De NIS-2-vereenvoudiging 2026 is een gericht wetgevingsinitiatief van de Europese Commissie dat de reikwijdte, de toezichtsstructuur en de technische beveiligingsnormen van de NIS-2-richtlijn (Richtlijn 2022/2555/EU) bijstelt, zonder de kern van de cyberbeveiligingsverplichtingen af te zwakken. Voor compliance officers en IT-beslissers in gereguleerde sectoren zoals zorg, energie en overheid is het cruciaal te begrijpen welke organisaties uit scope vallen, hoe grensoverschrijdend toezicht wordt herverdeeld en wat de gevolgen zijn voor de Nederlandse Cyberbeveiligingswet.
Achtergrond: waarom een NIS-2-wijzigingsvoorstel al in 2026?
De Europese Commissie heeft in het kader van het bredere Digital Omnibus-pakket (COM(2025)360) een wijzigingsvoorstel ingediend onder de aanduiding COM(2026)13. De aanleiding is meervoudig: lidstaten implementeerden NIS-2 op sterk uiteenlopende wijze, de administratieve lasten voor kleinere entiteiten bleken disproportioneel, en grensoverschrijdende handhaving liep vast door onduidelijke jurisdictieregels. De Europese Commissie schat dat de oorspronkelijke NIS-2-richtlijn meer dan 160.000 entiteiten verplichtingen oplegt in de EU (Europese Commissie, NIS-2 Impact Assessment SWD(2020)345, 2020).
Dat getal weerspiegelt een bewuste beleidskeuze voor brede dekking, maar creëerde ook een handhavingsprobleem: nationale toezichthouders hebben onvoldoende capaciteit om al deze entiteiten effectief te controleren. Het wijzigingsvoorstel is daarmee geen versoepeling maar een herkalibrering.
Welke entiteiten vallen niet langer onder NIS-2?
De meest directe impact van het wijzigingsvoorstel zit in de aanpassing van artikel 3 NIS-2, dat de reikwijdte definieert. Micro-ondernemingen (minder dan 10 medewerkers en een jaaromzet onder 2 miljoen euro) die DNS-diensten aanbieden uitsluitend voor intern gebruik, worden expliciet uitgesloten. Hetzelfde geldt voor kleine aanbieders van bepaalde beheerde diensten die geen directe maatschappelijke afhankelijkheid creëren.
Concreet betekent dit dat een advocatenkantoor of accountantsfirma met een eigen interne DNS-resolver niet langer als DNS-aanbieder in de zin van NIS-2 wordt beschouwd. De richtlijn richtte zich oorspronkelijk op externe aanbieders van kritieke diensten, maar de formulering van artikel 3 leidde ertoe dat ook zuiver interne IT-functies in scope konden vallen. Die omissie wordt nu gerepareerd.
In Nederland waren eind 2024 naar schatting 4.500 tot 6.000 organisaties in scope van NIS-2, aldus een rapportage van het NCSC (Nationaal Cyber Security Centrum, jaarverslag 2024). Een deel van deze organisaties zal na de reikwijdtewijziging hun scope-analyse opnieuw moeten uitvoeren. Dat klinkt als administratieve last, maar het geeft ook de mogelijkheid om een foutieve zelfclassificatie te corrigeren voordat toezichthouders actief gaan handhaven.
Scoping-verduidelijking voor zorg, energie en chemie
Voor Nederlandse instellingen in de zorgsector, energiesector en chemische industrie is de scoping-verduidelijking van bijzonder belang. De herziene tekst van artikel 3 preciseert welke activiteiten binnen deze sectoren als ‘essentieel’ worden aangemerkt in de zin van bijlage I van de richtlijn, en welke activiteiten onder de lichtere categorie ‘important entity’ vallen.
Een ziekenhuis dat al een registratie als essentiële entiteit heeft ingediend bij de Rijksinspectie Digitale Infrastructuur (RDI), zal moeten controleren of de activiteiten die die registratie onderbouwen nog steeds voldoen aan de herziene criteria. Hetzelfde geldt voor chemiebedrijven die producten fabriceren die wel onder de Seveso-richtlijn vallen maar geen directe kritieke infrastructuurfunctie hebben. De afstemming tussen NIS-2-scope en sectorale wetgeving vraagt extra aandacht, omdat een te ruime zelfclassificatie leidt tot onnodige verplichtingen, terwijl een te smalle classificatie tot handhavingsrisico’s kan leiden.
| Sector | Situatie voor COM(2026)13 | Situatie na COM(2026)13 (voorstel) |
|---|---|---|
| Zorg (ziekenhuizen) | Automatisch essentieel boven drempelwaarden | Aanvullende activiteitentoets voor deelactiviteiten |
| Energie (netbeheerders) | Essentieel op basis van marktpositie | Ongewijzigd; precisering voor gedecentraliseerde opwekking |
| Chemie | Onduidelijk voor niet-Seveso-bedrijven | Expliciete uitzondering voor kleine fabrikanten zonder maatschappelijke afhankelijkheid |
| DNS-aanbieders (intern) | Potentieel in scope als ‘DNS service provider’ | Uitdrukkelijk uitgesloten van artikel 3 |
Grensoverschrijdende jurisdictie: één leidende toezichthouder
Een van de structurele knelpunten onder de huidige NIS-2-richtlijn is de onduidelijkheid over welke nationale toezichthouder bevoegd is voor entiteiten die in meerdere lidstaten actief zijn. Het wijzigingsvoorstel introduceert een model dat geïnspireerd is op de GDPR-systematiek van de leidende toezichthouder: de autoriteit van de lidstaat waar de entiteit haar hoofdvestiging heeft, wordt primair verantwoordelijk voor toezicht en handhaving.
Voor een Nederlandse organisatie met kantoren in Duitsland en Polen betekent dit concreet dat de RDI (als aangewezen nationale bevoegde autoriteit onder de Cyberbeveiligingswet) de leidende toezichthouder wordt, mits de hoofdvestiging in Nederland zit. De meldplicht bij ernstige incidenten wordt eveneens gecentraliseerd bij deze leidende autoriteit, die vervolgens de relevante collega-autoriteiten informeert.
Dit model lost een praktisch probleem op: organisaties die nu bij drie verschillende nationale CSIRT-instanties moeten melden bij één grensoverschrijdend incident, kunnen dat straks via één kanaal doen. De keerzijde is dat de leidende toezichthouder voldoende capaciteit en expertise moet hebben om ook het buitenlandse activiteitenprofiel van de entiteit te beoordelen.
De nieuwe rol van ENISA bij grensoverschrijdend toezicht
Juhan Lepassaar, uitvoerend directeur van ENISA, stelde bij de presentatie van het NIS-2-werkprogramma 2025: “De vereenvoudiging van NIS-2 mag niet worden gelezen als een versoepeling van de beveiligingsnormen. Het gaat om het scherper afbakenen van wie verplicht is en hoe toezicht grensoverschrijdend wordt gecoördineerd.”
ENISA krijgt onder COM(2026)13 een formele coördinerende rol bij geschillen tussen nationale toezichthouders over de aanwijzing van de leidende autoriteit. Wanneer twee lidstaten claimen dat hun autoriteit leidend is voor dezelfde entiteit, kan ENISA een niet-bindend advies uitbrengen. Daarnaast publiceert ENISA technische richtsnoeren voor toezichthouders over de beoordeling van grensoverschrijdende entiteiten, wat de facto harmoniserend werkt ook zonder formele wetgevingsbevoegdheid.
Maximumharmonisatie onder artikel 21 lid 5: minder nationale speelruimte
Een technisch maar verreikend element van het wijzigingsvoorstel is de introductie van maximumharmonisatie voor de uitvoeringshandelingen die de Europese Commissie vaststelt op grond van artikel 21 lid 5 NIS-2. Deze uitvoeringshandelingen specificeren de technische en methodologische beveiligingsvereisten voor aanbieders van specifieke categorieën diensten, zoals cloudproviders en datacenters.
Maximumharmonisatie betekent dat lidstaten geen strengere nationale eisen mogen stellen dan wat in deze uitvoeringshandelingen is vastgelegd. Dit staat in contrast met de huidige situatie, waarbij lidstaten aanvullende technische normen konden opleggen bovenop de Europese minimumvereisten. Voor compliance officers heeft dit een directe consequentie: de Europese uitvoeringshandeling wordt de bindende standaard, en nationale afwijkingen worden juridisch aanvechtbaar.
Voor Nederland is dit relevant omdat de Cyberbeveiligingswet op sommige punten verder ging dan de NIS-2-minimumnormen. Als de uitvoeringshandelingen in werking treden, moeten die strengere nationale bepalingen worden herzien of geschrapt. Dit vereist een wetswijziging van de Cbw, wat tijd kost en een tijdelijke rechtsonzekerheid creëert voor organisaties die al hebben geïnvesteerd in compliance met de huidige, strengere Nederlandse eisen.
NIS-2-vereenvoudiging en de Cyberbeveiligingswet: lacunes en timing
De Nederlandse Cyberbeveiligingswet (Cbw) is de nationale implementatiewet van NIS-2 en legt verplichtingen op aan essentiële en belangrijke entiteiten, met handhaving door onder meer de RDI en sectorspecifieke toezichthouders. De Cbw is gebaseerd op de oorspronkelijke NIS-2-tekst van 2022 en is nog niet aangepast aan COM(2026)13, dat immers pas in 2026 als voorstel werd ingediend.
Olaf Kolkman, senior technisch adviseur internetbeveiliging bij de Internet Society, stelde in een beleidsrapportage over NIS-2-implementatie in 2024: “De Cyberbeveiligingswet geeft toezichthouders in Nederland eindelijk de wettelijke grondslag om te handhaven, maar de afstemming met de Europese vereenvoudigingsrondes vraagt voortdurende alertheid van compliance-teams.”
Die alertheid is gerechtvaardigd. Als COM(2026)13 wordt aangenomen, ontstaan er twee typen lacunes. Ten eerste kunnen Cbw-verplichtingen blijven gelden voor entiteiten die onder de herziene Europese reikwijdte niet meer in scope vallen: de Cbw forceert dan een zwaardere last dan Europees vereist. Ten tweede kan de nieuwe Europese maximumharmonisatie betekenen dat bepaalde Cbw-bepalingen juridisch onhoudbaar worden omdat ze de Europese plafonnering overschrijden. Beide situaties vragen om een proactieve wetswijzigingsprocedure, die in de Nederlandse wetgevingspraktijk al snel twee tot drie jaar in beslag neemt.
Volgens ENISA’s Threat Landscape 2023 was ransomware de meest gemelde incidentcategorie, goed voor 34% van alle gerapporteerde ernstige incidenten in kritieke sectoren (ENISA Threat Landscape 2023). Dit onderstreept dat de inhoudelijke beveiligingsopgave onverminderd urgent blijft, ook terwijl de wetgevingsstructuur in beweging is. Organisaties die de reikwijdtediscussie aangrijpen om investeringen in beveiligingsmaatregelen uit te stellen, nemen een aanzienlijk operationeel risico.
Praktische aanbevelingen voor compliance-teams
De combinatie van een wijzigend Europees kader en een nog niet aangepaste nationale wet vraagt om een gefaseerde aanpak. Organisaties die hun NIS-2-scope al hebben vastgesteld op basis van de huidige Cbw, doen er verstandig aan die beoordeling te documenteren met een expliciete verwijzing naar de gehanteerde wettekst en datum. Zo kan worden aangetoond dat de classificatie correct was op het moment van vaststelling, ook als latere wetgeving tot een andere uitkomst leidt.
Voor organisaties met grensoverschrijdende activiteiten is het vaststellen van de hoofdvestiging in juridische zin een prioriteit. Het begrip ‘hoofdvestiging’ in NIS-2 is niet identiek aan de fiscale vestigingsplaats of de statutaire zetel. Het gaat om de locatie waar de beslissingen over de beveiliging van netwerk- en informatiesystemen daadwerkelijk worden genomen. Organisaties die dit nog niet hebben vastgelegd, lopen het risico dat twee lidstaten tegelijk toezicht claimen of dat geen enkele toezichthouder zich verantwoordelijk voelt.
Tot slot: de uitvoeringshandelingen onder artikel 21 lid 5 zijn technisch van aard maar hebben directe gevolgen voor inkoopbeslissingen rond cloudplatformen, versleutelingsstandaarden en incidentdetectie. Wie nu investeert in technische maatregelen die vooruitlopen op de verwachte Europese normen, vermijdt latere migratieproblemen en kan die investering aantoonbaar koppelen aan een rechtsbasis.
FAQ
Welke organisaties vallen na de NIS-2-vereenvoudiging 2026 niet meer onder de richtlijn?
Micro-ondernemingen en kleine DNS-dienstverleners die uitsluitend intern opereren, worden uit de reikwijdte van artikel 3 geschrapt. Ook worden bepaalde categorieën beheerde dienstverleners nader afgebakend, zodat alleen aanbieders met een meetbaar maatschappelijk risico in scope blijven.
Wat verandert er voor een Nederlandse organisatie met vestigingen in Duitsland en Polen?
Onder het nieuwe jurisdictiemodel wordt de hoofdvestiging bepalend voor de aanwijzing van de leidende toezichthouder. ENISA krijgt een coördinerende rol om tegenstrijdige handhavingsbesluiten te voorkomen. Organisaties moeten hun meldplicht voortaan primair nakomen bij de toezichthouder van hun hoofdvestiging.
Wat is maximumharmonisatie onder artikel 21 lid 5 NIS-2 en waarom is dat relevant?
Maximumharmonisatie betekent dat de Europese uitvoeringshandelingen onder artikel 21 lid 5 een plafond stellen aan wat lidstaten nationaal mogen toevoegen aan technische beveiligingsvereisten. Lidstaten mogen dan niet strenger zijn dan de Europese norm, wat implementatieverschillen tussen landen verkleint maar ook nationale beleidsruimte inperkt.
Wat zijn de gevolgen van de NIS-2-vereenvoudiging voor de Nederlandse Cyberbeveiligingswet?
De Cyberbeveiligingswet (Cbw) is gebaseerd op de oorspronkelijke NIS-2-tekst. Als COM(2026)13 wordt aangenomen, moet de Cbw opnieuw worden aangepast. In de tussenliggende periode kunnen lacunes ontstaan waarbij de Cbw-plichten ruimer zijn dan wat de herziene richtlijn vereist, of waarbij nieuwe Europese verplichtingen nog geen wettelijke grondslag hebben in Nederland.
Moeten ziekenhuizen en energiebedrijven hun NIS-2-scope opnieuw beoordelen na de vereenvoudiging?
Ja. De scoping-verduidelijking in COM(2026)13 preciseert welke activiteiten binnen zorg, energie en chemie als ‘essentieel’ gelden. Organisaties die zich op basis van eerdere nationale richtsnoeren hebben aangemeld als ‘important entity’, moeten controleren of hun classificatie nog klopt met de herziene criteria in artikel 3.
