NIS2 vereist dat organisaties een breed pakket aan cybersecuritymaatregelen implementeren, zowel technisch als organisatorisch. De richtlijn schrijft onder meer risicoanalyses, toegangsbeheer, versleuteling, incidentbeheer en continuïteitsplanning voor. NIS2 geldt voor een grote groep organisaties in essentiële en belangrijke sectoren, waaronder overheid, energie, gezondheidszorg en digitale infrastructuur. In dit artikel beantwoorden we de meest gestelde vragen over NIS2-compliance, van wie eronder valt tot hoe je als IT-afdeling concreet aan de slag gaat.
Welke organisaties vallen onder de NIS2-richtlijn?
De NIS2-richtlijn geldt voor middelgrote en grote organisaties in sectoren die als essentieel of belangrijk worden beschouwd. Essentiële sectoren zijn onder andere energie, transport, bankwezen, gezondheidszorg, drinkwater en digitale infrastructuur. Belangrijke sectoren omvatten onder meer post- en koeriersdiensten, afvalbeheer, voedselproductie en digitale aanbieders.
De grens ligt doorgaans bij organisaties met meer dan 50 medewerkers of een jaaromzet van meer dan 10 miljoen euro. Kleinere organisaties kunnen ook onder de richtlijn vallen als ze een kritieke rol spelen in de maatschappelijke infrastructuur. Voor Nederlandse gemeenten, veiligheidsregio’s en andere (semi-)overheidsinstanties geldt de NIS2-richtlijn in veel gevallen automatisch, ongeacht de omvang.
Het is belangrijk om te weten dat de NIS2-richtlijn niet alleen de organisatie zelf raakt, maar ook eisen stelt aan de beveiliging van de toeleveringsketen. Leveranciers en IT-partners die toegang hebben tot systemen of data van een NIS2-plichtige organisatie, moeten aantoonbaar voldoen aan vergelijkbare beveiligingsnormen.
Welke technische maatregelen schrijft NIS2 voor?
NIS2 schrijft een reeks concrete technische cybersecuritymaatregelen voor die organisaties moeten implementeren om hun netwerken en informatiesystemen te beschermen. De richtlijn is doelgericht geformuleerd, wat betekent dat organisaties zelf bepalen hoe ze aan de eisen voldoen, zolang het resultaat aantoonbaar veilig is.
De meest relevante technische NIS2-vereisten zijn:
- Risicoanalyse en beveiliging van informatiesystemen: Organisaties moeten systematisch risico’s identificeren en maatregelen treffen die in verhouding staan tot het risico.
- Toegangsbeheer en authenticatie: Sterke authenticatie, bij voorkeur meerfactorauthenticatie (MFA), is verplicht voor toegang tot kritieke systemen.
- Encryptie: Gevoelige gegevens moeten versleuteld worden opgeslagen en verzonden.
- Netwerksegmentatie: Systemen moeten logisch gescheiden worden om de verspreiding van aanvallen te beperken.
- Patchbeheer en kwetsbaarhedenbeheer: Software en systemen moeten tijdig worden bijgewerkt om bekende kwetsbaarheden te dichten.
- Back-up en herstelvoorzieningen: Regelmatige back-ups en een getest herstelplan zijn noodzakelijk voor bedrijfscontinuïteit.
- Monitoring en logging: Organisaties moeten in staat zijn afwijkend gedrag te detecteren en te analyseren.
Een goed ingericht netwerk- en securityfundament vormt de basis voor naleving van deze technische eisen. Zonder een solide infrastructuur zijn de meeste technische maatregelen moeilijk te realiseren of te handhaven.
Wat zijn de organisatorische verplichtingen onder NIS2?
Naast technische maatregelen legt NIS2 ook duidelijke organisatorische verplichtingen op. Bestuurders en directies dragen persoonlijke verantwoordelijkheid voor de naleving van de richtlijn. Dit betekent dat cybersecurity niet langer uitsluitend een IT-vraagstuk is, maar een bestuurlijke prioriteit.
De belangrijkste organisatorische NIS2-vereisten zijn:
- Beleid voor informatiebeveiliging: Een gedocumenteerd en goedgekeurd beveiligingsbeleid is verplicht.
- Rollen en verantwoordelijkheden: Organisaties moeten duidelijk vastleggen wie verantwoordelijk is voor welke beveiligingstaken.
- Training en bewustwording: Medewerkers moeten regelmatig worden getraind op het gebied van cybersecurity en phishing.
- Beveiliging van de toeleveringsketen: Contractuele afspraken met leveranciers over beveiligingsnormen zijn vereist.
- Continuïteitsplanning: Er moet een actueel en getest bedrijfscontinuïteitsplan aanwezig zijn.
- Interne audits en evaluaties: De effectiviteit van beveiligingsmaatregelen moet periodiek worden getoetst.
Bestuurders die onvoldoende aandacht besteden aan deze verplichtingen, kunnen persoonlijk aansprakelijk worden gesteld. Dat is een wezenlijk verschil met eerdere regelgeving, waarbij verantwoordelijkheid vaak bij de IT-afdeling bleef liggen.
Hoe werkt de meldplicht bij een cyberincident onder NIS2?
Onder NIS2 zijn organisaties verplicht significante cyberincidenten te melden bij de bevoegde nationale autoriteit, in Nederland het Nationaal Cyber Security Centrum (NCSC) of de relevante sectorale toezichthouder. De meldplicht kent een strikte tijdlijn die organisaties moeten volgen.
De meldprocedure verloopt in drie fasen:
- Vroegtijdige melding (binnen 24 uur): Een eerste melding zodra een significant incident is vastgesteld, ook als nog niet alle details bekend zijn.
- Tussentijdse melding (binnen 72 uur): Een meer gedetailleerde melding met een eerste beoordeling van de ernst, de oorzaak en de getroffen maatregelen.
- Eindrapportage (binnen één maand): Een volledige analyse van het incident, de impact, de genomen herstelmaatregelen en aanbevelingen om herhaling te voorkomen.
Een incident is significant als het leidt tot ernstige operationele verstoring, financiële schade of reputatieschade, of als het andere organisaties kan treffen. Goede monitoring en een vooraf opgesteld incidentresponsplan zijn essentieel om binnen de gestelde termijnen te kunnen handelen.
Wat zijn de sancties bij niet-naleving van NIS2?
Organisaties die niet voldoen aan de NIS2-richtlijn riskeren aanzienlijke boetes en andere handhavingsmaatregelen. De hoogte van de sancties verschilt afhankelijk van de categorie: essentiële entiteiten kunnen worden beboet tot 10 miljoen euro of 2% van de wereldwijde jaaromzet, voor belangrijke entiteiten geldt een maximum van 7 miljoen euro of 1,4% van de omzet.
Naast financiële boetes kan de toezichthouder ook:
- Bindende aanwijzingen geven om specifieke maatregelen te treffen binnen een bepaalde termijn.
- Tijdelijke beperkingen opleggen aan de bedrijfsvoering.
- Bestuurders persoonlijk aansprakelijk stellen voor aantoonbare nalatigheid.
De persoonlijke aansprakelijkheid van bestuurders is een van de meest ingrijpende aspecten van NIS2. Het zorgt ervoor dat cybersecurity hoog op de bestuurlijke agenda staat en niet kan worden gedelegeerd zonder actief toezicht te houden op de uitvoering.
Hoe begin je met NIS2-compliance als IT-afdeling?
Als IT-afdeling begin je met NIS2-compliance door eerst vast te stellen of jouw organisatie onder de richtlijn valt en in welke categorie. Vervolgens voer je een nulmeting uit om de huidige beveiligingssituatie te vergelijken met de NIS2-vereisten, zodat je weet waar de grootste hiaten zitten.
Een praktische aanpak in stappen:
- Bepaal de toepasselijkheid: Controleer of jouw organisatie valt onder een essentiële of belangrijke sector en voldoet aan de drempelwaarden voor omvang.
- Voer een gap-analyse uit: Breng in kaart welke technische en organisatorische maatregelen al aanwezig zijn en wat nog ontbreekt.
- Stel prioriteiten: Focus eerst op de maatregelen met de hoogste risicoreductie, zoals MFA, patchbeheer en incidentrespons.
- Betrek het bestuur: Zorg dat directie en management actief betrokken zijn, want zij dragen eindverantwoordelijkheid.
- Documenteer alles: NIS2 vereist aantoonbare naleving. Leg beleid, procedures, trainingen en audits schriftelijk vast.
- Test en verbeter continu: Voer periodieke oefeningen en audits uit om de effectiviteit van maatregelen te toetsen en bij te sturen.
Begin niet met het bouwen van een perfecte oplossing, maar met een werkende basis die je stap voor stap uitbouwt. Veel organisaties onderschatten de impact van NIS2 op de toeleveringsketen, dus betrek ook je leveranciers vroegtijdig bij het traject.
Hoe HET IT helpt met NIS2-compliance
NIS2-compliance vraagt om een combinatie van de juiste technologie, heldere processen en een partner die meedenkt. Wij ondersteunen organisaties bij elke stap van het NIS2-traject, van de eerste nulmeting tot de implementatie van technische maatregelen en de begeleiding van het bestuur.
Wat wij concreet voor jouw organisatie kunnen betekenen:
- Gap-analyse om te bepalen waar jouw organisatie staat ten opzichte van de NIS2-vereisten.
- Implementatie van technische beveiligingsmaatregelen zoals MFA, netwerksegmentatie, encryptie en monitoring.
- Inrichting van back-up- en hersteloplossingen voor bedrijfscontinuïteit.
- Begeleiding bij het opstellen van beveiligingsbeleid, incidentresponsplannen en documentatie.
- 24/7 support en 4-uur on-site service voor snel ingrijpen bij incidenten.
- Advies over de beveiliging van de toeleveringsketen en leveranciersmanagement.
Met meer dan 25 jaar ervaring in IT-dienstverlening en partnerships met toonaangevende leveranciers bieden wij de expertise en de infrastructuur die nodig zijn voor aantoonbare NIS2-compliance. Bekijk ons volledige overzicht van diensten of neem contact op voor een vrijblijvend gesprek over jouw NIS2-aanpak.
Veelgestelde vragen
Geldt NIS2 ook voor onze organisatie als we al voldoen aan ISO 27001 of BIO?
ISO 27001 en de Baseline Informatiebeveiliging Overheid (BIO) overlappen inhoudelijk sterk met NIS2, maar zijn niet automatisch voldoende om aan de richtlijn te voldoen. NIS2 stelt specifieke eisen aan zaken als de meldplicht, persoonlijke bestuurdersaansprakelijkheid en de beveiliging van de toeleveringsketen die in ISO 27001 of BIO niet altijd even expliciet zijn uitgewerkt. Gebruik bestaande certificeringen als vertrekpunt voor je gap-analyse, maar voer altijd een specifieke NIS2-toets uit om te bepalen waar aanvullende maatregelen nodig zijn.
Wat gebeurt er als een leverancier in onze keten niet voldoet aan de NIS2-eisen?
Als een leverancier niet voldoet aan vergelijkbare beveiligingsnormen, draag jij als NIS2-plichtige organisatie nog steeds de verantwoordelijkheid voor de beveiliging van jouw netwerken en data. De toezichthouder kan jouw organisatie aanspreken op onvoldoende leveranciersmanagement, ook al lag de kwetsbaarheid bij een derde partij. Leg beveiligingseisen contractueel vast bij alle leveranciers met toegang tot jouw systemen of data, en voer periodieke controles uit op hun naleving.
Hoe weet ik of een incident 'significant' genoeg is om te melden onder de NIS2-meldplicht?
Een incident is significant als het leidt tot ernstige operationele verstoring, aanzienlijke financiële schade, reputatieschade, of als andere organisaties erdoor geraakt kunnen worden. Denk hierbij aan ransomware-aanvallen die systemen platleggen, datalekken met gevoelige persoonsgegevens of DDoS-aanvallen die kritieke dienstverlening onderbreken. Stel vooraf interne drempelwaarden en besliscriteria vast in je incidentresponsplan, zodat je in een crisissituatie snel en objectief kunt bepalen of en wanneer je moet melden.
Mogen we de NIS2-verantwoordelijkheid volledig uitbesteden aan een externe IT-partner?
Nee, de eindverantwoordelijkheid voor NIS2-compliance ligt altijd bij het bestuur van de eigen organisatie en kan niet worden gedelegeerd of uitbesteed. Wat je wél kunt uitbesteden is de technische implementatie, het beheer van beveiligingsmaatregelen en de ondersteuning bij documentatie en audits. Zorg er in dat geval voor dat je als bestuurder aantoonbaar toezicht houdt op de uitvoering en dat afspraken met je IT-partner contractueel en meetbaar zijn vastgelegd.
Hoe vaak moeten we onze NIS2-maatregelen testen en evalueren?
NIS2 vereist dat beveiligingsmaatregelen periodiek worden getoetst op effectiviteit, maar schrijft geen vaste frequentie voor. Een gangbare best practice is minimaal één keer per jaar een interne audit en een jaarlijkse penetratietest of oefening van het incidentresponsplan. Voer daarnaast na elk significant incident of grote infrastructuurwijziging een gerichte evaluatie uit, zodat je maatregelen actueel en effectief blijven.
Wat zijn de meest voorkomende fouten die organisaties maken bij het starten met NIS2-compliance?
Een veelgemaakte fout is dat organisaties NIS2 puur als een IT-project behandelen, terwijl het bestuur eindverantwoordelijk is en actief betrokken moet zijn. Andere veelvoorkomende valkuilen zijn het overslaan van de gap-analyse en direct beginnen met implementeren, het vergeten van leveranciers in de toeleveringsketen, en het onvoldoende documenteren van genomen maatregelen. Zorg ook dat je niet wacht op een perfecte eindoplossing: begin met een werkende basis op de hoogste risico’s en bouw dit stap voor stap uit.
Wat is het verschil tussen een essentiële en een belangrijke entiteit onder NIS2, en maakt dat praktisch veel uit?
Essentiële entiteiten opereren in sectoren zoals energie, gezondheidszorg, drinkwater en digitale infrastructuur en vallen onder strenger toezicht, hogere boetes (tot 10 miljoen euro of 2% van de wereldwijde omzet) en proactieve inspecties door de toezichthouder. Belangrijke entiteiten, zoals bedrijven in de voedselproductie, post- en koerierssector of afvalbeheer, vallen onder reactief toezicht en lagere maximumboetes (tot 7 miljoen euro of 1,4% van de omzet). Praktisch gezien zijn de inhoudelijke beveiligingseisen voor beide categorieën grotendeels gelijk, maar essentiële entiteiten moeten rekenen op intensiever en actiever toezicht vanuit de autoriteiten.