Het NIS-2 amendement, gepresenteerd op 20 januari 2026 als onderdeel van het bredere Cybersecurity Package van de Europese Commissie, herziet de reikwijdte en nalevingsvereisten van de Network and Information Security-richtlijn. Het voorstel (COM(2026)) introduceert gerichte vereenvoudigingen die de verhouding herstellen tussen de administratieve last en het werkelijke risicoprofiel van een organisatie, zonder de kerndoelstelling van verhoogde EU-brede cyberweerbaarheid los te laten.
Context: waarom een amendement zo snel na de richtlijn?
NIS-2 is breed van opzet: ENISA schat dat de richtlijn EU-breed circa 160.000 entiteiten raakt, verspreid over meer dan 18 sectoren (ENISA, NIS2 Implementation Report, 2024). In de praktijk bleek bij de nationale implementaties dat een aanzienlijk deel van die entiteiten bestaat uit kleine organisaties waarvoor de nalevingskosten disproportioneel zijn ten opzichte van het risico dat zij voor de samenleving vertegenwoordigen. Nederland implementeerde de richtlijn via de Cyberbeveiligingswet (Cbw), die op 12 november 2024 in werking trad. De scopebepalingen in artikel 1 tot en met 5 van die wet (Cbw art. 1-5) definiëren welke entiteiten als essentieel of als belangrijk worden geclassificeerd.
Parallel hieraan publiceerde de Commissie de Digital Omnibus Regulation (COM(2025) 837), een horizontale vereenvoudigingsverordening die snijdt in de administratieve vereisten van meerdere digitale wetgevingsinstrumenten tegelijk. Het januari 2026-pakket bundelt beide initiatieven en schept daarmee een gecombineerde nalevingsagenda voor compliance officers.
Wat verandert er in de scopedefinities?
Het amendement verfijnt de drempelcriteria die bepalen of een organisatie binnen of buiten de NIS-2 reikwijdte valt. De kern van de wijziging is tweeledig: ten eerste worden de omvangscriteria (personeelsomvang, jaaromzet en balanstotaal) strenger gehanteerd voor sectoren zonder aantoonbare ketenkritikaliteit; ten tweede introduceert het voorstel een expliciete uitzonderingsgrond voor micro-ondernemingen en kleine ondernemingen die geen directe toeleveringsfunctie vervullen voor essentiële infrastructuur.
De Europese Commissie raamt dat circa 6.200 micro- en kleinbedrijven door deze herschreven drempelcriteria buiten de reikwijdte komen te vallen (Europese Commissie, toelichting COM(2026) voorstel, 20 januari 2026). Tegelijkertijd worden sommige organisaties die eerder op grond van omvang werden uitgesloten, nu toch als essentieel aangemerkt als zij een kritieke positie in een toeleveringsketen of in regionale infrastructuur innemen. Het gaat dan bijvoorbeeld om kleine datacenters, nicheproviders van managed security services of gespecialiseerde telecomoperatoren.
| Situatie | Vóór amendement | Na amendement (voorstel) |
|---|---|---|
| Micro-onderneming, geen ketenfunctie | Mogelijk in scope via sectorale aanwijzing | Expliciet uitgesloten tenzij kritieke infrastructuurfunctie |
| Klein bedrijf, directe toeleverancier essentiële entiteit | Grijs gebied, afhankelijk van nationale uitwerking | Alsnog in scope via ketenkritikaliteitscriterium |
| Middelgrote organisatie in aangewezen sector | In scope | In scope, geen wijziging |
| Kleine managed security serviceprovider | Soms uitgesloten op basis van omvang | In scope op basis van dienstenprofiel |
Administratieve ontlasting voor micro- en kleinbedrijven
Voor de 6.200 organisaties die door het amendement buiten scope vallen, verdwijnen de meest arbeidsintensieve verplichtingen: de registratieplicht bij de nationale toezichthouder, de periodieke risicobeoordelingsrapportage en de verplichte melding van beveiligingsincidenten aan het Computer Security Incident Response Team (CSIRT). Dit zijn verplichtingen die voor een organisatie met tien tot vijftig medewerkers gemakkelijk meerdere FTE-weken per jaar kunnen kosten.
De Europese Commissie formuleert dit als volgt in de toelichting bij het Cybersecurity Package: “De vereenvoudigingsmaatregelen in het Cybersecurity Package moeten ervoor zorgen dat de administratieve lasten voor kleine entiteiten in verhouding staan tot hun daadwerkelijke risicoprofiel, zonder de weerbaarheid van de gehele keten te ondermijnen.” De ontlasting is dus bewust begrensd: wie buiten scope valt maar als toeleverancier van een essentiële entiteit functioneert, blijft via contractuele en ketenverplichtingen onderworpen aan vergelijkbare eisen.
Compliance officers in de mkb-sfeer doen er verstandig aan de drempelanalyse niet als eenmalige exercitie te behandelen. Het ketenkritikaliteitscriterium is dynamisch: een nieuwe klant of een uitbreiding van diensten kan een organisatie alsnog binnen scope brengen, ook nadat het amendement is omgezet in nationale wetgeving.
De relatie met de Digital Omnibus Regulation
De Digital Omnibus Regulation (COM(2025) 837) functioneert als horizontale snoeischaar door meerdere EU-digitaliseringswetten tegelijk. Voor NIS-2 zijn twee wijzigingen bijzonder relevant voor de dagelijkse nalevingspraktijk.
Ten eerste harmoniseert de Digital Omnibus de definitie van een “significant incident” en de bijbehorende drempelwaarden. Tot nu toe konden lidstaten deze drempels nationaal invullen, wat leidde tot divergerende rapportageverplichtingen voor grensoverschrijdend actieve organisaties. Een incidentmelding die in Nederland verplicht was, kon onder dezelfde feiten in Duitsland onder de drempel blijven, of omgekeerd. De Digital Omnibus dringt dit verschil terug door Europees uniforme minimumdrempels vast te stellen.
Ten tweede verkort de Digital Omnibus de initiële meldtermijn voor grote incidenten van 24 uur naar een gestandaardiseerd Early Warning-format, terwijl de aanvullende termijnen voor gedetailleerde rapportage worden verlengd. Dat lijkt paradoxaal, maar de opzet is praktisch: een korte eerste melding met beperkte informatie, gevolgd door een uitgebreider rapport met meer tijd voor analyse. ENISA heeft hierover in haar NIS2 Implementation Guidance gesteld: “Harmonisatie van incidentrapportagedrempels is cruciaal om te voorkomen dat organisaties geconfronteerd worden met tegenstrijdige nationale vereisten binnen de interne markt.”
Wat moeten organisaties concreet aanpassen?
Voor organisaties die reeds een NIS-2 nalevingsprogramma hebben opgezet, zijn de aanpassingen concreet en tijdgebonden. De volgorde van handelen is bepalend voor de efficiëntie van de aanpassing.
Scopehertoetsing op basis van nieuwe drempelcriteria
Voer een hernieuwd drempelonderzoek uit zodra de definitieve amendementstekst beschikbaar is. Betrek daarin niet alleen de eigen organisatie, maar ook de rol in toeleveringsketens aan essentiële entiteiten. Gebruik de categorieën uit artikel 1 tot en met 5 van de Cyberbeveiligingswet als referentie voor de huidige Nederlandse stand, en leg vast hoe de verwachte Europese wijziging zich daartoe verhoudt.
Rapportageprocessen stroomlijnen
Pas de interne incidentresponseprocedures aan op de geharmoniseerde terminologie en drempels van de Digital Omnibus. Maak een duidelijk onderscheid tussen de initiële Early Warning-melding en de volledige incidentrapportage, inclusief verantwoordelijke functionarissen en tijdregistratie per stap. Organisations die SIEM-tooling of een SOC gebruiken, kunnen de drempelparameters voor automatische escalatie herinrichten op basis van de Europese minimumdrempels zodra die definitief vaststaan.
Ketenverplichtingen documenteren
Organisaties die zelf buiten scope vallen maar als toeleverancier opereren, lopen het risico dat zij in hun contracten met essentiële entiteiten alsnog NIS-2-equivalente maatregelen moeten aantonen. Inventariseer alle bestaande verwerkersovereenkomsten en leverancierscontracten op clausules die cyberbeveiligingsnormen opleggen, en koppel die aan uw risicoregister.
Interne governance actualiseren
Bestuurders van essentiële entiteiten zijn persoonlijk aansprakelijk voor de naleving van NIS-2-verplichtingen. Het amendement wijzigt die aansprakelijkheidsstructuur niet, maar de verschuiving in scopedefinities kan betekenen dat nieuwe bestuursleden nu voor het eerst onder dit regime vallen. Zorg dat het opleidingsprogramma voor bestuurders is bijgewerkt vóór de nationale omzettingsdatum.
Gevolgen voor de Cyberbeveiligingswet in Nederland
De Cyberbeveiligingswet (Cbw) is de Nederlandse vertaling van NIS-2. Artikel 1 tot en met 5 van de Cbw bevatten de scopebepalingen die bepalen wie als essentiële entiteit of als belangrijke entiteit wordt aangemerkt. Zolang de Cbw niet formeel is gewijzigd, gelden de huidige drempelcriteria onverminderd. De verwachting is dat het wetgevingstraject voor aanpassing van de Cbw pas start nadat de Europese amendementstekst definitief is vastgesteld door het Parlement en de Raad. Nederlandse organisaties opereren daarmee in een periode van parallelle verplichtingen: de huidige Cbw-eisen aan de ene kant, en de voorbereiding op de toekomstige gewijzigde eisen aan de andere kant.
Toezicht op de Cbw ligt bij het Nationaal Cyber Security Centrum (NCSC) en sectorale toezichthouders zoals de Autoriteit Persoonsgegevens en de Autoriteit Consument en Markt, afhankelijk van de sector. Het is raadzaam om bij twijfel over de eigen kwalificatie proactief contact op te nemen met de relevante sectorale toezichthouder, in plaats van te wachten tot de nationale omzetting van het amendement is voltooid.
FAQ: NIS-2 amendement en vereenvoudiging
Geldt het NIS-2 amendement van 20 januari 2026 automatisch in Nederland?
Nee. Het betreft een voorstel van de Europese Commissie dat nog door het Europees Parlement en de Raad moet worden aangenomen. Daarna volgt een implementatietermijn. De bestaande Cyberbeveiligingswet (Cbw) blijft van kracht totdat de nationale wetgeving is aangepast aan de gewijzigde richtlijn.
Welke organisaties vallen door het amendement buiten scope?
Micro-ondernemingen en kleine ondernemingen zonder directe ketenfunctie voor essentiële infrastructuur worden expliciet uitgesloten. Tegelijkertijd kunnen kleine aanbieders van kritieke digitale diensten, zoals bepaalde managed security serviceproviders, alsnog in scope komen op basis van het ketenkritikaliteitscriterium.
Wat verandert er concreet voor incidentrapportage door de Digital Omnibus Regulation?
De Digital Omnibus Regulation (COM(2025) 837) harmoniseert de definitie van “significant incident” en de bijbehorende meldtermijnen. Een korte Early Warning-melding binnen een gestandaardiseerde termijn wordt gevolgd door een uitgebreider rapport met ruimere analysetermijn. Dit vervangt de huidige divergerende nationale invullingen.
Moet mijn organisatie haar risicoregistratie aanpassen als zij buiten scope valt?
Zelfs als u formeel buiten de NIS-2 reikwijdte valt, kunnen contractuele verplichtingen of keteneisen van essentiële entiteiten vergelijkbare maatregelen vereisen. Controleer uw verwerkersovereenkomsten en toeleveringscontracten voordat u nalevingsactiviteiten afbouwt.
Wat zijn de scopebepalingen in de Cyberbeveiligingswet en veranderen die door het amendement?
Artikel 1 tot en met 5 van de Cyberbeveiligingswet (Cbw art. 1-5) bepalen welke entiteiten als essentieel of belangrijk worden aangemerkt. Zolang de Cbw niet is gewijzigd na nationale omzetting van het amendement, gelden deze definities ongewijzigd voor Nederlandse organisaties.
