De NIS-2-richtlijn (Richtlijn (EU) 2022/2555) verplicht EU-lidstaten hun nationale cyberbeveiligingswetgeving te moderniseren en essentiële alsmede belangrijke entiteiten te onderwerpen aan een uniform risicobeheer- en meldingskader. De omzettingstermijn verstreek op 17 oktober 2024, maar meer dan twintig van de zevenentwintig lidstaten hadden de richtlijn op dat moment nog niet volledig in nationale wetgeving verankerd, waaronder Nederland.
De inbreukprocedure: wat staat er juridisch op het spel?
Wanneer de Europese Commissie een inbreukprocedure start, volgt zij een vaste route: eerst een aanmaningsbrief, dan een met redenen omkleed advies, en ten slotte dagvaarding voor het Hof van Justitie van de EU. Pas als het Hof een inbreuk formeel vaststelt en de lidstaat vervolgens nog steeds in gebreke blijft, kan de Commissie om financiële sancties verzoeken.
Voor Nederland en de andere betrokken lidstaten betekent dit dat de procedure op zichzelf geen directe geldboete oplevert, maar wel politieke druk en reputatierisico creëert. Belangrijker voor organisaties is de afgeleide rechtsonzekerheid: zolang de nationale implementatiewet ontbreekt of onvolledig is, bestaat er geen helder nationaal handhavingskader.
“Member States that have not yet transposed the NIS2 Directive must do so without delay. The Commission will use all tools at its disposal to ensure timely and correct implementation.” (Europese Commissie, persbericht inbreukprocedures NIS-2, 2024)
De Cyberbeveiligingswet en de positie van de RDI
In Nederland is de Cyberbeveiligingswet (Cbw) de voorziene nationale omzettingswet voor NIS-2. Zolang de Cbw nog niet volledig in werking is getreden, mist de Rijksdienst voor Digitale Infrastructuur (RDI) een deel van de formele wettelijke grondslag voor haar toezichthoudende bevoegdheden.
De RDI is aangewezen als sectoroverstijgende toezichthouder en werkt samen met sectorale toezichthouders zoals de Autoriteit Persoonsgegevens, de Nederlandse Zorgautoriteit en de Autoriteit Financiële Markten. In haar eigen communicatie geeft de RDI aan zich voor te bereiden op die taken:
“De RDI bereidt zich voor op de toezichthoudende taken die voortvloeien uit de Cyberbeveiligingswet en werkt daartoe nauw samen met sectorale toezichthouders.” (RDI, officiële website, 2024)
Dit heeft een praktisch gevolg: de RDI kan op dit moment nog geen volwaardige handhavingsbeschikkingen uitvaardigen op grond van NIS-2, omdat de wettelijke delegatiebepalingen daarvoor in de Cbw staan. Onderzoeken en inspecties op basis van bestaande wetgeving zijn wel mogelijk, maar de volledige sanctiebevoegdheid is nog niet geactiveerd.
Directe werking van de NIS-2-richtlijn: wat kunnen organisaties verwachten?
Een veelgestelde vraag bij compliance officers is of NIS-2 al rechtstreeks afdwingbaar is, ook zonder nationale omzettingswet. Het antwoord is genuanceerd.
Richtlijnen hebben in principe geen horizontale directe werking, dat wil zeggen: een private partij kan een andere private partij niet rechtstreeks aanspreken op basis van NIS-2. Verticale directe werking, waarbij een particulier zich tegenover de overheid op de richtlijn beroept, is theoretisch mogelijk als de bepalingen onvoorwaardelijk en voldoende nauwkeurig zijn. In de praktijk is dit voor toezichts- en handhavingsvragen echter weinig relevant: toezichthouders kunnen geen bevoegdheden uitoefenen die zij wettelijk nog niet hebben gekregen.
Wat de richtlijn wel doet, is een referentienorm stellen. Rechters en toezichthouders kunnen bij de beoordeling van zorgplichten terugvallen op de inhoud van NIS-2, ook bij gebreke van volledige nationale implementatie. Dit is met name relevant voor aansprakelijkheidsvragen na een incident.
| Scenario | Gevolg voor organisatie | Relevante norm |
|---|---|---|
| Lidstaat heeft NIS-2 volledig omgezet | Nationale wet is afdwingbaar; toezichthouder heeft volledige bevoegdheden | Nationale implementatiewet + NIS-2 |
| Lidstaat in inbreukprocedure (zoals Nederland) | Handhavingsvacuüm; NIS-2 als referentienorm; beperkte toezichtbevoegdheden RDI | NIS-2 richtlijn + bestaande nationale wetgeving |
| Organisatie actief in meerdere lidstaten | Inconsistente handhavingsrisico’s per jurisdictie; hoogste implementatieniveau als veilige haven | NIS-2 + implementatiewetten per lidstaat |
Grensoverschrijdende organisaties: omgaan met inconsistente implementatiestatus
Voor compliance officers van organisaties die in meerdere EU-lidstaten actief zijn, is de huidige situatie bijzonder complex. Landen als België, Duitsland en Kroatië hebben NIS-2 al grotendeels omgezet, terwijl andere lidstaten nog ver achteroplopen. Dit leidt tot een patchwork van handhavingsrisico’s.
De meest pragmatische aanpak is het vaststellen van een basisniveau dat overeenkomt met de strengste nationale implementatie binnen de portefeuille, aangevuld met een lidstaat-specifieke delta-analyse. Een gecentraliseerd incidentregistratiesysteem, waarbij meldtermijnen per jurisdictie worden bijgehouden, voorkomt dat een incident in één land automatisch tot handhavingsrisico in een ander land leidt.
Volgens het ENISA NIS360-rapport uit 2024 heeft een meerderheid van de ondervraagde organisaties in de EU nog significante hiaten in hun NIS-2-compliance, met name op het gebied van toeleveringsketens en incidentrespons. Dit rapport biedt compliance officers een bruikbaar benchmarkinstrument per sector.
Concrete stappen die organisaties nu al kunnen zetten
De vertraagde nationale implementatie ontslaat organisaties niet van de verantwoordelijkheid aantoonbaar werk te maken van cyberbeveiligingsbeleid. Sterker nog: bij een incident beoordelen rechters en toezichthouders of een organisatie redelijkerwijs heeft gehandeld naar de stand van de techniek en de beschikbare normen, waarbij NIS-2 als maatstaf geldt.
De volgende concrete maatregelen zijn direct toepasbaar, ongeacht de implementatiestatus van de nationale wet:
- Scope-analyse: Bepaal formeel of uw organisatie onder de categorie essentiële of belangrijke entiteit valt op grond van de criteria in artikel 3 van NIS-2 (omvang, sector, maatschappelijke impact).
- Risicobeoordeling: Voer een gedocumenteerde risicoanalyse uit conform artikel 21 van NIS-2, inclusief toeleveringsketen en cloudafhankelijkheden.
- Incidentresponsplan: Stel een intern meldprotocol op dat aansluit op de NIS-2-termijnen: vroegtijdige melding binnen 24 uur, volledige melding binnen 72 uur, eindrapportage binnen een maand.
- Bestuursverantwoordelijkheid: Leg schriftelijk vast dat het bestuur is geïnformeerd over de NIS-2-verplichtingen en welke maatregelen zijn genomen, conform artikel 20 van de richtlijn.
- Technische beveiliging: Implementeer multifactorauthenticatie, encryptie van data in rust en transit, en een patchmanagementproces met aantoonbare doorlooptijden.
De maximale boete voor essentiële entiteiten bedraagt onder NIS-2 tot 10 miljoen euro of 2 procent van de wereldwijde jaaromzet, afhankelijk van welk bedrag hoger is (artikel 34, Richtlijn (EU) 2022/2555). Voor belangrijke entiteiten geldt een maximum van 7 miljoen euro of 1,4 procent van de omzet. Deze bedragen gelden zodra de nationale toezichthouder volledige bevoegdheden heeft.
Het NIS2-amendement van januari 2026 en de lopende inbreukprocedures
Op 20 januari 2026 is een NIS2-amendement voorgesteld dat beoogt de scope en meldingsdrempels op een aantal punten te verduidelijken. Het gaat onder meer om aanpassingen voor bepaalde entiteitscategorieën in de energie- en digitale infrastructuursector en om precisering van de criteria voor de aanwijzing van essentiële entiteiten.
Voor de lopende inbreukprocedures verandert dit amendement op korte termijn niets. De Europese Commissie verwacht van lidstaten dat zij de oorspronkelijke richtlijn alsnog volledig omzetten. Het amendement voegt daar daarna een extra omzettingsverplichting aan toe, met een eigen implementatietermijn. Lidstaten die de oorspronkelijke richtlijn al niet op tijd hebben omgezet, lopen daarmee het risico op een dubbele implementatieachterstand.
Voor organisaties betekent dit dat het verstandig is de eigen scope-analyse toekomstbestendig op te zetten: het amendement kan ertoe leiden dat entiteiten die nu buiten de NIS-2-scope vallen, er straks wel onder vallen. Een flexibele compliance-architectuur die op wijzigingen kan worden bijgesteld, is daarmee geen luxe maar een noodzaak.
Samenhang met GDPR, NIS-2 en datasouvereiniteit
NIS-2 en de AVG (GDPR) overlappen op het punt van incidentmelding en technische beveiligingsmaatregelen. Beide kaders eisen een risicogebaseerde aanpak en documentatieverplichtingen. Een NIS-2-incidentmelding bij de RDI sluit niet de meldplicht bij de Autoriteit Persoonsgegevens uit als er ook persoonsgegevens zijn betrokken.
Organisaties die hun data in Amerikaanse clouddiensten hosten, lopen bovendien het risico dat die data valt onder de jurisdictie van de US CLOUD Act of de Patriot Act, ongeacht de fysieke serverlocatie. Dit raakt direct aan het NIS-2-vereiste voor beveiliging van de toeleveringsketen en aan de GDPR-verplichting inzake rechtmatige doorgifte van persoonsgegevens. De keuze voor Europese of on-premise opslag, waaronder Zwitserse jurisdicties buiten EU-complianceplicht, is dan ook een technisch en juridisch beveiligingsvraagstuk tegelijk.
Veelgestelde vragen (FAQ)
Kan de Europese Commissie Nederland direct beboeten via de inbreukprocedure?
Niet onmiddellijk. De Commissie daagt Nederland voor het Hof van Justitie van de EU. Pas als het Hof een inbreuk vaststelt en Nederland daarna nog in gebreke blijft, kan een financiële sanctie worden opgelegd. Het primaire doel is snelle omzetting, niet inning van boetes bij organisaties.
Heeft NIS-2 directe werking voor Nederlandse organisaties zolang de Cbw nog niet volledig geldt?
Richtlijnen hebben in beginsel geen horizontale directe werking tussen private partijen. Wel kunnen overheidsorganen geconfronteerd worden met verticale directe werking. In de praktijk geldt NIS-2 als referentienorm bij de beoordeling van zorgplichten, ook zonder volledige nationale omzetting.
Wat verandert er voor organisaties als het NIS2-amendement van 20 januari 2026 wordt aangenomen?
Het amendement beoogt verduidelijking van de scope voor bepaalde entiteitscategorieën en aanpassingen in meldingsdrempels. Voor lopende inbreukprocedures biedt het geen uitstel: lidstaten moeten de oorspronkelijke richtlijn alsnog omzetten, waarna het amendement als aparte verplichting bovenop komt.
Hoe kunnen organisaties die in meerdere EU-lidstaten actief zijn de inconsistente implementatiestatus beheersen?
Door een basisniveau te hanteren dat overeenkomt met de meest vergaande nationale implementatie binnen de portefeuille, aangevuld met een lidstaat-specifieke delta-analyse. Een gecentraliseerd risico- en incidentregistratiesysteem vermindert de kans op gelijktijdige handhavingsrisico’s in meerdere jurisdicties.
Wat is de rol van ENISA NIS360 voor compliance officers?
ENISA NIS360 is een jaarlijkse volwassenheidsanalyse van de NIS-implementatie in de EU. De editie van 2024 geeft compliance officers een benchmarkinstrument om de eigen beveiligingsvolwassenheid te vergelijken met het Europese gemiddelde per sector en identificeert de meest voorkomende nalevingshiaten.
