Wat is NIS2 en wat betekent de richtlijn voor uw organisatie?

Wat is NIS2?

NIS2 is Richtlijn (EU) 2022/2555 betreffende maatregelen voor een hoog gezamenlijk niveau van cyberbeveiliging in de Unie. Zij is op 14 december 2022 vastgesteld, op 27 december 2022 in het Publicatieblad verschenen en twintig dagen later, op 16 januari 2023, in werking getreden (artikel 45).

Het belangrijkste verschil met DORA zit in de vorm. NIS2 is een richtlijn, geen verordening: zij werkt niet rechtstreeks, maar via nationale wetgeving. De lidstaten moesten de omzettingsmaatregelen uiterlijk 17 oktober 2024 vaststellen en publiceren, en die vanaf 18 oktober 2024 toepassen (artikel 41). Per diezelfde datum is de oude NIS-richtlijn, Richtlijn (EU) 2016/1148, ingetrokken (artikel 44). Wat er in uw land precies geldt, staat dus in de nationale omzettingswet.

De richtlijn valt voor een organisatie uiteen in vier vragen: wie valt eronder (artikelen 2 en 3), welke maatregelen moet u nemen (artikel 21, de zorgplicht), wat moet u melden en binnen welke termijn (artikel 23, de meldplicht), en wie ziet daarop toe en met welke gevolgen (artikelen 20 en 32 tot en met 34). Deze gids loopt die vier langs, en behandelt daarna de Nederlandse omzetting en de verhouding tot DORA.

Vooraf: dit artikel is algemene informatie op basis van de richtlijntekst en openbare officiële bronnen, geen juridisch advies. Een zelfbeoordeling of checklist is geen certificering en betekent niet dat uw organisatie aan NIS2 voldoet; de bevoegde autoriteit bepaalt uiteindelijk hoe de regels op uw organisatie van toepassing zijn. De beschreven stand van de Nederlandse wetgeving is die van 26 juli 2026.

Voor wie geldt NIS2?

NIS2 combineert een sectorlijst met een omvangdrempel. Artikel 2, lid 1 bepaalt dat de richtlijn geldt voor entiteiten van een type dat in bijlage I of bijlage II wordt genoemd en die middelgroot zijn in de zin van artikel 2 van de bijlage bij Aanbeveling 2003/361/EG, of die de drempels voor middelgrote ondernemingen overschrijden. In de praktijk begint de richtlijn dus rond vijftig medewerkers of tien miljoen euro omzet of balanstotaal.

Bijlage I noemt elf sectoren met een hoge kritikaliteit:

• energie;
• vervoer;
• bankwezen;
• infrastructuur voor de financiële markt;
• gezondheidszorg;
• drinkwater;
• afvalwater;
• digitale infrastructuur;
• beheer van ICT-diensten (business-to-business);
• overheid;
• ruimtevaart.

Bijlage II noemt zeven andere kritieke sectoren:

• post- en koeriersdiensten;
• afvalstoffenbeheer;
• chemische stoffen;
• levensmiddelen;
• vervaardiging (bepaalde takken van de maakindustrie);
• digitale aanbieders, zoals onlinemarktplaatsen en zoekmachines;
• onderzoek.

Op de omvangdrempel bestaan uitzonderingen naar boven. Ongeacht hun omvang vallen onder meer aanbieders van openbare elektronische communicatienetwerken en van openbaar beschikbare elektronische communicatiediensten, verleners van vertrouwensdiensten, registers voor topleveldomeinnamen en DNS-dienstverleners onder de richtlijn; hetzelfde geldt voor de enige aanbieder in een lidstaat van een dienst die essentieel is voor kritieke maatschappelijke of economische activiteiten, en voor bepaalde overheidsentiteiten (artikel 2, lid 2). Ook entiteiten die op grond van Richtlijn (EU) 2022/2557 als kritieke entiteit zijn aangemerkt vallen eronder ongeacht omvang (artikel 2, lid 3), net als aanbieders van domeinnaamregistratiediensten (artikel 2, lid 4).

Artikel 3 verdeelt die groep in twee klassen. Essentiële entiteiten zijn onder meer entiteiten uit bijlage I die de drempels voor middelgrote ondernemingen overschrijden (lid 1, punt a), gekwalificeerde verleners van vertrouwensdiensten, registers voor topleveldomeinnamen en DNS-dienstverleners ongeacht hun omvang (punt b), middelgrote aanbieders van openbare elektronische communicatienetwerken of -diensten (punt c), bepaalde overheidsentiteiten (punt d) en entiteiten die een lidstaat zelf aanwijst of die als kritieke entiteit zijn aangemerkt (punten e en f). Alle overige entiteiten uit bijlage I of II zijn belangrijke entiteiten (lid 2).

Dat onderscheid bepaalt niet wát u moet doen, maar hoe streng erop wordt toegezien en hoe hoog de boete kan uitvallen. De zorgplicht van artikel 21 en de meldplicht van artikel 23 gelden voor essentiële en belangrijke entiteiten gelijkelijk. Lidstaten houden een lijst van beide bij, die uiterlijk 17 april 2025 klaar moest zijn en daarna ten minste elke twee jaar wordt herzien (artikel 3, lid 3).

Zorgplicht: welke maatregelen eist NIS2? (artikel 21)

Artikel 21, lid 1 verplicht essentiële en belangrijke entiteiten tot passende en evenredige technische, operationele en organisatorische maatregelen om de risico's voor de beveiliging van hun netwerk- en informatiesystemen te beheersen, rekening houdend met de stand van de techniek en de kosten van uitvoering. Die maatregelen volgen een alle-gevarenbenadering: niet alleen aanvallen, ook uitval, fouten en fysieke gebeurtenissen. Artikel 21, lid 2 noemt tien onderwerpen die er in elk geval in horen:

• beleid inzake risicoanalyse en beveiliging van informatiesystemen;
• incidentbehandeling;
• bedrijfscontinuïteit, zoals back-upbeheer en noodvoorzieningen, en crisisbeheer;
• beveiliging van de toeleveringsketen, inclusief de beveiligingsaspecten van de relatie met elke directe leverancier of dienstverlener;
• beveiliging bij verwerving, ontwikkeling en onderhoud van netwerk- en informatiesystemen, inclusief het omgaan met en openbaar maken van kwetsbaarheden;
• beleid en procedures om de doeltreffendheid van de maatregelen te beoordelen;
• basispraktijken op het gebied van cyberhygiëne en opleiding in cyberbeveiliging;
• beleid en procedures voor het gebruik van cryptografie en, waar passend, versleuteling;
• beveiliging van personeel, toegangsbeleid en beheer van bedrijfsmiddelen;
• waar passend: meerfactorauthenticatie of doorlopende authenticatie, beveiligde spraak-, video- en tekstcommunicatie en beveiligde noodcommunicatiesystemen binnen de entiteit.

Let op het vierde punt: NIS2 trekt de zorgplicht door naar uw leveranciers. Bij het bepalen van passende maatregelen weegt u de kwetsbaarheden van elke directe leverancier en dienstverlener mee, plus de algehele kwaliteit van hun producten en beveiligingspraktijken, inclusief hun beveiligde ontwikkelprocedures (artikel 21, lid 3). Op Unieniveau kunnen daarnaast gecoördineerde risicobeoordelingen van kritieke ICT-toeleveringsketens worden uitgevoerd (artikel 22).

Constateert u zelf dat u niet aan de maatregelen van lid 2 voldoet, dan verplicht artikel 21, lid 4 u onverwijld alle noodzakelijke, passende en evenredige corrigerende maatregelen te nemen. Een tekortkoming vastleggen en oplossen is dus onderdeel van de norm, niet een overtreding op zich.

Meldplicht: wat meldt u en binnen welke termijn? (artikel 23)

Essentiële en belangrijke entiteiten melden significante incidenten onverwijld bij hun CSIRT of, waar van toepassing, de bevoegde autoriteit (artikel 23, lid 1). Een incident is significant als het een ernstige operationele verstoring van de diensten of financiële verliezen voor de betrokken entiteit heeft veroorzaakt of kan veroorzaken, of als het andere natuurlijke of rechtspersonen aanzienlijke materiële of immateriële schade heeft berokkend of kan berokkenen (artikel 23, lid 3).

De melding verloopt in stappen, en de klok begint te lopen zodra u kennis hebt van het incident (artikel 23, lid 4):

1. 01Binnen 24 uur: de vroegtijdige waarschuwing. Onverwijld en in elk geval binnen 24 uur nadat u kennis hebt gekregen van het significante incident. Daarin geeft u, waar van toepassing, aan of het incident vermoedelijk door wederrechtelijk of kwaadwillig handelen is veroorzaakt en of het grensoverschrijdende gevolgen kan hebben (punt a).
2. 02Binnen 72 uur: de incidentmelding. Onverwijld en in elk geval binnen 72 uur nadat u kennis hebt gekregen van het incident. Deze melding actualiseert de waarschuwing en bevat een eerste beoordeling van het incident, met ernst en gevolgen en, waar beschikbaar, de indicatoren van aantasting (punt b).
3. 03Op verzoek: het tussentijds verslag. Het CSIRT of de bevoegde autoriteit kan tussentijdse verslagen met relevante statusupdates vragen (punt c).
4. 04Binnen één maand: het eindverslag. Uiterlijk één maand na de incidentmelding levert u een eindverslag met een gedetailleerde beschrijving van het incident, het type dreiging of de onderliggende oorzaak, de genomen en lopende maatregelen en, waar van toepassing, de grensoverschrijdende gevolgen (punt d).

Naast de melding aan de autoriteiten kent artikel 23 een informatieplicht richting uw eigen afnemers. Afnemers van uw diensten die mogelijk door een significante cyberdreiging worden geraakt, informeert u onverwijld over de maatregelen of oplossingen die zij zelf kunnen treffen, en waar passend over de dreiging zelf (artikel 23, lid 2). Dat is een communicatievraagstuk zo goed als een technisch vraagstuk: wie belt wie, met welk verhaal, binnen welk uur?

Wat betekent NIS2 voor het bestuur? (artikel 20)

Artikel 20 legt de verantwoordelijkheid expliciet in de bestuurskamer. Het bestuursorgaan van een essentiële of belangrijke entiteit keurt de maatregelen van artikel 21 goed, ziet toe op de uitvoering ervan en kan aansprakelijk worden gesteld voor inbreuken van de entiteit op dat artikel (artikel 20, lid 1). Cyberbeveiliging is onder NIS2 dus geen onderwerp dat het bestuur kan delegeren en vervolgens loslaten.

Daar hoort scholing bij. Lidstaten zorgen ervoor dat leden van het bestuursorgaan opleiding volgen, en moedigen entiteiten aan hun medewerkers regelmatig vergelijkbare opleiding aan te bieden, zodat zij risico's kunnen herkennen en beheerspraktijken kunnen beoordelen op hun gevolgen voor de dienstverlening (artikel 20, lid 2).

Het handhavingsinstrumentarium heeft een scherpe kant die tot de persoon reikt. Blijven eerdere maatregelen zonder effect, dan kan de bevoegde autoriteit bij essentiële entiteiten een certificering of vergunning voor een deel van de diensten tijdelijk laten schorsen, en kan zij vragen om een tijdelijk verbod voor de verantwoordelijke persoon om leidinggevende functies uit te oefenen (artikel 32, lid 5). Natuurlijke personen die een essentiële entiteit vertegenwoordigen of feitelijk aansturen, kunnen aansprakelijk worden gehouden als zij niet zorgen voor naleving (artikel 32, lid 6).

Toezicht en sancties: wat staat er op het spel? (artikelen 32 tot en met 34)

Hier wordt het onderscheid tussen de twee klassen concreet. Bij essentiële entiteiten mag de toezichthouder ook zonder aanleiding vooraf ingrijpen: inspecties ter plaatse en toezicht op afstand, regelmatige en gerichte beveiligingsaudits door onafhankelijke instanties, ad-hocaudits na een incident, beveiligingsscans op basis van risicobeoordeling, en verzoeken om documentatie en om bewijs dat het beleid ook echt is uitgevoerd (artikel 32, lid 2). Bij belangrijke entiteiten treedt de bevoegde autoriteit in beginsel achteraf op, wanneer er aanwijzingen zijn dat de entiteit de richtlijn niet naleeft (artikel 33, lid 1).

Bij een geconstateerde inbreuk kan de autoriteit waarschuwen, bindende aanwijzingen met een termijn geven, opdragen de inbreuk te beëindigen, gelasten dat afnemers over de dreiging worden geïnformeerd, opdragen auditaanbevelingen uit te voeren, een toezichtsfunctionaris aanwijzen, openbaarmaking van de inbreuk verlangen en een bestuurlijke boete opleggen of laten opleggen (artikel 32, lid 4).

Voor boetes noemt de richtlijn ondergrenzen aan het maximum dat lidstaten mogelijk moeten maken. Bij inbreuken op artikel 21 of artikel 23 geldt voor essentiële entiteiten een maximum van ten minste tien miljoen euro of ten minste 2 procent van de totale wereldwijde jaaromzet over het voorgaande boekjaar, waarbij het hoogste bedrag telt (artikel 34, lid 4). Voor belangrijke entiteiten ligt die ondergrens op ten minste zeven miljoen euro of ten minste 1,4 procent van diezelfde omzet (artikel 34, lid 5). Boetes moeten hoe dan ook doeltreffend, evenredig en afschrikkend zijn, gelet op de omstandigheden van het geval.

Hoe zit het met de Nederlandse omzetting?

Omdat NIS2 een richtlijn is, staat de norm waar u zich aan houdt uiteindelijk in nationale wetgeving. Nederland zet NIS2 om in de Cyberbeveiligingswet, die de Wet beveiliging netwerk- en informatiesystemen (Wbni) vervangt. De Tweede Kamer nam het voorstel op 15 april 2026 aan, de Eerste Kamer op 7 juli 2026.

Het Cyberbeveiligingsbesluit van 8 juli 2026 stelt in artikel 35 vast dat de Cyberbeveiligingswet en het besluit op 15 augustus 2026 in werking treden (Staatsblad 2026, 189). Volgens het gezamenlijke nieuwsbericht van de Rijksoverheid van 7 juli 2026 gelden vanaf die datum nieuwe verplichtingen voor ruim achtduizend organisaties in Nederland.

Datzelfde bericht vat de verplichtingen samen in vier lijnen die de richtlijn herkenbaar volgen: registratie in het entiteitenregister, de zorgplicht (een risicoanalyse en op basis daarvan passende maatregelen om de risico's voor netwerk- en informatiesystemen te beheersen), de meldplicht (significante incidenten binnen de wettelijke termijnen bij het CSIRT en de toezichthouder) en de eindverantwoordelijkheid van het bestuur voor cyberrisicobeheersing.

Twee dingen om vast te houden. Ten eerste: Nederland was laat. De richtlijn schreef 17 oktober 2024 voor als uiterste datum om de omzettingsmaatregelen vast te stellen (artikel 41); de Nederlandse wet treedt bijna twee jaar later in werking. Ten tweede: de datum van deze gids doet ertoe. De stand hierboven is die van 26 juli 2026 en de uitvoeringspraktijk wordt nog verder ingevuld. Controleer bij twijfel de actuele publicaties in het Staatsblad en de informatie van uw toezichthouder.

Hoe verhoudt NIS2 zich tot DORA?

Voor de financiële sector loopt de route anders. Artikel 4, lid 1 van NIS2 bepaalt dat de richtlijn, inclusief de bepalingen over toezicht en handhaving in hoofdstuk VII, niet van toepassing is op entiteiten waarvoor sectorspecifieke Uniewetgeving eisen stelt aan cyberbeveiligingsmaatregelen of aan het melden van significante incidenten die ten minste gelijkwaardig zijn in effect. Artikel 4, lid 2 werkt uit wanneer eisen als gelijkwaardig gelden, onder meer door ze te spiegelen aan artikel 21, lid 1 en 2.

DORA is precies zo'n sectorspecifieke wet. Artikel 1, lid 2 van Verordening (EU) 2022/2554 bepaalt dat de verordening, voor financiële entiteiten die op grond van de nationale omzetting van artikel 3 van NIS2 als essentiële of belangrijke entiteit zijn aangemerkt, geldt als sectorspecifieke Uniehandeling in de zin van artikel 4 van die richtlijn. In gewone taal: werkt u in de financiële sector, dan is DORA voor digitale operationele weerbaarheid uw kader.

Wat DORA precies eist, staat in de gids Wat is DORA?. Twee kanttekeningen. De uitzondering hangt aan de entiteit en aan de vraag of de sectorspecifieke eisen gelijkwaardig zijn in effect (artikel 4, lid 1 en 2), niet aan de sector als geheel. En levert u als ICT-dienstverlener aan financiële klanten, dan kan uw eigen organisatie op grond van bijlage I of II gewoon zelfstandig onder NIS2 vallen, bijvoorbeeld in de sector beheer van ICT-diensten of digitale infrastructuur.

Hoe helpt een gestructureerde zelfbeoordeling?

Wie wil weten waar de organisatie staat, kan de richtlijn en de nationale omzetting artikel voor artikel langslopen. Een gestructureerde zelfbeoordeling maakt dat behapbaar: per eis legt u vast of die van toepassing is (met reden als dat niet zo is), hoe volwassen de invulling is op een schaal van 0 (afwezig) tot 5 (geoptimaliseerd), en welke onderbouwing en welk bewijs daarbij horen. Artikel 21 vraagt om passende en evenredige maatregelen; die evenredigheid hoort in de beoordeling zichtbaar te zijn, met de onderbouwing erbij.

Novaro Compliance helpt de zelfbeoordeling te structureren. Het platform is in ontwikkeling en wordt gebouwd met launching partners; NIS2 is een van de frameworks waar de eerste uitwerking zich op richt. Eerlijk is eerlijk: een ingevulde zelfbeoordeling is geen certificering en betekent niet dat uw organisatie aan NIS2 voldoet. Wél geeft zij het bestuur een onderbouwd beeld van waar de organisatie staat en waar het werk zit, en dat is precies wat artikel 20 van het bestuur verwacht.

Meer context: de dienst Cybersecurity & compliance beschrijft hoe Novaro beveiliging en aantoonbaarheid in de bredere omgeving aanpakt, en in de veelgestelde vragen leest u onder meer hoe het platform met uw gegevens omgaat.