op EUR-Lex.
Dat betekent dat elk EU-land verplicht is om de bepalingen uit de richtlijn om te zetten naar nationale wetgeving. In Nederland gebeurt dit via de Cyberbeveiligingswet (CBW). Deze wet vervangt de Wet beveiliging netwerk- en informatiesystemen (Wbni). De scope van de CBW is aanzienlijk groter dan die van de Wbni, meer bedrijven vallen nu onder wetgeving die zich focust op cybersecurity. De Cyberbeveiligingswet is op 15 augustus 2026 in werking getreden. De Tweede Kamer heeft deze wet op 15 april 2026 goedgekeurd. De wet is vervolgens door de Eerste Kamer aangenomen en gepubliceerd.
De NIS2-richtlijn (en daarmee de CBW) is van toepassing op een breed scala aan sectoren, waaronder energie, transport, drinkwater, digitale infrastructuur, zorg, overheidsdiensten en voedselproductie.
Waarom is NIS2 belangrijk?
Cyberdreigingen nemen in omvang en impact toe. Daar waar er hoop was dat bedrijven zelfregulerend zouden zijn en zich voldoende zouden wapenen tegen cyberdreigingen, bleek dit in de praktijk onvoldoende opgepakt te worden. Daarom wil de Europese Commissie met NIS2 zorgen voor:
- Betere bescherming tegen cyberaanvallen
- Meer transparantie in de keten
- Verhoogde weerbaarheid van essentiële en belangrijke entiteiten
De richtlijn legt nadruk op zowel technische als organisatorische maatregelen (People, process en technologoy) en vereist actieve betrokkenheid van het bestuur van organisaties.
Welke bedrijven vallen er onder NIS2?
De richtlijn geldt voor essentiële en belangrijke entiteiten.
Essentiele entiteiten zijn bedrijven met 250 of meer medewerkers óf meer dan 50 miljoen euro omzet en meer dan 43 miljoen balanstotaal en die vallen onder de volgende sectoren:
- Vitale infrastructuren zoals energie, transport (Lucht, spoor en water), bankwezen en financiële markten, drinkwater en afvalwater
- Overheidsinstanties
- Ziekenhuizen en zorginstellingen
- Digitale dienstverleners zoals cloudproviders en datacenters
- Aanbieders van ICT-diensten
Belangrijke entiteiten zijn bedrijven met 50 of meer medewerkers, of zowel meer dan 10 miljoen euro omzet als meer dan 10 miljoen euro balanstotaal en die vallen onder de volgende sectoren:
- Post en koeriersdiensten
- Afvalverwerking
- Vervaardiging, productie en distributie (ook vervoer over de weg) van chemische stoffen en levensmiddelen
- Algemene vervaardiging zoals vervaardiging van medische hulpmiddelen, informatica- en elektronische en optische producten, machines, apparaten en werktuigen, motorvoertuigen, aanhangers en opleggers en andere transportmiddelen
- Digitale aanbieders van marktplaatsen en zoekmachines
- Onderzoeksinstanties
Verder vallen middelgrote bedrijven in de hierboven genoemde sectoren voor essentiële entiteiten in beginsel onder de belangrijke entiteiten. De omvang wordt bepaald aan de hand van het aantal medewerkers en de financiële criteria, waarbij ook partner- en verbonden ondernemingen kunnen meetellen. Voor bepaalde soorten organisaties gelden uitzonderingen op de omvangscriteria.
Tot slot kan een bedrijf aangewezen worden buiten de hierboven genoemde sectoren of eigenschappen wanneer een bedrijf de enige aanbieder in een lidstaat van een dienst is die essentieel is voor het behoud van kritieke maatschappelijke of economische activiteiten. Denk aan een producent die maatwerk hardware levert voor de kritische infrastructuur.
Plichten
Onderzoeken, registreren, zorgen, rapporteren
Rechten
Ondersteuning, advies, coördinatie en technisch
De belangrijkste plichten van NIS2
NIS2 legt een aantal concrete verplichtingen op aan organisaties, zoals onderzoeksplicht, zorgplicht en rapportageplicht.
Onderzoeksplicht en registratieplicht
In tegenstelling tot de NIS, waar bedrijven en instellingen door de overheid werden aangewezen, hebben bedrijven een onderzoeksplicht. Bedrijven en instellingen in de hierboven genoemde sectoren zullen zelf op onderzoek uit moeten gaan of hun organisatie al dan niet onder de NIS2 valt. Kijk bijvoorbeeld op de website “Regelhulpvoorbedrijven.nl”
Bij constatering dat de organisatie onder de NIS2 valt, is het bedrijf verantwoordelijk om zichzelf te registreren bij het Nationaal Cyber Security Centrum (NCSC).
Meer informatie over de onderzoeksplicht en registratieplicht is te vinden in de infosheet van het NCSC over “Registratieplicht”
Plichten voor beheer en toezicht
Bestuurders zijn eindverantwoordelijk voor cybersecurity en moeten:
- Voldoende kennis hebben van cybersecurityrisico’s
- Actief toezicht houden op de uitvoering van maatregelen
- Aansprakelijk kunnen worden gesteld bij nalatigheid
Zorgplicht
Organisaties dienen passende technische en organisatorische maatregelen te nemen. Denk hierbij aan:
- Beveiligingsbeleid voor netwerk- en informatiesystemen, dit begint al bij de aanschaf van dergelijke systemen
- Basismaatregelen zoals netwerkscheiding en authenticatie
- Training en opleiding van medewerkers
- Incidentdetectie en monitoring
- Continuïteitsbeheer en back-upstrategieën
- Inregelen van Multi Factor Authenticatie (MFA)
- Leveranciersbeheer en beveiliging in de keten
De infosheet van het NCSC geeft hier extra informatie over.
Rapportageplicht
Organisaties moeten significante beveiligingsincidenten melden bij het bevoegde CSIRT en de toezichthouder binnen:
- 24 uur: vroege waarschuwing aan de toezichthouder
- 72 uur: gedetailleerde incidentmelding
- 1 maand na de incidentmelding: eindrapportage met analyse en vervolgmaatregelen
De melding van significante incidenten loopt via het bevoegde meldkanaal voor het CSIRT en de toezichthouder. Significante incidenten zijn die incidenten die een ernstige operationele verstoring van de diensten of financiële verliezen voor de organisatie (kunnen) veroorzaken. Er wordt nog gewerkt om de term “significant” te verduidelijken. In de infosheet van het NCSC vind je meer informatie over de rapportageplicht.
Plichten naar keten en toeleveranciers
Ook toeleveranciers en externe partijen vallen onder het risicobeheer. Organisaties zijn verplicht om hun leveranciers actief te beoordelen op cyberrisico’s en passende maatregelen te eisen.
De belangrijkste rechten van NIS2
Naast de hiervoor genoemde plichten, kent de NIS2 ook het recht van ondersteuning. Na een melding van een incident bij het NCSC kun je ondersteuning krijgen bij het aanpakken van het incident. Dit kan in de vorm van advies, coördinatie of technisch zijn. Lees hier meer over op de website van het NCSC.
Handhaving en sancties
Nationale toezichthouders zullen voor essentiële organisaties actief controleren op naleving van de NIS2-verplichtingen. Bij belangrijke entiteiten kan de toezichthouder een audit komen uitvoeren na een “significant” incident. Bij tekortkomingen kunnen zij:
- Dwangmaatregelen opleggen
- Boetes uitdelen tot miljoenen euro’s
- Een boetemaximum van ten minste 10 miljoen euro of 2% van de wereldwijde jaaromzet, waarbij het hoogste bedrag geldt, voor essentiële entiteiten
- Een boetemaximum van ten minste 7 miljoen euro of 1,4% van de wereldwijde jaaromzet, waarbij het hoogste bedrag geldt, voor belangrijke entiteiten
- Bestuurders persoonlijk aansprakelijk stellen
Het is dus belangrijk om vroegtijdige te beginnen met de voorbereiding om boetes en reputatieschade te voorkomen.
Wat is de status van de NIS2?
De NIS2 is in december 2020 geïntroduceerd in Europa met goedkeuring in november 2022. De implementatietermijn naar nationale wetgeving van 21 maanden is in januari 2023 gestart. Dit zou betekenen dat uiterlijk 17 oktober 2024 elke lidstaat de lokale wetgeving op orde zou moeten hebben. Dit is in Nederland niet gelukt. Op 28 november 2024 startte de Europese Commissie inbreukprocedures tegen 23 lidstaten wegens het niet volledig omzetten van de richtlijn.
In 2024 is in Nederland wel de eerste internetconsultatie van de cyberbeveiligingswet gedaan. De op- en aanmerkingen zijn verwerkt en op 2 juni 2025 is het wetsvoorstel ingediend.
Op 15 april 2026 is de cyberbeveiligingswet goedgekeurd met 140 van de 150 stemmen door de Tweede Kamer. De Eerste Kamer heeft de wet op 7 juli 2026 aangenomen.
De Cyberbeveiligingswet is op 15 augustus 2026 in werking getreden.
Hoe helpt Jevax bij NIS2-compliance?
Jevax biedt trainingen en begeleidingstrajecten die organisaties met OT componenten helpen om te voldoen aan de eisen van de NIS2-richtlijn. In onze trainingen leggen we onder andere uit hoe de internationale norm IEC 62443 een uitgebreid raamwerk biedt voor cybersecurity in industriële en operationele technologie (OT). De IEC 62443-standaard:
- Sluit naadloos aan op de eisen van NIS2 voor risicobeheer en technische en organisatorische maatregelen
- Richt zich specifiek op OT-omgevingen zoals SCADA-systemen, PLC’s, productieomgevingen en machinebouw
- Biedt handvatten voor organisatorische maatregelen, verantwoordelijkheden, segmentatie, toegangsbeheer, lifecycle management en incidentafhandeling
Met onze praktijkgerichte aanpak krijg je inzicht in hoe je IEC 62443 kunt inzetten om je OT-omgeving weerbaar en compliant aan de NIS2 te maken.