Het NIS-2 amendementspakket van 20 januari 2026 is een gerichte herziening van de NIS-2 Directive (2022/2555), de EU-brede richtlijn die essentiële en belangrijke entiteiten verplicht tot risicobeheersing en incidentmelding op het gebied van netwerk- en informatiebeveiliging. Voor organisaties in de overheid, juridische sector en andere gereguleerde sectoren die al een NIS-2-complianceprogramma hebben ingericht, is dit pakket geen cosmetische aanpassing, maar een inhoudelijke herschrijving van meerdere kernartikelen.
Wat verandert er concreet voor al-compliante organisaties?
Organisaties die hun NIS-2-complianceprogramma al hebben ingericht op basis van de oorspronkelijke richtlijn en de Nederlandse Cyberbeveiligingswet (Cbw), moeten na 20 januari 2026 meerdere onderdelen opnieuw beoordelen. Het amendement raakt niet alleen de randvoorwaarden, maar wijzigt ook de materiële verplichtingen op het gebied van jurisdictie, meldplicht en technische beveiligingsmaatregelen.
Concreet betekent dit dat u de volgende elementen opnieuw moet toetsen: de jurisdictiebeoordeling voor grensoverschrijdende activiteiten, de volledigheid van uw leveranciersregister (met name voor DNS-diensten), de technische implementatieparameters onder artikel 21, en de interne procedures voor ransomware-incidentrapportage. Een periodieke herbeoordeling was al een verplichting, maar het amendement geeft die herbeoordeling nu een specifieke inhoudelijke agenda.
Vereenvoudigde jurisdictieregels en de nieuwe rol van ENISA
Het amendement brengt voor grensoverschrijdende entiteiten een duidelijker aanknopingspunt voor toezicht. Onder de oorspronkelijke NIS-2 tekst was de bevoegde autoriteit afhankelijk van waar de hoofdvestiging zich bevond, maar in de praktijk leidde dit tot interpretatieproblemen bij organisaties met meerdere operationele kernen in verschillende lidstaten.
Het herziene kader kent ENISA een actievere coördinerende rol toe bij toezicht op entiteiten die in meer dan twee lidstaten actief zijn als essentiële entiteit. ENISA fungeert daarbij niet als primaire toezichthouder, maar als aanspreekpunt en facilitator voor de NIS Cooperation Group, het interinstitutionele orgaan dat nationale toezichthouders samenbrengt. De NIS Cooperation Group heeft in werkdocumenten benadrukt dat deze coördinatiefunctie essentieel is om regulatory arbitrage te voorkomen, waarbij organisaties bewust kiezen voor de lidstaat met de lichtste handhaving als vestigingsland.
Praktisch gevolg: als uw organisatie vestigingen heeft in Nederland, België en Duitsland en als essentiële entiteit is aangemerkt, krijgt u te maken met een gecoördineerd toezichtproces waarbij de Nederlandse toezichthouder (onder de Cbw) de lead heeft, maar ENISA informatie opvraagt en uitwisselt met de andere nationale autoriteiten. Dit vereist dat uw compliancedocumentatie beschikbaar is in een formaat dat door meerdere autoriteiten kan worden gelezen en beoordeeld.
Gestroomlijnde ransomware-meldplicht
Ransomware was in 2023 verantwoordelijk voor meer dan 34 procent van alle cyberincidenten gericht op Europese essentiële en belangrijke entiteiten (ENISA Threat Landscape 2023). Het amendement reageert hierop door de wijze waarop gegevens over ransomware-aanvallen worden verzameld en gedeeld te standaardiseren.
Tot nu toe hanteerden lidstaten eigen rapportageformats en interpreteerden zij de 24-uurstermijn voor eerste melding en de 72-uurstermijn voor de initiële notificatie op uiteenlopende manieren. Het amendement verplicht tot gebruik van gestandaardiseerde EU-brede formulieren voor ransomware-incidenten en specificeert welke gegevens verplicht zijn in elke meldingsfase. Dit omvat onder meer: de initiële detectietijd, de gehanteerde aanvalsvector, de getroffen systemen en de genomen isolatiemaatregelen.
Voor uw interne meldprocedure betekent dit dat u de interne workflow moet afstemmen op de nieuwe verplichte velden. Een procedure die was ingericht op de nationale Cbw-implementatie van 2024 is na het amendement niet zonder meer toereikend. Leg de nieuwe EU-vereisten naast uw huidige incidentresponseplaybook en identificeer de lacunes.
Micro- en kleine DNS-aanbieders: scope-uitsluiting en gevolgen voor afnemers
Het amendement verwijdert micro-ondernemingen en kleine ondernemingen die DNS-resolutiediensten aanbieden uit de scope van de NIS-2 Directive (2022/2555). De reden is praktisch van aard: de toezichthouders in diverse lidstaten signaleerden dat de compliancelasten voor kleine DNS-aanbieders disproportioneel waren ten opzichte van hun marktaandeel en het risico dat zij representeren. ENISA heeft in zijn overlegprocessen aanbevolen de scope te richten op aanbieders met een materieel systeemrelevant karakter.
Voor organisaties die gebruikmaken van een dergelijke kleine DNS-aanbieder heeft deze scope-uitsluiting een directe consequentie: u kunt niet meer steunen op de NIS-2-compliance van uw aanbieder als onderdeel van uw eigen ketenrisicobeheersing. Artikel 21 van de richtlijn verplicht essentiële en belangrijke entiteiten tot het beheersen van risico’s in de toeleveringsketen. Als uw DNS-aanbieder buiten de scope valt, moet u aanvullende maatregelen treffen, zoals contractuele beveiligingsvereisten, het opvragen van onafhankelijke auditrapportages of het inrichten van redundante DNS-oplossingen bij een aanbieder die wel binnen de scope valt.
| Situatie | Voor amendement | Na amendement (20 jan. 2026) |
|---|---|---|
| Kleine DNS-aanbieder in uw keten | Valt onder NIS-2-scope, compliance aantoonbaar | Valt buiten scope, aanvullende waarborgen vereist |
| Grote DNS-aanbieder in uw keten | Valt onder NIS-2-scope | Blijft onder scope, geen wijziging |
| Eigen DNS-infrastructuur | Interne beheersing vereist | Interne beheersing vereist, geen wijziging |
Onderzeese kabelinfrastructuur: uitbreiding van de scope
Het amendementspakket breidt de NIS-2-scope expliciet uit naar onderzeese kabelinfrastructuur die wordt gebruikt voor elektronische communicatie. Dit is een directe reactie op geconstateerde kwetsbaarheden in Europese connectiviteit, met name na incidenten waarbij onderzeese kabels in de Baltische Zee werden beschadigd in 2023 en 2024.
Organisaties die operationeel afhankelijk zijn van datacenterlocaties die via onderzeese kabels zijn verbonden met het Europese continent, moeten nagaan of hun kabeloperator als essentiële entiteit wordt aangemerkt. Als dat het geval is, zijn ook de risicobeheersingsverplichtingen in de keten uitgebreider. Concreet betekent dit het in kaart brengen van uw connectiviteitsroutes, het identificeren van single points of failure en het documenteren van alternatieve verbindingspaden als onderdeel van uw bedrijfscontinuïteitsplan.
Voor organisaties in de overheid of juridische sector met offshore operaties, zoals verbindingen met eilandgebieden of buitenlandse vestigingen via onderzeese kabels, is dit een nieuw risicodomein dat in de bestaande risicoanalyse moet worden opgenomen.
Maximumharmonisatie onder artikel 21(5): gevolgen voor multinationale compliance
Artikel 21 van de NIS-2 Directive (2022/2555) verplicht entiteiten tot het nemen van passende en evenredige technische en organisatorische maatregelen. Het amendement introduceert onder artikel 21(5) het principe van maximumharmonisatie voor de technische implementatienormen die de Europese Commissie via gedelegeerde handelingen vaststelt.
Maximumharmonisatie houdt in dat lidstaten de technische normen niet strenger mogen maken dan de EU-standaard. Dit is een wezenlijke verandering ten opzichte van de minimumharmonisatie die de NIS-2 Directive (2022/2555) tot nu toe hanteerde. Lidstaten konden eerder strengere nationale eisen opleggen bovenop de Europese minimumvereisten, wat voor organisaties actief in meerdere lidstaten leidde tot overlappende en soms tegenstrijdige eisen.
Juhan Lepassaar, uitvoerend directeur van ENISA, stelde eerder: “De NIS-2-richtlijn vertegenwoordigt een fundamentele verschuiving in de manier waarop de EU omgaat met cyberbeveiliging: van een gefragmenteerde nationale aanpak naar een gemeenschappelijk hoog veiligheidsniveau voor netwerk- en informatiesystemen.” Het amendement geeft aan deze ambitie uitvoering door op het meest technische niveau de speelruimte voor nationale afwijkingen te beperken.
De NIS Cooperation Group benadrukte in een werkdocument uit 2024 dat organisaties de NIS-2-wijzigingen niet mogen zien als een administratieve exercitie: “De aanpassingen in jurisdictieregels en meldplicht raken de kern van hoe u uw beveiligingsbeleid en incidentresponse inricht.”
Praktisch betekent maximumharmonisatie onder artikel 21(5) voor een organisatie die in Nederland en Duitsland actief is: één set technische normen waaraan u in beide landen voldoet, zonder aanvullende nationale specificaties. Dit verlaagt de compliance-last bij grensoverschrijdende activiteiten, maar vereist wel dat u de gedelegeerde handelingen van de Europese Commissie nauwlettend volgt, want die bepalen uiteindelijk de exacte technische vereisten.
Prioriteiten voor uw herbeoordeling
Organisaties die al NIS-2-compliant zijn, staan voor een gerichte maar inhoudelijke herbeoordeling. De wijzigingen raken zowel de structuur van uw compliance-organisatie (jurisdictie, toezichthouderrelaties) als de inhoud van uw beveiligingsprogramma (technische normen, meldprocedures, leveranciersbeoordelingen). Een gefaseerde aanpak waarbij u eerst de jurisdictiebeoordeling en leveranciersregistratie bijwerkt, en vervolgens de meldprocedures en technische normen hertoetst, geeft structuur aan dit proces.
De Cyberbeveiligingswet (Cbw) zal worden aangepast om de wijzigingen in de NIS-2 Directive (2022/2555) te reflecteren. Volg de publicaties van het Nationaal Cyber Security Centrum (NCSC) en de relevante toezichthouder voor uw sector om de omzettingstermijnen en eventuele nationale uitvoeringsbesluiten tijdig te ondervangen.
Veelgestelde vragen
Moeten organisaties die al NIS-2-compliant zijn alles opnieuw doen na het amendementspakket van 20 januari 2026?
Niet alles, maar wel specifieke onderdelen. Organisaties moeten hun jurisdictiebeoordeling, de risicoanalyse voor leveranciers (inclusief DNS-aanbieders), de ransomware-meldprocedure en de technische beveiligingsmaatregelen onder artikel 21 opnieuw toetsen aan de nieuwe tekst.
Wat betekent maximumharmonisatie onder artikel 21(5) voor een organisatie die in Nederland en Duitsland actief is?
Maximumharmonisatie betekent dat lidstaten de technische implementatienormen niet strenger mogen maken dan de EU-norm voorschrijft. Organisaties hoeven dus niet meer te voldoen aan twee verschillende nationale uitwerkingen van dezelfde beveiligingsvereisten, wat de compliance-last bij grensoverschrijdende activiteiten verlaagt.
Welke gevolgen heeft de uitbreiding naar onderzeese kabelinfrastructuur voor een organisatie met een datacenter dat via zo’n kabel verbonden is?
Als uw connectiviteit afhankelijk is van als kritiek aangemerkte onderzeese kabels, valt u mogelijk onder uitgebreide risicobeheervereisten. U moet de keten van verbindingen in kaart brengen en nagaan of uw kabeloperator als essentiële entiteit is aangemerkt.
Hoe verandert de ransomware-meldplicht concreet onder het amendement?
Het amendement standaardiseert de rapportageformaten voor ransomware-incidenten EU-breed en verplicht organisaties tot gestructureerde gegevensdeling met de bevoegde autoriteit. Dit vervangt de huidige situatie waarin elke lidstaat eigen formulieren en termijnen hanteerde.
Valt mijn organisatie nog steeds onder NIS-2 als wij gebruikmaken van een kleine DNS-aanbieder die uit de scope is verwijderd?
Ja. De scope-uitzondering geldt voor de DNS-aanbieder zelf, niet voor uw organisatie. Wel betekent het dat u bij uw leveranciersbeoordeling minder kunt steunen op de NIS-2-compliance van die aanbieder en dat u aanvullende contractuele of technische waarborgen moet treffen.
