Of uw organisatie onder de NIS2-richtlijn valt, hangt af van de sector waarin u actief bent en de omvang van uw organisatie. In het kort: valt u onder een van de aangewezen sectoren én heeft u meer dan 50 medewerkers of een jaaromzet boven de 10 miljoen euro, dan is de kans groot dat de NIS2-verplichting op u van toepassing is. In dit artikel beantwoorden we de meest gestelde vragen over NIS2 in Nederland, zodat u snel weet waar u aan toe bent.
Welke sectoren en organisaties vallen onder NIS2?
De NIS2-richtlijn is van toepassing op organisaties in sectoren die als kritiek of belangrijk worden beschouwd voor de maatschappij. Dit omvat onder meer energie, transport, drinkwater, digitale infrastructuur, financiële dienstverlening, gezondheidszorg, overheidsdiensten en digitale aanbieders. Zowel private als publieke organisaties kunnen onder de cybersecuritywetgeving vallen.
De richtlijn maakt onderscheid tussen twee categorieën:
- Essentiële entiteiten: organisaties in sectoren zoals energie, transport, bankwezen, drinkwater en gezondheidszorg. Voor deze categorie gelden de strengste eisen en het meest actieve toezicht.
- Belangrijke entiteiten: organisaties in sectoren zoals post- en koeriersdiensten, afvalbeheer, voedselproductie, chemische industrie en digitale aanbieders. De verplichtingen zijn vergelijkbaar, maar het toezicht is reactiever van aard.
Gemeenten, veiligheidsregio’s en andere overheidsinstellingen vallen in Nederland doorgaans automatisch onder de essentiële of belangrijke categorie, ongeacht hun omvang. Voor organisaties in de private sector gelden aanvullende drempelwaarden op basis van grootte.
Wat zijn de drempelwaarden voor organisatiegrootte?
Voor organisaties buiten de overheid gelden specifieke drempelwaarden om te bepalen of de NIS2-richtlijn van toepassing is. Een organisatie valt onder NIS2 als zij actief is in een aangewezen sector én kwalificeert als middelgrote of grote onderneming. Dat betekent: minimaal 50 medewerkers of een jaaromzet of balanstotaal van meer dan 10 miljoen euro.
Grotere organisaties met meer dan 250 medewerkers of een jaaromzet boven de 50 miljoen euro worden aangemerkt als grote ondernemingen en vallen in de categorie essentiële entiteiten. Middelgrote ondernemingen (50 tot 250 medewerkers, omzet tussen 10 en 50 miljoen euro) worden in veel gevallen ingedeeld als belangrijke entiteiten.
Er zijn uitzonderingen: kleine organisaties met minder dan 50 medewerkers kunnen alsnog onder NIS2 vallen als zij een kritieke rol spelen in de samenleving, zoals aanbieders van specifieke digitale diensten of organisaties die deel uitmaken van kritieke toeleveringsketens.
Hoe verschilt NIS2 van de oorspronkelijke NIS-richtlijn?
NIS2 is een aanzienlijk uitgebreidere versie van de originele NIS-richtlijn uit 2016. Waar de eerste NIS-richtlijn slechts een beperkt aantal sectoren en grote aanbieders omvatte, breidt NIS2 het toepassingsgebied fors uit en legt zij strengere en meer geharmoniseerde eisen op aan organisaties in heel Europa.
De belangrijkste verschillen zijn:
- Bredere sectorale dekking: NIS2 voegt nieuwe sectoren toe, zoals overheid, voedselproductie, afvalbeheer en ruimtevaart.
- Strengere meldplicht: Organisaties moeten significante incidenten binnen 24 uur melden bij de bevoegde autoriteit, met een volledig rapport binnen 72 uur.
- Persoonlijke aansprakelijkheid: Bestuurders en directieleden kunnen persoonlijk aansprakelijk worden gesteld als zij onvoldoende maatregelen hebben getroffen.
- Strengere sancties: De maximale boetes zijn aanzienlijk verhoogd ten opzichte van de oorspronkelijke richtlijn.
- Meer aandacht voor de toeleveringsketen: Organisaties moeten ook de cybersecurityrisico’s van hun leveranciers en partners in kaart brengen en beheersen.
Wat zijn de verplichtingen als een organisatie onder NIS2 valt?
Als uw organisatie onder de NIS2-richtlijn valt, bent u verplicht passende technische en organisatorische maatregelen te nemen om de risico’s voor uw netwerk- en informatiesystemen te beheersen. Dit gaat verder dan alleen technologie: ook beleid, processen en bewustwording spelen een centrale rol.
De belangrijkste verplichtingen zijn:
- Het uitvoeren van een risicoanalyse en het opstellen van een informatiebeveiligingsbeleid
- Het treffen van maatregelen voor incidentbeheer en bedrijfscontinuïteit
- Het beveiligen van de toeleveringsketen en het beoordelen van leveranciersrisico’s
- Het implementeren van toegangsbeveiliging, encryptie en multifactorauthenticatie
- Het tijdig melden van significante beveiligingsincidenten aan de bevoegde autoriteit
- Het betrekken van het bestuur bij cybersecuritybeslissingen en het aantoonbaar trainen van medewerkers
Meer weten over hoe u uw netwerk en security op orde brengt? Dat is een goed startpunt voor NIS2-compliance.
Wat zijn de gevolgen als een organisatie niet voldoet aan NIS2?
Organisaties die niet voldoen aan de NIS2-verplichting riskeren aanzienlijke boetes en reputatieschade. Voor essentiële entiteiten kunnen boetes oplopen tot 10 miljoen euro of 2% van de wereldwijde jaaromzet. Voor belangrijke entiteiten geldt een maximum van 7 miljoen euro of 1,4% van de wereldwijde jaaromzet.
Naast financiële sancties kunnen toezichthouders ook corrigerende maatregelen opleggen, zoals verplichte audits, tijdelijke beperkingen op de dienstverlening of verplichte aanpassingen aan beveiligingsprocessen. Bestuurders kunnen in ernstige gevallen persoonlijk aansprakelijk worden gesteld, wat betekent dat nalatigheid op directieniveau directe juridische gevolgen kan hebben.
Buiten de formele sancties is er ook het risico van reputatieschade bij klanten, partners en de bredere markt wanneer een beveiligingsincident plaatsvindt en blijkt dat de organisatie onvoldoende maatregelen had getroffen.
Hoe kan een organisatie starten met NIS2-compliance?
Starten met NIS2-compliance begint met een heldere nulmeting: breng in kaart of uw organisatie onder de richtlijn valt, welke systemen en processen relevant zijn, en waar de grootste risico’s liggen. Vanuit die basis kunt u stap voor stap werken aan de vereiste maatregelen.
Een praktische aanpak ziet er als volgt uit:
- Bepaal uw toepasselijkheid: Controleer of uw sector en organisatieomvang u onder de NIS2-richtlijn brengen.
- Voer een risicoanalyse uit: Identificeer kwetsbaarheden in uw netwerk, systemen en toeleveringsketen.
- Stel een beveiligingsbeleid op: Leg vast hoe u omgaat met toegangsbeheer, incidenten, back-ups en continuïteit.
- Implementeer technische maatregelen: Denk aan encryptie, multifactorauthenticatie en monitoring van systemen.
- Train uw medewerkers en betrek het bestuur: Cybersecurity is een organisatiebrede verantwoordelijkheid, geen IT-kwestie alleen.
- Richt een meldproces in: Zorg dat u incidenten tijdig kunt signaleren en melden conform de wettelijke termijnen.
NIS2-compliance is geen eenmalig project, maar een doorlopend proces. Regelmatige evaluaties en updates van uw beveiligingsmaatregelen zijn essentieel om compliant te blijven naarmate dreigingen en regelgeving zich ontwikkelen.
Hoe HET IT helpt met NIS2-compliance
NIS2 vraagt om meer dan een technische oplossing. Het vraagt om een partner die begrijpt hoe uw organisatie werkt, meedenkt over risico’s en u stap voor stap begeleidt naar aantoonbare compliance. Dat is precies wat wij doen.
Wij ondersteunen organisaties bij NIS2-compliance op de volgende manieren:
- Nulmeting en toepasselijkheidscheck: We brengen in kaart of en hoe de NIS2-richtlijn op uw organisatie van toepassing is.
- Risicoanalyse en advies: We identificeren kwetsbaarheden in uw IT-omgeving en adviseren over prioriteiten.
- Technische implementatie: Van toegangsbeveiliging en encryptie tot netwerksegmentatie en monitoring, wij regelen de uitvoering.
- Beleid en documentatie: We helpen u bij het opstellen van het beveiligingsbeleid en de benodigde documentatie voor toezichthouders.
- 24/7 ondersteuning: Onze interne serviceorganisatie staat altijd voor u klaar, ook bij incidenten die snel gemeld moeten worden.
Met meer dan 25 jaar ervaring in IT-dienstverlening en gecertificeerde partnerships met toonaangevende leveranciers zijn wij de betrokken partner die uw organisatie nodig heeft. Bekijk onze IT-diensten of neem contact met ons op voor een vrijblijvend gesprek over uw NIS2-vraagstuk.
Veelgestelde vragen
Geldt de NIS2-richtlijn ook voor buitenlandse bedrijven die in Nederland actief zijn?
Ja, de NIS2-richtlijn kan ook van toepassing zijn op buitenlandse organisaties die diensten aanbieden binnen de Europese Unie, mits zij actief zijn in een aangewezen sector en voldoen aan de drempelwaarden voor organisatiegrootte. In de praktijk geldt als uitgangspunt dat de richtlijn van toepassing is in het land waar de dienst wordt aangeboden of waar de organisatie haar voornaamste vestiging in de EU heeft. Buitenlandse bedrijven zonder EU-vestiging maar met EU-activiteiten moeten in sommige gevallen een vertegenwoordiger aanwijzen binnen de EU.
Wat als mijn organisatie onder de drempelwaarden valt, maar wel toeleverancier is van een NIS2-plichtige organisatie?
Zelfs als uw organisatie zelf niet direct onder de NIS2-richtlijn valt, kunnen uw klanten of opdrachtgevers die wél NIS2-plichtig zijn, eisen stellen aan uw cybersecurityniveau. NIS2 verplicht organisaties namelijk om de risico’s in hun volledige toeleveringsketen te beheren, wat betekent dat zij contractuele eisen kunnen opleggen aan hun leveranciers. Het is daarom verstandig om uw eigen beveiliging proactief op orde te brengen, ook als u formeel buiten de directe reikwijdte van de richtlijn valt.
Hoe weet ik of een beveiligingsincident 'significant' genoeg is om te melden?
Een incident wordt als significant beschouwd als het een ernstige operationele verstoring veroorzaakt, aanzienlijke financiële schade oplevert, of gevolgen heeft voor andere organisaties of personen. Concreet kunt u denken aan ransomware-aanvallen, grootschalige datalekken, langdurige uitval van kritieke systemen of aanvallen die de dienstverlening aan klanten raken. Het is verstandig om vooraf duidelijke interne criteria vast te stellen en een meldproces in te richten, zodat u bij een incident direct weet wanneer en hoe u moet handelen binnen de wettelijke termijnen van 24 en 72 uur.
Wat wordt er precies bedoeld met 'persoonlijke aansprakelijkheid' van bestuurders onder NIS2?
Onder NIS2 kunnen bestuurders en directieleden persoonlijk aansprakelijk worden gesteld als zij aantoonbaar hebben nagelaten adequate cybersecuritymaatregelen te treffen of toe te zien op de naleving van de richtlijn. Dit betekent dat nalatigheid op directieniveau niet langer alleen organisatorische, maar ook individuele juridische gevolgen kan hebben. Om dit risico te beperken is het essentieel dat het bestuur actief betrokken is bij cybersecuritybeslissingen, aantoonbaar is getraind en dat dit alles goed gedocumenteerd is.
Hoe lang duurt het gemiddeld om NIS2-compliant te worden?
De doorlooptijd voor NIS2-compliance verschilt sterk per organisatie en is afhankelijk van uw huidige beveiligingsniveau, de complexiteit van uw IT-omgeving en de omvang van uw organisatie. Voor organisaties die al beschikken over een basisniveau van informatiebeveiliging, is een doorlooptijd van drie tot zes maanden realistisch. Organisaties die vrijwel vanaf nul beginnen, moeten rekenen op een traject van zes maanden tot een jaar. Een goede nulmeting aan het begin geeft u direct inzicht in de omvang van het werk en helpt u prioriteiten te stellen.
Kan een bestaand ISO 27001-certificaat helpen bij NIS2-compliance?
Ja, een ISO 27001-certificering biedt een stevige basis voor NIS2-compliance, omdat beide frameworks sterk overlappen op het gebied van risicoanalyse, informatiebeveiligingsbeleid en incidentbeheer. ISO 27001 dekt echter niet alle specifieke NIS2-vereisten, zoals de strikte meldplicht bij incidenten, de aandacht voor toeleveringsketenrisico’s en de persoonlijke aansprakelijkheid van bestuurders. U kunt uw bestaande ISO 27001-implementatie dus als vertrekpunt gebruiken, maar aanvullende stappen blijven nodig om volledig aan NIS2 te voldoen.
Bij welke instantie moeten Nederlandse organisaties NIS2-incidenten melden?
In Nederland is het Nationaal Cyber Security Centrum (NCSC) de primaire autoriteit voor essentiële entiteiten, terwijl het Digital Trust Center (DTC) een rol speelt voor belangrijke entiteiten in de private sector. Afhankelijk van uw sector kan ook een sectorspecifieke toezichthouder relevant zijn, zoals de Autoriteit Persoonsgegevens bij datalekken of De Nederlandsche Bank voor financiële instellingen. Het is belangrijk om vooraf te bepalen welke instantie voor uw organisatie van toepassing is en het meldproces hierop in te richten, zodat u bij een incident snel en correct kunt handelen.