De NIS2-richtlijn heeft directe gevolgen voor de IT-infrastructuur van organisaties in sectoren die als kritiek of belangrijk worden aangemerkt. Concreet betekent dit dat je als organisatie verplicht bent om technische en organisatorische maatregelen te treffen op het gebied van netwerk- en informatiebeveiliging, incidentmeldingen te doen bij de bevoegde autoriteiten en aantoonbaar te voldoen aan de gestelde eisen. De richtlijn is in 2024 in Nederlandse wetgeving omgezet en geldt nu als bindend kader voor een grote groep organisaties. In dit artikel beantwoorden we de meest gestelde vragen over NIS2 en wat de richtlijn concreet betekent voor jouw IT-omgeving.
Welke organisaties vallen onder de NIS2-richtlijn?
De NIS2-richtlijn is van toepassing op organisaties in sectoren die essentieel zijn voor de samenleving en economie. Daarbij wordt onderscheid gemaakt tussen essentiële entiteiten en belangrijke entiteiten. Essentiële entiteiten zijn onder meer energiebedrijven, drinkwaterbedrijven, vervoersbedrijven, banken, ziekenhuizen en digitale infrastructuuraanbieders. Belangrijke entiteiten omvatten onder andere postdiensten, chemische bedrijven, voedselproducenten en bepaalde digitale dienstverleners.
In de praktijk vallen veel meer organisaties onder NIS2 dan onder de oorspronkelijke NIS1-richtlijn. Een vuistregel: als jouw organisatie meer dan 50 medewerkers heeft of een jaaromzet van meer dan 10 miljoen euro, en actief is in een van de aangewezen sectoren, is de kans groot dat NIS2 op jou van toepassing is. Ook gemeenten, veiligheidsregio’s en andere overheidsinstanties vallen in veel gevallen onder de richtlijn. Twijfel je of jouw organisatie in scope valt? Raadpleeg dan de officiële sectorindeling van het Nationaal Cyber Security Centrum (NCSC) of neem contact op met een gespecialiseerde IT-partner.
Welke technische maatregelen vereist NIS2 van IT-afdelingen?
NIS2 verplicht organisaties om een reeks concrete technische maatregelen te implementeren die de weerbaarheid van de IT-infrastructuur vergroten. De richtlijn schrijft geen specifieke producten voor, maar stelt wel duidelijke eisen aan de uitkomsten van je beveiligingsaanpak.
De belangrijkste technische verplichtingen zijn:
- Risicobeheer: Stel een gedegen risicoanalyse op en zorg dat beveiligingsmaatregelen aantoonbaar zijn afgestemd op de geïdentificeerde risico’s.
- Toegangsbeheer en authenticatie: Implementeer sterke authenticatiemethoden, bij voorkeur meerfactorauthenticatie (MFA), voor toegang tot kritieke systemen.
- Encryptie: Versleutel gevoelige data, zowel in opslag als tijdens transport.
- Patchbeheer en kwetsbaarheidsbeheer: Zorg voor een gestructureerd proces om software en systemen tijdig bij te werken.
- Netwerksegmentatie: Beperk de verspreiding van een eventuele aanval door netwerken logisch te segmenteren.
- Back-up en herstel: Zorg voor betrouwbare back-upprocessen en test regelmatig of je systemen snel kunnen worden hersteld na een incident.
- Supply chain security: Breng de beveiligingsrisico’s van leveranciers en ketenpartners in kaart en stel eisen aan hun beveiligingsniveau.
IT-afdelingen doen er goed aan deze maatregelen niet als losse actiepunten te zien, maar als onderdeel van een samenhangend beveiligingsbeleid dat continu wordt gemonitord en verbeterd.
Hoe verschilt NIS2 van de oorspronkelijke NIS1-richtlijn?
NIS2 is een significante uitbreiding ten opzichte van NIS1, zowel in reikwijdte als in strengheid. Waar NIS1 zich beperkte tot een relatief kleine groep aanbieders van essentiële diensten en digitale dienstverleners, trekt NIS2 de scope fors breder en voegt nieuwe sectoren toe.
De belangrijkste verschillen zijn:
- Bredere scope: NIS2 omvat meer sectoren en organisaties dan NIS1, waaronder de publieke sector en aanvullende industrieën zoals voedsel, chemie en afvalverwerking.
- Strengere eisen: NIS2 stelt explicietere eisen aan risicobeheer, bestuurlijke verantwoordelijkheid en technische maatregelen.
- Bestuursaansprakelijkheid: Directies en bestuurders kunnen persoonlijk aansprakelijk worden gesteld als zij onvoldoende invulling geven aan hun verantwoordelijkheden onder NIS2.
- Hogere boetes: De maximale boetes zijn aanzienlijk verhoogd ten opzichte van NIS1.
- Meer uniformiteit in de EU: NIS2 streeft naar een consistentere implementatie in alle lidstaten, waardoor het speelveld gelijker wordt.
Kortom: als jouw organisatie al NIS1-compliant was, is dat een goede basis, maar vrijwel zeker onvoldoende om aan NIS2 te voldoen.
Wat zijn de meldplichten bij een cyberincident onder NIS2?
Onder NIS2 zijn organisaties verplicht om significante cyberincidenten te melden bij de bevoegde nationale autoriteit, in Nederland het NCSC of de sectorale toezichthouder. De meldplicht kent strikte termijnen die je niet mag overschrijden.
Het meldproces verloopt in drie stappen:
- Vroegtijdige melding (binnen 24 uur): Zodra je een significant incident constateert, moet je een eerste melding doen. Dit hoeft nog geen volledig beeld te zijn, maar geeft de autoriteiten tijdig inzicht in de situatie.
- Tussentijdse update (binnen 72 uur): Binnen drie dagen na ontdekking lever je een meer gedetailleerde melding aan met een eerste beoordeling van de aard, ernst en oorzaak van het incident.
- Eindrapportage (binnen een maand): Na afronding van het incident stel je een volledig eindrapport op met een analyse van de oorzaak, genomen maatregelen en lessen voor de toekomst.
Een incident is “significant” als het aanzienlijke gevolgen heeft voor de continuïteit van diensten of de vertrouwelijkheid, integriteit of beschikbaarheid van gegevens. Het is verstandig om nu al interne procedures te hebben die het melden van incidenten soepel laten verlopen, zodat je niet onder tijdsdruk hoeft te improviseren.
Wat zijn de gevolgen als een organisatie niet voldoet aan NIS2?
Organisaties die niet voldoen aan de NIS2-verplichtingen riskeren aanzienlijke sancties. Voor essentiële entiteiten kunnen boetes oplopen tot 10 miljoen euro of 2% van de wereldwijde jaaromzet, afhankelijk van welk bedrag hoger is. Voor belangrijke entiteiten gelden maxima van 7 miljoen euro of 1,4% van de jaaromzet.
Naast financiële boetes zijn er ook andere gevolgen mogelijk:
- Tijdelijke schorsing van dienstverlening of activiteiten
- Persoonlijke aansprakelijkheid van bestuurders en directieleden
- Reputatieschade door publieke bekendmaking van overtredingen
- Verhoogd toezicht en verplichte audits door de bevoegde autoriteit
Het is daarbij belangrijk te beseffen dat toezichthouders niet alleen reageren op incidenten, maar ook proactief kunnen controleren of organisaties aan de gestelde eisen voldoen. NIS2-compliance is dus geen eenmalig project, maar een doorlopende verantwoordelijkheid.
Hoe begin je met een NIS2-compliancetraject voor je IT-omgeving?
Een NIS2-compliancetraject begin je met een nulmeting: breng in kaart waar je nu staat ten opzichte van de eisen die de richtlijn stelt. Vanuit dat startpunt bouw je stap voor stap toe naar een aantoonbaar conforme IT-omgeving.
Een praktisch stappenplan ziet er als volgt uit:
- Bepaal of je in scope valt: Controleer aan de hand van de sectorindeling en drempelwaarden of NIS2 op jouw organisatie van toepassing is.
- Voer een risicoanalyse uit: Identificeer de belangrijkste risico’s voor jouw IT-infrastructuur en prioriteer op basis van impact en kans.
- Stel een gap-analyse op: Vergelijk de huidige beveiligingsmaatregelen met de NIS2-eisen en identificeer de lacunes.
- Maak een implementatieplan: Zet de benodigde technische en organisatorische maatregelen om in concrete acties met eigenaren en deadlines.
- Train medewerkers en bestuurders: NIS2 vereist betrokkenheid op alle niveaus. Zorg dat ook het management begrijpt wat de richtlijn inhoudt en welke verantwoordelijkheden het draagt.
- Documenteer en monitor: Leg alle maatregelen en processen vast en zorg voor continue monitoring, zodat je op elk moment kunt aantonen dat je compliant bent.
Begin bij voorkeur met de maatregelen die de grootste risico’s afdekken en bouw van daaruit verder. NIS2-compliance is een traject, geen eindbestemming.
Hoe HET IT helpt met NIS2-compliance
NIS2 raakt direct aan de kern van wat wij als Full Service IT-dienstverlener dagelijks doen: organisaties helpen bouwen aan een betrouwbare, veilige en toekomstbestendige IT-omgeving. Met meer dan 25 jaar ervaring in het ondersteunen van gemeenten, overheidsinstellingen, financiële instellingen en nutsbedrijven begrijpen wij precies welke uitdagingen jouw organisatie tegenkomt bij het invullen van de NIS2-verplichtingen.
Wat wij voor jou kunnen betekenen:
- Nulmeting en gap-analyse: We brengen in kaart waar jouw IT-omgeving nu staat en wat er nodig is om NIS2-compliant te worden.
- Implementatie van technische maatregelen: Van netwerksegmentatie en MFA tot back-upoplossingen en patchbeheer, wij implementeren de benodigde maatregelen end-to-end.
- 24/7 monitoring en ondersteuning: Onze interne serviceorganisatie is rond de klok beschikbaar, zodat incidenten snel worden gesignaleerd en afgehandeld.
- Advies op maat: Wij denken mee als partner, niet als leverancier. Merkonafhankelijk advies staat bij ons centraal.
- Documentatie en rapportage: We helpen je de benodigde documentatie op te stellen, zodat je te allen tijde kunt aantonen dat je voldoet aan de NIS2-eisen.
Wil je weten hoe wij jouw organisatie kunnen ondersteunen bij NIS2? Bekijk ons volledige aanbod op onze dienstenpagina of neem direct contact met ons op voor een vrijblijvend gesprek.
Veelgestelde vragen
Geldt NIS2 ook voor onze leveranciers en onderaannemers?
Niet per se direct, maar als jouw organisatie onder NIS2 valt, ben jij verantwoordelijk voor de supply chain security. Dat betekent dat je aantoonbaar eisen moet stellen aan het beveiligingsniveau van leveranciers en ketenpartners die toegang hebben tot jouw systemen of kritieke diensten leveren. Leg deze eisen vast in contracten en voer periodieke beoordelingen uit om te controleren of leveranciers hieraan voldoen.
Wat is het verschil tussen een essentiële en een belangrijke entiteit, en maakt dat uit voor mijn verplichtingen?
Ja, het onderscheid is relevant, met name voor de hoogte van de boetes en de intensiteit van het toezicht. Essentiële entiteiten vallen onder strenger proactief toezicht en riskeren hogere boetes (tot 10 miljoen euro of 2% van de wereldwijde omzet), terwijl belangrijke entiteiten doorgaans reactief worden gecontroleerd met lagere maximumboetes (tot 7 miljoen euro of 1,4% van de omzet). De inhoudelijke technische en organisatorische verplichtingen zijn voor beide categorieën grotendeels gelijk.
Hoe weet ik of een incident 'significant' genoeg is om te melden?
Een incident is significant als het een aanzienlijke verstoring veroorzaakt van de continuïteit van jouw diensten, of als de vertrouwelijkheid, integriteit of beschikbaarheid van gegevens ernstig in het geding is. Denk aan een ransomware-aanval die systemen platlegt, een datalek met gevoelige klantgegevens of een DDoS-aanval die kritieke dienstverlening onderbreekt. Stel bij twijfel intern een beslisboom of drempelcriteria op, zodat medewerkers snel kunnen bepalen of een incident de meldplicht activeert.
Kan NIS2-compliance worden gecombineerd met bestaande frameworks zoals ISO 27001 of BIO?
Absoluut, en dat is zelfs aan te raden. NIS2 overlapt inhoudelijk sterk met ISO 27001 en de Baseline Informatiebeveiliging Overheid (BIO), waardoor een bestaande certificering of implementatie een solide vertrekpunt vormt. Het is wel belangrijk om de specifieke NIS2-vereisten, zoals de strikte meldtermijnen en bestuursaansprakelijkheid, expliciet te toetsen en waar nodig aan te vullen. Een gap-analyse ten opzichte van NIS2 helpt je snel inzichtelijk te maken wat er nog ontbreekt.
Wat wordt er precies bedoeld met 'bestuursaansprakelijkheid' onder NIS2?
NIS2 legt expliciet verantwoordelijkheid bij de directie en het bestuur van een organisatie: zij moeten het cybersecuritybeleid goedkeuren, actief betrokken zijn bij de uitvoering ervan en kunnen persoonlijk aansprakelijk worden gesteld als blijkt dat zij hun toezichthoudende rol hebben verwaarloosd. Dit betekent in de praktijk dat bestuurders basiskennis van cybersecurity moeten hebben, regelmatig worden geïnformeerd over risico’s en incidenten, en aantoonbaar betrokken zijn bij de besluitvorming rondom beveiliging.
Hoe vaak moet ik mijn NIS2-maatregelen herzien of opnieuw toetsen?
NIS2 schrijft geen vaste herzieningsfrequentie voor, maar vereist wel een cyclisch proces van risicoanalyse, implementatie, monitoring en verbetering. In de praktijk wordt aanbevolen om minimaal jaarlijks een formele toetsing uit te voeren en daarnaast te evalueren na elk significant incident of bij grote wijzigingen in de IT-omgeving, zoals een cloudmigratie of overname. Continue monitoring via tools zoals een SIEM-systeem helpt je om tussentijds snel afwijkingen te signaleren.
Wat als onze organisatie net onder de drempelwaarden valt — moeten we dan toch iets doen?
Formeel ben je dan niet verplicht om aan NIS2 te voldoen, maar het is verstandig om de maatregelen toch als leidraad te gebruiken. Ten eerste kunnen lidstaten besluiten om ook kleinere organisaties in kritieke sectoren onder de richtlijn te brengen, en ten tweede stellen steeds meer grote opdrachtgevers en aanbestedende partijen NIS2-conforme beveiliging als contractuele eis. Bovendien versterken de maatregelen simpelweg je digitale weerbaarheid, ongeacht de wettelijke verplichting.