De NIS-2-richtlijn (EU 2022/2555) is de Europese rechtsgrondslag die minimumnormen voor cyberbeveiliging vastlegt voor organisaties in kritieke sectoren. Zij vervangt de oorspronkelijke NIS-richtlijn uit 2016 en vergroot de reikwijdte, de meldplichten en de sanctiemogelijkheden aanzienlijk. Voor compliance officers en IT-beslissers in de overheid, de zorg, de rechtspraktijk en andere gereguleerde sectoren is begrip van de exacte NIS-2 compliance vereisten voor organisaties nu een operationele noodzaak, geen academische kwestie.
Welke organisaties vallen onder NIS-2 en wat zijn de drempelwaarden?
NIS-2 onderscheidt twee categorieën: essentiële entiteiten en belangrijke entiteiten. De indeling bepaalt de intensiteit van het toezicht en de hoogte van de maximale sancties.
De richtlijn hanteert kwantitatieve drempelwaarden als uitgangspunt. Een organisatie valt in beginsel onder NIS-2 als zij een middelgrote of grote onderneming is, dat wil zeggen minimaal 50 werknemers of een jaaromzet en balanstotaal van meer dan 10 miljoen euro. Hieronder vallen achttien sectoren, verdeeld over twee bijlagen bij de richtlijn.
| Categorie | Voorbeeldsectoren (bijlage I en II) | Toezichtsregime |
|---|---|---|
| Essentiële entiteiten | Energie, transport, bankwezen, drinkwater, gezondheidszorg, digitale infrastructuur, ruimtevaart | Proactief toezicht, regelmatige audits |
| Belangrijke entiteiten | Post- en koeriersdiensten, afvalbeheer, levensmiddelen, chemische sector, digitale aanbieders | Reactief toezicht, na incidenten of klachten |
Ongeacht de omvangsdrempel gelden voor bepaalde categorieën organisaties automatisch NIS-2-verplichtingen, zoals aanbieders van DNS-diensten, TLD-naamregisters, cloudcomputingdiensten en aanbieders van beheerde beveiligingsdiensten. Ook overheidsinstanties op centraal niveau vallen altijd onder de richtlijn.
In Nederland wordt NIS-2 geïmplementeerd via de Cyberbeveiligingswet. De Rijksinspectie Digitale Infrastructuur (RDI) treedt op als sectoroverstijgende toezichthouder, terwijl voor specifieke sectoren zoals energie en financiën de sectorale toezichthouders, respectievelijk ACM en DNB, een rol spelen.
Verplichte technische en organisatorische maatregelen
NIS-2 schrijft een risicogebaseerde aanpak voor: organisaties moeten passende en evenredige maatregelen nemen om netwerk- en informatiesystemen te beveiligen. Artikel 21 van de richtlijn geeft een niet-uitputtende opsomming van verplichte maatregelen.
Minimumvereisten op grond van artikel 21
Concreet omvat dit: een gedocumenteerd beleid voor risicoanalyse en informatiebeveiliging, procedures voor bedrijfscontinuïteit en crisisbeheer, beveiligingsmaatregelen voor de toeleveringsketen, procedures voor het verwerven en onderhouden van systemen inclusief beleid voor het omgaan met kwetsbaarheden, basismaatregelen voor cyberhygiëne (zoals multi-factorauthenticatie en encryptie), en een beleid voor de beveiliging van personeel inclusief toegangsbeheer.
Bijzonder aan NIS-2 ten opzichte van de vorige richtlijn is de expliciete aandacht voor ketenbeveiliging. Organisaties zijn niet alleen verantwoordelijk voor hun eigen systemen, maar ook verplicht de beveiligingspraktijken van directe leveranciers en dienstverleners te beoordelen en te documenteren. Een beveiligingsincident via een SaaS-leverancier of cloudprovider ontslaat de afnemende entiteit niet van aansprakelijkheid.
Meldplichten en termijnen bij beveiligingsincidenten
NIS-2 introduceert een drietrapsraket voor incidentmelding, met strakke termijnen die organisaties verplichten snel te handelen, ook als de volledige omvang van een incident nog niet bekend is.
| Stap | Termijn | Inhoud |
|---|---|---|
| Vroege waarschuwing | Binnen 24 uur na ontdekking | Signalering van het incident bij het bevoegde CSIRT of de toezichthouder; indicatie of kwaadwillige opzet vermoed wordt |
| Incidentmelding | Binnen 72 uur na ontdekking | Eerste beoordeling van ernst, impact en beschikbare indicatoren; update van de vroege waarschuwing |
| Eindrapport | Binnen 1 maand na incidentmelding | Gedetailleerde beschrijving van het incident, de oorzaak, de getroffen maatregelen en de grensoverschrijdende gevolgen |
In Nederland is het Nationaal Cyber Security Centrum (NCSC) aangewezen als centraal CSIRT voor rijksoverheid en vitale aanbieders. Organisaties die onder de Cyberbeveiligingswet vallen moeten hun melding richten aan het bevoegde sectorale CSIRT of aan de RDI, afhankelijk van de sector.
Relatie met ISO 27001 en GDPR
ISO/IEC 27001 en NIS-2 zijn complementair, maar niet inwisselbaar. ISO/IEC 27001:2022 biedt een gestructureerd managementsysteem voor informatiebeveiliging dat goed aansluit op de risicogebaseerde aanpak die NIS-2 voorschrijft. Een gecertificeerde organisatie beschikt doorgaans al over gedocumenteerde risicoanalyses, interne audits en een beleid voor incidentbeheer, wat de NIS-2-implementatie vergemakkelijkt.
Toch dekt ISO 27001-certificering de NIS-2-verplichtingen niet volledig af. De richtlijn stelt aanvullende eisen die buiten de scope van de norm vallen: de specifieke meldtermijnen aan overheidsinstanties, de verplichte bestuurdersaansprakelijkheid, de expliciete ketenbeoordelingsvereisten en de registratieplicht bij nationale autoriteiten zijn geen onderdeel van de ISO-certificering. Organisaties met een ISO 27001-certificaat zijn goed gepositioneerd, maar moeten de kloof naar volledige NIS-2-naleving bewust identificeren en dichten.
De verhouding met de GDPR is eveneens relevant. Beide regelgevingen overlappen in de verplichting passende technische en organisatorische maatregelen te treffen voor de bescherming van systemen en gegevens. Een beveiligingsincident onder NIS-2 kan gelijktijdig een datalek zijn in de zin van de GDPR, wat een dubbele meldplicht triggert: aan de toezichthouder onder NIS-2 én aan de Autoriteit Persoonsgegevens binnen 72 uur. Organisaties doen er goed aan deze processen procedureel op elkaar af te stemmen om dubbele rapportagelasten te beheersen.
Boetes en bestuursrechtelijke sancties
NIS-2 harmoniseert het sanctieregime Europees, met duidelijke minimumgrenzen voor de maximale boetes die lidstaten moeten kunnen opleggen.
Voor essentiële entiteiten geldt een maximale bestuurlijke boete van 10 miljoen euro of 2% van de totale wereldwijde jaaromzet, afhankelijk van welk bedrag hoger is. Voor belangrijke entiteiten ligt de grens op 7 miljoen euro of 1,4% van de wereldwijde jaaromzet.
Naast financiële sancties voorziet de richtlijn in aanvullende handhavingsmaatregelen: tijdelijke schorsing van een certificering of vergunning, een tijdelijk verbod voor bestuurders om leidinggevende functies te vervullen, en het openbaar bekendmaken van niet-naleving. Dat laatste instrument, de zogenaamde naming-and-shaming, heeft in gereguleerde sectoren aanzienlijke reputatiegevolgen.
ENISA stelt hierover: “NIS-2 introduces a much stricter supervisory regime and shifts liability directly onto management bodies. It is no longer acceptable for boards to delegate cybersecurity entirely to IT departments.”
De RDI benadrukt in haar informatieblad over de Cyberbeveiligingswet: “De Cyberbeveiligingswet legt een directe verantwoordelijkheid bij het bestuur van organisaties. Bestuurders kunnen persoonlijk aansprakelijk worden gesteld als aantoonbaar onvoldoende maatregelen zijn getroffen.”
De combinatie van financiële sancties, reputatieschade en persoonlijke bestuurdersaansprakelijkheid maakt NIS-2 tot een instrument met tanden. Organisaties die wachten op een incident voordat zij actie ondernemen, lopen een veelvoud aan risico in vergelijking met een gecontroleerde complianceaanpak.
Praktische stappen naar NIS-2-naleving
Compliance begint met een heldere scoping: bepaal op basis van sector, omvang en functie of uw organisatie kwalificeert als essentiële of belangrijke entiteit. Voer vervolgens een gapanalyse uit ten opzichte van de tien maatregelcategorieën van artikel 21. Organisaties met een bestaande ISO 27001-certificering kunnen deze analyse stroomlijnen door de bekende structuur van het informatiebeheersysteem als startpunt te nemen en de NIS-2-specifieke lacunes systematisch in kaart te brengen.
Registreer uw organisatie bij de RDI of het relevante sectorale bevoegde gezag. Stel interne meldprocedures in die de 24-uurs- en 72-uurtermijnen operationeel afdwingbaar maken, ook buiten kantooruren. Breng de leveranciersketen in kaart en leg vast welke risicobeoordelingen zijn uitgevoerd voor kritieke toeleveranciers, inclusief cloudproviders en beheerde dienstverleners. Zorg ten slotte dat het bestuur aantoonbaar betrokken is bij de goedkeuring van het cybersecuritybeleid en de uitkomsten van risicoanalyses.
FAQ: veelgestelde vragen over NIS-2 compliance
Moet mijn organisatie zich actief aanmelden als NIS-2-entiteit?
Ja. De Cyberbeveiligingswet verplicht organisaties die onder NIS-2 vallen zich te registreren bij de bevoegde nationale autoriteit. In Nederland is dat in de meeste sectoren de Rijksinspectie Digitale Infrastructuur (RDI). Registratie is niet optioneel; het uitblijven ervan kan worden beschouwd als niet-naleving.
Vallen zorgorganisaties en ziekenhuizen ook onder NIS-2?
Ja. De gezondheidszorgsector is expliciet opgenomen in bijlage I van de NIS-2-richtlijn als essentiële sector. Ziekenhuizen en aanbieders van kritieke zorgdiensten worden geclassificeerd als essentiële entiteiten en vallen daarmee onder het zwaarste toezichts- en sanctieregime.
Dekt ISO 27001-certificering automatisch de NIS-2-verplichtingen af?
Gedeeltelijk. ISO/IEC 27001 biedt een sterk fundament en overlapt aanzienlijk met de NIS-2-vereisten op het gebied van risicobeheersing en informatiebeveiligingsbeleid. NIS-2 stelt echter aanvullende eisen, zoals specifieke meldtermijnen, leveranciersketenbeheer en persoonlijke bestuurdersaansprakelijkheid, die niet volledig door de ISO-norm worden gedekt.
Wat gebeurt er als een leverancier in mijn keten niet NIS-2-compliant is?
NIS-2 vereist expliciet dat essentiële en belangrijke entiteiten de cybersecurityrisico’s in hun toeleveringsketen beoordelen en beheersen. Als een leverancier een zwak punt vormt dat leidt tot een incident, kan de afnemende organisatie alsnog aansprakelijk worden gesteld voor onvoldoende due diligence in de keten.
Geldt NIS-2 ook voor organisaties buiten de EU die diensten leveren aan Europese klanten?
Ja, onder bepaalde voorwaarden. Aanbieders van digitale diensten die buiten de EU gevestigd zijn maar diensten verlenen aan Europese organisaties in scope, moeten een vertegenwoordiger aanstellen binnen de EU en kunnen worden onderworpen aan het NIS-2-toezichtsregime van de lidstaat waar zij hun diensten aanbieden.
