Terug naar Blog

Cybersecurity is niet langer alleen een technisch vraagstuk — het is ook een juridische verplichting. De Europese NIS2-richtlijn (Network and Information Security Directive 2) is de meest ingrijpende cybersecuritywetgeving van de afgelopen jaren. Ze verplicht een veel grotere groep organisaties dan voorheen om aantoonbaar te voldoen aan strenge beveiligingseisen. In dit artikel leggen we uit wat NIS2 inhoudt, voor wie het geldt en wat u concreet moet doen.

Wat is de NIS2-richtlijn?

NIS2 is de opvolger van de oorspronkelijke NIS-richtlijn uit 2016 en is in oktober 2024 in Nederland van kracht geworden via de herziene Wet beveiliging netwerk- en informatiesystemen (Wbni). Het doel van NIS2 is om de cyberweerbaarheid van Europese organisaties en kritieke infrastructuur te versterken.

Ten opzichte van de eerste NIS-richtlijn is de scope van NIS2 aanzienlijk uitgebreid. Waar de oorspronkelijke richtlijn alleen gold voor aanbieders van essentiële diensten (zoals energie en water) en digitale dienstverleners, vallen er onder NIS2 ook nieuwe sectoren en een veel grotere groep organisaties.

Voor wie geldt NIS2?

NIS2 onderscheidt twee categorieën organisaties:

Essentiële entiteiten (Essential Entities)

Dit zijn grote organisaties in sectoren die worden aangemerkt als kritieke infrastructuur, zoals energie, drinkwater, transport, bancaire diensten, financiële marktinfrastructuur, gezondheidszorg, digitale infrastructuur en overheidsdiensten. Voor deze categorie gelden de strengste eisen en de zwaarste boetes.

Belangrijke entiteiten (Important Entities)

Dit is een bredere categorie die ook middelgrote organisaties omvat in sectoren zoals post en koeriers, afvalverwerking, chemie, levensmiddelensector, maakindustrie en digitale aanbieders. Ook middelgrote bedrijven (50-250 medewerkers of omzet van 10-50 miljoen euro) in deze sectoren kunnen onder NIS2 vallen.

Let op voor toeleveranciers: ook als uw bedrijf zelf niet direct onder NIS2 valt, kunnen uw klanten of opdrachtgevers die wél onder NIS2 vallen, eisen dat u aantoonbaar veilig bent. NIS2 heeft een zogenaamd 'waterbedeffect' in de toeleveringsketen.

Wat zijn de verplichtingen onder NIS2?

Organisaties die onder NIS2 vallen, moeten aan een aantal concrete eisen voldoen:

  • Risicobeheersmaatregelen: u moet een risicoanalyse uitvoeren en passende technische en organisatorische beveiligingsmaatregelen nemen.
  • Incidentrapportage: ernstige incidenten moeten binnen 24 uur worden gemeld bij de bevoegde autoriteit (in Nederland: het NCSC of de toezichthouder per sector) en binnen 72 uur volgt een gedetailleerd rapport.
  • Supply chain security: u bent verantwoordelijk voor de beveiliging van uw toeleveringsketen en moet ook uw leveranciers beoordelen op cybersecurityrisico's.
  • Bestuurlijke verantwoordelijkheid: het bestuur is persoonlijk verantwoordelijk voor de naleving van NIS2. Bestuurders kunnen aansprakelijk worden gesteld bij nalatigheid.
  • Continuïteit: u moet beschikken over een continuïteitsplan (business continuity plan) en herstelmaatregelen na een incident.

Wat moet u concreet doen?

Een NIS2-compliance traject bestaat typisch uit de volgende stappen:

  • Bepalen of uw organisatie onder NIS2 valt en in welke categorie.
  • Een nulmeting uitvoeren om de huidige beveiligingsstatus in kaart te brengen.
  • Een risicoanalyse uitvoeren en prioriteren welke maatregelen als eerste nodig zijn.
  • Technische maatregelen implementeren: MFA, endpoint protection, patchmanagement, encryptie en monitoring.
  • Procesmatige maatregelen implementeren: incidentresponsplan, beleid voor toegangsbeheer en leveranciersbeoordeling.
  • Documentatie en aantoonbaarheid: zorg dat u kunt aantonen welke maatregelen u heeft genomen.

NIS2-gereed worden met Trust-IT

Trust-IT helpt MKB-bedrijven in de regio Deventer bij het voldoen aan NIS2-vereisten. We beginnen met een gratis nulmeting en begeleiden u bij het implementeren van de juiste maatregelen. Bekijk onze security-diensten voor meer informatie.

Meer over Security

NIS2 en uw ICT-partner

Als uw ICT-partner speelt Trust-IT een directe rol in uw NIS2-compliance. Veel van de technische maatregelen die NIS2 vereist — zoals endpoint protection, MFA, patchmanagement, monitoring en back-up — zijn onderdeel van onze standaard dienstverlening voor MKB-bedrijven in Deventer en regio.

Wij helpen u ook bij de documentatie die nodig is om naleving aan te tonen: een overzicht van genomen maatregelen, een incidentresponsplan en een leveranciersbeoordeling voor uw toeleveringsketen. Neem contact op voor een vrijblijvende NIS2-scan van uw organisatie.

Veelgestelde vragen over NIS2

Valt mijn MKB-bedrijf onder de NIS2-richtlijn?

NIS2 is primair van toepassing op middelgrote en grote organisaties in bepaalde sectoren zoals energie, transport, gezondheidszorg, financiën, digitale infrastructuur en overheid. Kleine bedrijven vallen in principe buiten de directe scope, maar kunnen indirect te maken krijgen met NIS2-eisen als toeleverancier van organisaties die wel onder de wet vallen.

Wanneer moet mijn organisatie voldoen aan NIS2?

De NIS2-richtlijn is in oktober 2024 van kracht geworden in Nederland via de Wet beveiliging netwerk- en informatiesystemen (Wbni). Organisaties die onder de richtlijn vallen moeten aantoonbaar voldoen aan de beveiligingseisen. Het is raadzaam om nu al aan de slag te gaan met de implementatie.

Wat zijn de boetes bij overtreding van NIS2?

Voor 'essential entities' kunnen boetes oplopen tot 10 miljoen euro of 2% van de wereldwijde jaaromzet. Voor 'important entities' zijn de maximale boetes 7 miljoen euro of 1,4% van de wereldwijde jaaromzet.