NIS2 implementatie

NIS2 boetes voor essentiële organisaties kunnen oplopen tot €10 miljoen of 2% van de wereldwijde jaaromzet. Voor belangrijke organisaties gaat het om €7 miljoen of 1,4% van de wereldwijde jaaromzet. In beide gevallen telt het hoogste bedrag. Hoe hoog jouw boete uitvalt, hangt af van de ernst van de overtreding, hoelang die duurt en wat je doet om deze te herstellen.

Ja, mogelijk. Met vijftig medewerkers bereikt jouw bedrijf de omvangsgrens van de Cyberbeveiligingswet, maar de wet geldt alleen bij activiteiten in een aangewezen sector. Partner- en verbonden ondernemingen tellen mee. Kleine organisaties vallen meestal niet onder de wet. Voor bepaalde digitale aanbieders, overheidsorganisaties en specifiek aangewezen organisaties geldt de Cyberbeveiligingswet echter ongeacht hun omvang.

Middelgrote en grote organisaties die actief zijn in een van de achttien aangewezen sectoren moeten doorgaans voldoen aan de NIS2-richtlijn. Dat volgt uit de Cyberbeveiligingswet, die NIS2 in Nederland uitvoert. Sommige digitale aanbieders, overheden en individueel aangewezen entiteiten vallen ongeacht hun omvang onder de wet. Kleine en micro-organisaties zijn meestal uitgezonderd.

Ja, bestuurders kunnen persoonlijk aansprakelijk worden gesteld, maar dat gebeurt niet automatisch. De Cyberbeveiligingswet verplicht het bestuur van een essentiële of belangrijke entiteit om beveiligingsmaatregelen goed te keuren, toezicht te houden en training te volgen. Voor organisaties buiten de wet geldt deze specifieke bestuursverantwoordelijkheid niet; algemene regels voor bestuurdersaansprakelijkheid blijven wel gelden.

De Nederlandse Cyberbeveiligingswet, waarmee de NIS2-richtlijn in Nederland geldt, trad op 15 augustus 2026 in werking. Sindsdien moeten organisaties die onder de wet vallen aan de verplichtingen voldoen, zoals passende beveiligingsmaatregelen, het melden van ernstige incidenten en bestuurlijke verantwoordelijkheid voor cyberbeveiliging. Of jouw organisatie eronder valt, hangt af van sector en omvang.

In zes stappen bereid je jouw organisatie voor op NIS2: 1. Bepaal of de Cyberbeveiligingswet voor jouw organisatie geldt. 2. Voer een nulmeting en risicoanalyse uit. 3. Leg verantwoordelijkheden en bestuurlijk toezicht vast. 4. Implementeer passende technische en organisatorische beveiligingsmaatregelen. 5. Richt registratie, incidentrespons en de meldprocedure voor 24 en 72 uur in. 6. Train bestuur en medewerkers, test de maatregelen periodiek en leg bewijs van naleving vast.

De meldplicht onder NIS2 betekent dat organisaties ernstige cyberincidenten in stappen moeten melden via MijnNCSC. Zo worden de toezichthouder en de hulpdienst voor cyberincidenten snel geïnformeerd en kan verdere schade worden beperkt. De eerste waarschuwing volgt binnen 24 uur, een uitgebreidere melding binnen 72 uur en het eindverslag binnen één maand.

NIS2 staat voor Network and Information Security Directive 2. Het is de tweede Europese richtlijn voor netwerk- en informatiebeveiliging, bedoeld om de digitale weerbaarheid van organisaties te vergroten. In Nederland is de richtlijn geïmplementeerd in de Cyberbeveiligingswet. Organisaties die eronder vallen moeten passende beveiligingsmaatregelen nemen en ernstige incidenten melden.

De NIS2-richtlijn betekent dat organisaties in belangrijke sectoren hun digitale beveiliging op orde moeten hebben. Zij moeten cyberrisico’s beperken, goede beveiligingsmaatregelen nemen en ernstige incidenten op tijd melden. Deze regels staan sinds 15 augustus 2026 in de Nederlandse Cyberbeveiligingswet. Ook leveranciers kunnen met NIS2 te maken krijgen als klanten of opdrachtgevers dit van hen eisen.