Definitie: NIS2 is een Europese richtlijn (EU 2022/2555) die organisaties in vitale en belangrijke sectoren verplicht hun digitale weerbaarheid op orde te brengen, met eisen voor risicobeheer, incidentmelding en toezicht. In Nederland is NIS2 omgezet in de Cyberbeveiligingswet (Cbw).
In het kort
- NIS2 vervangt de eerste NIS-richtlijn uit 2016 en is op 16 januari 2023 in werking getreden; lidstaten moesten de regels uiterlijk 17 oktober 2024 in nationale wetgeving omzetten.
- Volgens Aon en Rabobank geldt de Nederlandse Cyberbeveiligingswet sinds 15 augustus 2026.
- De wet onderscheidt essentiële en belangrijke entiteiten; als vuistregel vallen middelgrote organisaties vanaf 50 medewerkers of 10 miljoen euro jaaromzet in een aangewezen sector eronder.
- Ernstige incidenten moeten binnen 24 uur worden gemeld, en boetes kunnen oplopen tot 10 miljoen euro of 2 procent van de wereldwijde jaaromzet.
Wat is NIS2?
NIS staat voor Network and Information Security. De eerste NIS-richtlijn uit 2016 richtte zich op een beperkte groep vitale organisaties. NIS2 maakt de kring veel groter en de eisen strenger. Volgens Kiteworks stijgt het aantal sectoren van 19 naar 35. Het doel is volgens Aon een hoog gemeenschappelijk niveau van cyberbeveiliging in alle EU-lidstaten.
Een richtlijn werkt niet rechtstreeks, maar moet door elk land in eigen wetgeving worden omgezet. In Nederland is dat de Cyberbeveiligingswet, afgekort Cbw. Die vervangt de eerdere Wet beveiliging netwerk- en informatiesystemen. In België gebeurde de omzetting volgens VLAIO al in oktober 2024.
Tijdlijn van NIS2
| Datum | Gebeurtenis |
|---|---|
| December 2020 | De Europese Commissie stelt NIS2 voor |
| 10 november 2022 | Formele goedkeuring |
| 16 januari 2023 | Publicatie en inwerkingtreding van de richtlijn |
| 17 oktober 2024 | Uiterste datum voor omzetting door de lidstaten |
| 15 augustus 2026 | Inwerkingtreding van de Nederlandse Cyberbeveiligingswet, volgens Aon en Rabobank |
Forvis Mazars noemde vooraf nog 1 juli 2026 als verwachte datum voor de Cbw; de latere bronnen noemen 15 augustus 2026.
Wie valt onder NIS2?
NIS2 deelt organisaties in twee groepen in:
| Categorie | Voorbeelden van sectoren (volgens Aon) | Toezicht |
|---|---|---|
| Essentiële entiteiten | Energie, transport, bankwezen, gezondheidszorg, drinkwater, digitale infrastructuur, overheid | Actief, ook zonder aanleiding |
| Belangrijke entiteiten | Post en koeriers, afvalbeheer, chemie, voedselproductie, delen van de maakindustrie, onderzoek | Vooral achteraf, na een incident of signaal |
Of een organisatie eronder valt, hangt af van de sector en de omvang. Forvis Mazars geeft als vuistregel 50 of meer medewerkers of een jaaromzet vanaf 10 miljoen euro. Grote organisaties vanaf 250 medewerkers en meer dan 50 miljoen euro omzet zijn volgens Kiteworks in de aangewezen sectoren in elk geval betrokken. Sommige organisaties vallen er ongeacht hun omvang onder, zoals aanbieders van openbare elektronische communicatienetwerken.
Kleine bedrijven vallen meestal buiten de wet. Toch krijgen ze er vaak indirect mee te maken, daarover hieronder meer.
Wat moeten organisaties doen?
NIS2 legt een zorgplicht op: organisaties moeten passende maatregelen nemen tegen digitale risico’s. Artikel 21 van de richtlijn noemt de onderdelen die minimaal geregeld moeten zijn; Kiteworks zet ze op een rij:
- risicoanalyse en informatiebeveiligingsbeleid;
- voorkomen, detecteren en afhandelen van incidenten;
- crisisbeheer en bedrijfscontinuïteit, inclusief back-ups;
- beveiliging van de toeleveringsketen;
- beveiliging bij aanschaf, ontwikkeling en onderhoud van systemen;
- beoordelen of maatregelen werken;
- versleuteling;
- toegangsbeheer en sterke authenticatie.
Daarnaast geldt volgens Forvis Mazars een registratieplicht: organisaties die onder de wet vallen, moeten zich aanmelden bij de toezichthouder.
Meldplicht bij incidenten
Een ernstig incident moet in stappen worden gemeld:
| Termijn | Wat |
|---|---|
| Binnen 24 uur | Vroege waarschuwing |
| Binnen 72 uur | Incidentmelding met een eerste beoordeling |
| Op verzoek | Tussentijdse rapportage |
| Binnen een maand | Eindrapport met oorzaak en genomen maatregelen |
Boetes en bestuurdersaansprakelijkheid
Volgens Aon kunnen essentiële entiteiten een boete krijgen van maximaal 10 miljoen euro of 2 procent van de wereldwijde jaaromzet, en belangrijke entiteiten maximaal 7 miljoen euro of 1,4 procent, waarbij telkens het hoogste bedrag geldt.
Nieuw is de rol van het bestuur. Het bestuur moet de maatregelen goedkeuren en toezicht houden op de uitvoering. Bestuurders moeten een training volgen en kunnen persoonlijk aansprakelijk worden gesteld bij overtreding.
NIS2 en de keten: ook relevant voor kleinere bedrijven
Organisaties die onder NIS2 vallen, moeten ook de risico’s bij hun leveranciers beheersen. Volgens Rabobank krijgen kleinere bedrijven daardoor vaak indirect met de wet te maken, via vragenlijsten, audits en contractuele eisen van opdrachtgevers. VLAIO merkt hetzelfde op: bedrijven die met NIS2-organisaties samenwerken, krijgen te maken met vergelijkbare eisen.
Voor softwareleveranciers en ontwikkelaars betekent dat concrete vragen, zoals:
- Hoe is toegang tot de applicatie en de servers geregeld?
- Worden beveiligingsupdates tijdig doorgevoerd?
- Waar staan de gegevens en hoe worden ze versleuteld?
- Zijn er back-ups en is herstel getest?
- Hoe en hoe snel wordt een incident gemeld aan de opdrachtgever?
NIS2 bij de bouw van software
De richtlijn noemt beveiliging bij de ontwikkeling en het onderhoud van systemen als onderdeel van de zorgplicht. Voor een maatwerk applicatie die wordt gebruikt door een organisatie onder NIS2, zijn daarom afspraken nodig over onder meer tweestapsverificatie, rollen en rechten, logging, versleuteling, updatebeleid en de afhandeling van incidenten. Het helpt als die eisen al bij de afbakening van een project op tafel liggen, in plaats van achteraf.
Wat betekent dit voor jouw project?
Ik ben geen jurist en geef geen advies over de vraag of jouw organisatie onder de Cyberbeveiligingswet valt. Wat ik wel belangrijk vind, is dat beveiligingseisen vroeg op tafel komen. In de betaalde blauwdruk leg ik de afhankelijkheden vast, zoals hosting, koppelingen en externe diensten, en in een voorstel beschrijf ik beheer, eigenaarschap, toegang en ondersteuning.
Valt jouw organisatie onder NIS2, of stelt een opdrachtgever eisen vanuit die wet, neem die eisen dan mee als randvoorwaarde voor de eerste versie. Dan kunnen we samen bepalen wat dat betekent voor rollen, toegang, hosting en de afspraken na oplevering.
Vraag? Wil je een applicatie laten bouwen waarbij beveiligingseisen vanaf het begin meetellen? Stuur me voor wie het is, welke eisen er gelden en wat de eerste versie moet oplossen. Dan bepalen we samen de logische eerste stap. Lees meer over een webapplicatie bouwen.
Veelgestelde vragen over NIS2
Wat is de NIS2-richtlijn?
De NIS2-richtlijn is een Europese richtlijn die organisaties in vitale en belangrijke sectoren verplicht om hun cyberbeveiliging op orde te brengen, met eisen voor risicobeheer, incidentmelding en toezicht. Ze vervangt de eerste NIS-richtlijn uit 2016.
Wat is de Cyberbeveiligingswet?
De Cyberbeveiligingswet (Cbw) is de Nederlandse wet waarmee de NIS2-richtlijn is omgezet. Volgens Aon en Rabobank is de wet op 15 augustus 2026 in werking getreden.
Valt mijn bedrijf onder NIS2?
Dat hangt af van de sector en de omvang. Als vuistregel vallen organisaties in aangewezen sectoren met 50 of meer medewerkers of een jaaromzet vanaf 10 miljoen euro eronder; kleinere bedrijven krijgen er vaak indirect mee te maken via eisen van opdrachtgevers.
Verwante termen
ISO 27001 · Privacy by design · Encryptie · Tweestapsverificatie · Verwerkersovereenkomst · Datasoevereiniteit en EU-hosting · OWASP top 10
← Terug naar de kennisbank