Een middelgrote organisatie bereidt zich voor op NIS2 door eerst te bepalen of zij onder de richtlijn valt, vervolgens een nulmeting uit te voeren, en daarna gerichte technische en organisatorische maatregelen te implementeren. De NIS2-richtlijn stelt concrete eisen aan cybersecurity, incidentmelding en risicobeheer. In dit artikel beantwoorden we de meest gestelde vragen over NIS2-voorbereiding en NIS2-compliance, stap voor stap.
Welke organisaties vallen onder de NIS2-richtlijn?
Organisaties vallen onder de NIS2-richtlijn als zij actief zijn in een van de aangewezen sectoren én voldoen aan de drempelwaarden voor omzet en personeelsomvang. De richtlijn maakt onderscheid tussen essentiële entiteiten en belangrijke entiteiten, waarbij de eerste categorie strenger wordt gecontroleerd. Middelgrote organisaties met meer dan 50 medewerkers of een jaaromzet boven de 10 miljoen euro in een aangewezen sector komen al snel in aanmerking.
De sectoren die onder NIS2 vallen, zijn onder andere energie, transport, water, financiële infrastructuur, gezondheidszorg, digitale infrastructuur en overheid. In Nederland zijn gemeenten, veiligheidsregio’s en andere (semi-)overheidsinstanties expliciet aangewezen als essentiële entiteiten. Ook aanbieders van digitale diensten, zoals cloudproviders en managed service providers, vallen binnen de reikwijdte van de NIS2-richtlijn in Nederland.
Twijfel je of jouw organisatie onder de richtlijn valt? De Nederlandse overheid biedt via de toezichthouders een zelfevaluatietool aan waarmee je dit snel kunt vaststellen. Het is verstandig dit vroegtijdig te controleren, want de gevolgen van niet-naleving zijn aanzienlijk.
Wat zijn de concrete verplichtingen van NIS2 voor organisaties?
NIS2 verplicht organisaties tot het nemen van passende technische en organisatorische maatregelen om cyberrisico’s te beheersen, incidenten tijdig te melden en de continuïteit van dienstverlening te waarborgen. De richtlijn legt de verantwoordelijkheid expliciet bij het bestuur van de organisatie, niet alleen bij de IT-afdeling.
De voornaamste verplichtingen zijn:
- Risicobeheer: Een gedocumenteerd beleid voor het identificeren en beheersen van cyberbeveiligingsrisico’s.
- Incidentmelding: Tijdige melding van significante incidenten bij de bevoegde autoriteit.
- Bedrijfscontinuïteit: Maatregelen voor back-up, herstel en crisismanagement.
- Beveiliging van de toeleveringsketen: Aandacht voor de cybersecurity van leveranciers en partners.
- Opleiding en bewustzijn: Medewerkers en bestuurders moeten aantoonbaar worden getraind in cybersecurity.
- Encryptie en toegangsbeveiliging: Gebruik van versleuteling en meervoudige authenticatie waar van toepassing.
Bestuurders zijn persoonlijk aansprakelijk voor de naleving van deze verplichtingen. Dat maakt NIS2-compliance niet alleen een technisch vraagstuk, maar ook een bestuurlijke prioriteit.
Hoe begin je met een NIS2-nulmeting?
Een NIS2-nulmeting begint met een gestructureerde inventarisatie van de huidige beveiligingssituatie van je organisatie, afgezet tegen de eisen uit de richtlijn. Het doel is inzichtelijk te maken waar je nu staat en welke gaps er zijn ten opzichte van wat NIS2 vereist.
Een praktische aanpak voor de nulmeting bestaat uit de volgende stappen:
- Breng kritieke processen en systemen in kaart: Welke systemen zijn essentieel voor de bedrijfscontinuïteit?
- Beoordeel het huidige beveiligingsniveau: Welke maatregelen zijn al aanwezig op het gebied van netwerk en security?
- Identificeer risico’s en kwetsbaarheden: Voer een risicoanalyse uit op basis van dreigingsscenario’s die relevant zijn voor jouw sector.
- Vergelijk met de NIS2-vereisten: Stel per verplichting vast of je organisatie al voldoet, gedeeltelijk voldoet of nog volledig moet starten.
- Stel een prioriteitenlijst op: Bepaal welke maatregelen het meest urgent zijn en leg dit vast in een actieplan.
Een nulmeting hoeft niet perfect te zijn om waardevol te zijn. Het gaat erom dat je een eerlijk beeld krijgt van de werkelijke situatie, zodat je gericht kunt investeren in de juiste verbeteringen.
Welke technische maatregelen zijn verplicht onder NIS2?
NIS2 vereist dat organisaties een set technische maatregelen implementeren die proportioneel zijn aan het risico. Er is geen vaste technische standaard voorgeschreven, maar de richtlijn noemt expliciet een aantal categorieën van maatregelen die aantoonbaar aanwezig moeten zijn.
De meest relevante technische maatregelen zijn:
- Meervoudige authenticatie (MFA): Verplicht voor toegang tot kritieke systemen en beheeraccounts.
- Encryptie: Versleuteling van gevoelige data, zowel in rust als tijdens transport.
- Patchbeheer: Een gestructureerd proces voor het tijdig bijwerken van software en firmware.
- Netwerksegmentatie: Scheiding van kritieke systemen om de verspreiding van aanvallen te beperken.
- Monitoring en logging: Continue bewaking van systemen en het bijhouden van logbestanden voor forensisch onderzoek.
- Back-up en herstel: Regelmatige back-ups met een gedocumenteerd en getest herstelplan.
- Beveiliging van endpoints: Bescherming van laptops, mobiele apparaten en andere eindpunten.
Bij de keuze voor specifieke oplossingen is het verstandig te werken met leveranciers die aantoonbare expertise hebben in cybersecurity en die kunnen helpen bij de implementatie en het onderhoud van deze maatregelen.
Hoe snel moet een organisatie een incident melden onder NIS2?
Onder NIS2 moet een significant cyberincident binnen 24 uur na ontdekking worden gemeld bij de bevoegde nationale autoriteit via een eerste melding. Binnen 72 uur volgt een uitgebreidere tussenrapportage, en uiterlijk één maand na de eerste melding moet een eindrapport worden ingediend.
Een incident wordt als significant beschouwd als het een ernstige verstoring van de dienstverlening veroorzaakt of kan veroorzaken, of als het aanzienlijke financiële of reputatieschade met zich meebrengt. In Nederland is de meldplicht belegd bij de relevante toezichthouder per sector, zoals het Nationaal Cyber Security Centrum (NCSC) voor overheidsorganisaties.
Het is cruciaal dat organisaties vooraf een intern incidentresponsproces inrichten. Wie is verantwoordelijk voor de melding? Hoe wordt een incident herkend en geclassificeerd? Zonder een vooraf vastgestelde procedure is de kans groot dat de meldtermijn van 24 uur wordt overschreden, met alle gevolgen van dien.
Wat zijn de gevolgen van niet voldoen aan NIS2?
Organisaties die niet voldoen aan de NIS2-richtlijn riskeren aanzienlijke bestuurlijke boetes, reputatieschade en in ernstige gevallen persoonlijke aansprakelijkheid van bestuurders. De hoogte van de boetes verschilt per categorie: voor essentiële entiteiten kan de boete oplopen tot 10 miljoen euro of 2% van de wereldwijde jaaromzet, voor belangrijke entiteiten tot 7 miljoen euro of 1,4% van de omzet.
Naast financiële sancties kunnen toezichthouders ook operationele maatregelen opleggen, zoals het tijdelijk verbieden van bepaalde activiteiten of het verplichten van externe audits. Bestuurders kunnen bovendien persoonlijk aansprakelijk worden gesteld als blijkt dat zij onvoldoende toezicht hebben gehouden op de naleving van de richtlijn.
Los van de wettelijke gevolgen brengt een cyberincident bij een organisatie die niet NIS2-compliant is ook aanzienlijke operationele en reputatierisico’s met zich mee. Klanten, partners en overheden verwachten aantoonbaar verantwoord omgaan met digitale veiligheid. Niet-naleving tast het vertrouwen aan dat organisaties jarenlang hebben opgebouwd.
Hoe HET IT helpt met NIS2-voorbereiding
Wij begrijpen dat NIS2-compliance voor veel middelgrote organisaties een flinke opgave is, zeker als de interne IT-capaciteit beperkt is. Als Full Service IT-dienstverlener met meer dan 25 jaar ervaring ondersteunen wij organisaties bij elke stap van de NIS2-voorbereiding. Concreet bieden wij:
- Een NIS2-nulmeting waarbij we jouw huidige beveiligingssituatie in kaart brengen en vergelijken met de richtlijn.
- Implementatie van technische maatregelen zoals MFA, netwerksegmentatie, encryptie en monitoringoplossingen.
- Advies en begeleiding bij het opzetten van een incidentresponsproces en meldprocedures.
- 24/7 ondersteuning via onze interne serviceorganisatie, zodat je altijd een partner hebt als er iets misgaat.
- Merkonafhankelijk advies op basis van onze partnerships met A-merken zoals Cisco, VMware en IBM.
Wij denken graag mee als verlengstuk van jouw organisatie, niet als leverancier op afstand. Bekijk onze IT-diensten of neem contact op voor een vrijblijvend gesprek over hoe wij jouw organisatie klaarstomen voor NIS2.
Veelgestelde vragen
Moeten ook kleine organisaties rekening houden met NIS2, ook al vallen ze niet direct onder de richtlijn?
Ja, zeker. Kleine organisaties die als leverancier of partner werken voor een essentiële of belangrijke entiteit kunnen indirect te maken krijgen met NIS2-eisen via de verplichting rondom ketenbeveiliging. De NIS2-richtlijn verplicht organisaties namelijk om de cybersecurity van hun toeleveringsketen te beoordelen en te borgen. Als jouw organisatie diensten levert aan een NIS2-plichtige partij, kun je verwachten dat zij contractuele eisen aan jouw beveiliging stellen.
Wat is het verschil tussen een essentiële entiteit en een belangrijke entiteit onder NIS2?
Het onderscheid zit hem voornamelijk in de sector, de omvang van de organisatie en het toezichtregime. Essentiële entiteiten, zoals energiebedrijven, ziekenhuizen en overheidsinstanties, vallen onder actief en proactief toezicht en krijgen te maken met hogere boetes bij niet-naleving (tot 10 miljoen euro of 2% van de wereldwijde omzet). Belangrijke entiteiten worden reactief gecontroleerd — dat wil zeggen, meestal alleen na een incident of klacht — en de maximale boetes liggen iets lager (tot 7 miljoen euro of 1,4% van de omzet). Beide categorieën zijn echter verplicht dezelfde basismaatregelen te treffen.
Hoe lang duurt het gemiddeld om een organisatie NIS2-compliant te maken?
Dat hangt sterk af van het huidige volwassenheidsniveau van de cybersecurity binnen de organisatie. Voor organisaties die al beschikken over een basisniveau van beveiliging — zoals MFA, patchbeheer en een back-upbeleid — is een doorlooptijd van drie tot zes maanden realistisch. Organisaties die vrijwel vanaf nul beginnen, moeten rekening houden met een traject van zes maanden tot meer dan een jaar. Het is daarom verstandig zo snel mogelijk te starten met een nulmeting, zodat je weet waar je staat en gericht kunt plannen.
Wat zijn de meest voorkomende fouten die organisaties maken bij de NIS2-voorbereiding?
Een veelgemaakte fout is dat organisaties NIS2 puur als een IT-project behandelen, terwijl de richtlijn expliciet bestuurlijke verantwoordelijkheid vereist. Bestuurders moeten actief betrokken zijn en aantoonbaar getraind worden in cybersecurityrisico’s. Andere veelvoorkomende fouten zijn: het uitstellen van de nulmeting tot vlak voor de deadline, het onderschatten van de ketenbeveiliging, en het ontbreken van een getest incidentresponsplan. Begin vroeg, betrek het bestuur en zorg dat beleid ook daadwerkelijk wordt geïmplementeerd en gedocumenteerd.
Moet het incidentresponsplan worden getest voordat een incident plaatsvindt?
Absoluut — en NIS2 verwacht dit ook aantoonbaar. Een incidentresponsplan dat nooit is geoefend, biedt in de praktijk weinig houvast op het moment dat het er écht toe doet. Organiseer minimaal één keer per jaar een tabletop-oefening of simulatie waarin je de stappen doorloopt: detectie, classificatie, interne escalatie en de melding bij de toezichthouder binnen 24 uur. Zo ontdek je knelpunten in je proces voordat een echte aanval dat doet.
Welk framework of norm sluit het beste aan bij de NIS2-vereisten?
NIS2 schrijft geen specifieke norm voor, maar sluit nauw aan bij bestaande frameworks zoals ISO 27001, het NIST Cybersecurity Framework en de BIO (Baseline Informatiebeveiliging Overheid) voor overheidsorganisaties. Als je organisatie al gecertificeerd is voor ISO 27001, heb je een sterke basis en zijn de aanvullende stappen richting NIS2-compliance behapbaar. Heb je nog geen framework in gebruik, dan is het verstandig er één te kiezen dat past bij jouw sector en volwassenheidsniveau — een IT-partner kan hierbij helpen.
Kan een externe IT-partner de NIS2-verantwoordelijkheid overnemen van de organisatie?
Nee — de eindverantwoordelijkheid blijft altijd bij het bestuur van de organisatie zelf liggen. Een externe IT-partner, zoals een managed service provider, kan wél een groot deel van de technische implementatie en monitoring op zich nemen en is daarmee een waardevolle schakel in je NIS2-aanpak. Zorg er echter voor dat de afspraken met externe partijen contractueel zijn vastgelegd, inclusief verantwoordelijkheden rondom incidentmelding en beveiliging. Het bestuur moet te allen tijde aantoonbaar toezicht houden op de naleving.