NIS2

Wat is de NIS2-richtlijn?

NIS2 (Network and Information Security Directive 2, Richtlijn (EU) 2022/2555) is de Europese richtlijn die organisaties in achttien kritieke sectoren verplicht om passende cybersecuritymaatregelen te nemen, significante incidenten te melden en hun bestuur verantwoordelijk te maken voor digitale weerbaarheid. De richtlijn is de opvolger van de oorspronkelijke NIS-richtlijn uit 2016 en geldt voor publieke én private organisaties. NIS2 raakt nadrukkelijk ook OT-omgevingen, zoals besturingssystemen in energie, drinkwater, transport, chemie en de maakindustrie. In Nederland is NIS2 omgezet in de Cyberbeveiligingswet.

🎯 Wat is het doel van NIS2?

De eerste NIS-richtlijn (2016/1148) leidde tot sterk uiteenlopende nationale regels: lidstaten wezen zelf “aanbieders van essentiële diensten” aan en hanteerden verschillende criteria. NIS2 moet dat rechttrekken:

• Gelijk speelveld - één EU-brede regel bepaalt wie eronder valt, in plaats van nationale aanwijzing
• Hoger minimumniveau - een vaste lijst van tien maatregelen die elke organisatie moet adresseren
• Snellere melding - gefaseerde meldtermijnen zodat autoriteiten vroeg zicht hebben op aanvallen
• Bestuurlijke verantwoordelijkheid - cybersecurity wordt een bestuurstaak, geen IT-taak
• Ketenbeveiliging - expliciete aandacht voor supply chain-risico’s en leveranciers
• Samenwerking - Europese uitwisseling via het CSIRT-netwerk, de NIS-samenwerkingsgroep en EU-CyCLONe

📅 Wanneer is NIS2 in werking getreden?

NIS2 is sinds 16 januari 2023 van kracht als Europese richtlijn. Omdat een richtlijn niet rechtstreeks werkt, gelden de verplichtingen pas via nationale wetgeving.

Nederland was daarmee bijna twee jaar te laat. De Cyberbeveiligingswet kent geen algemene overgangsperiode: zorgplicht, meldplicht en registratieplicht gelden sinds 15 augustus 2026 direct. Alleen instellingen voor hoger onderwijs krijgen drie jaar de tijd.

🧱 Wie valt onder NIS2?

Of een organisatie onder NIS2 valt, hangt af van twee vragen: zit u in een sector uit bijlage I of II, en bent u minimaal een middelgrote onderneming? Middelgroot of groter betekent volgens de EU-definitie 50 of meer medewerkers, of een jaaromzet én balanstotaal van meer dan 10 miljoen euro. Dit heet de size-cap-regel.

Binnen die sectoren onderscheidt NIS2 twee categorieën. Het verschil zit niet in de verplichtingen, maar in de zwaarte van het toezicht en de hoogte van de boetes.

Organisaties die onder de CER-richtlijn als kritieke entiteit zijn aangewezen, in Nederland via de Wwke, zijn altijd essentieel. In Nederland vallen naar schatting 8.000 tot 10.000 organisaties onder de wet.

🔐 Welke verplichtingen legt NIS2 op?

NIS2 kent vier hoofdverplichtingen: zorgplicht, meldplicht, registratieplicht en bestuurlijke verantwoordelijkheid.

Zorgplicht: tien maatregelen (artikel 21)

Organisaties moeten passende en evenredige technische, operationele en organisatorische maatregelen nemen volgens een all-hazards-benadering, gebaseerd op risicomanagement. Minimaal:

1. Beleid voor risicoanalyse en beveiliging van informatiesystemen, vaak via een ISMS
2. Incidentbehandeling en incident response
3. Bedrijfscontinuïteit, waaronder back-upbeheer, herstel na rampen en crisisbeheer
4. Beveiliging van de toeleveringsketen, inclusief relaties met directe leveranciers
5. Beveiliging bij aanschaf, ontwikkeling en onderhoud van systemen, inclusief kwetsbaarhedenbeheer en -openbaarmaking
6. Beleid om de effectiviteit van de maatregelen te beoordelen
7. Basale cyberhygiëne en cybersecuritytraining
8. Beleid voor cryptografie en encryptie
9. Personeelsbeveiliging, toegangsbeleid en assetbeheer
10. Multifactorauthenticatie en beveiligde spraak-, video-, tekst- en noodcommunicatie

Meldplicht (artikel 23)

Een significant incident meldt u gefaseerd aan het CSIRT en de toezichthouder. In Nederland loopt dat via het meldportaal van het NCSC; voor de zorg ondersteunt Z-CERT.

Registratie en bestuur

Organisaties registreren zich zelf; in Nederland in het entiteitenregister via MijnNCSC. Het bestuur moet de maatregelen goedkeuren, toezien op de uitvoering, aantoonbaar training volgen en kan persoonlijk aansprakelijk worden gesteld. Dat maakt cybersecurity een vast onderdeel van governance.

⚖️ Hoe worden toezicht en sancties geregeld?

Toezichthouders kunnen audits, inspecties en scans uitvoeren, bindende aanwijzingen geven, dwangsommen en boetes opleggen. Bij essentiële entiteiten kan een bestuurder bij ernstige overtredingen zelfs tijdelijk worden verboden een leidinggevende functie uit te oefenen. In Nederland is het toezicht verdeeld over acht sectorale toezichthouders, met de Rijksinspectie Digitale Infrastructuur (RDI) in een coördinerende rol. De RDI houdt toezicht op onder meer energie, digitale infrastructuur en de maakindustrie; de ILT op vervoer, drinkwater, afvalwater, afvalbeheer en chemie; de IGJ op de zorg en medische hulpmiddelen; de NVWA op levensmiddelen; DNB en de AFM op de financiële sector.

🏭 Hoe raakt NIS2 IT- en OT-omgevingen?

NIS2 maakt geen onderscheid tussen IT en OT: de zorgplicht geldt voor alle netwerk- en informatiesystemen die nodig zijn voor de dienstverlening. Voor veel industriële organisaties betekent dat dat ook SCADA-systemen in drinkwaterbedrijven, PLC’s in energiecentrales en MES- en Historian-systemen in de maakindustrie binnen scope vallen. Juist daar zijn patchen, MFA en een volledig assetoverzicht lastig, omdat installaties tientallen jaren meegaan en beschikbaarheid voorop staat.

Een praktische aanpak voor OT:

1. Scope bepalen - controleer sector, omvang en categorie, en registreer tijdig
2. Assets in kaart brengen - een actuele asset-inventaris van besturingen, netwerken en externe verbindingen
3. Risico’s analyseren - bijvoorbeeld met een business impact analyse en een risicobeoordeling per zone
4. Netwerk scheiden - netwerksegmentatie volgens het zones-en-conduits-model en defense in depth
5. Leveranciers borgen - eisen aan systeemintegratoren en remote access van leveranciers vastleggen
6. Detecteren en melden - OT-monitoring en een draaiboek dat de 24-uurstermijn haalbaar maakt

IEC 62443 sluit voor OT goed aan op de zorgplicht, ISO 27001 en ISO 27002 voor de organisatiebrede aanpak. Certificering is niet verplicht, maar helpt aantonen dat maatregelen passend zijn.

🔄 Hoe verhoudt NIS2 zich tot andere wetgeving?

• CER-richtlijn en Wwke - richten zich op fysieke en organisatorische weerbaarheid van kritieke entiteiten; NIS2 op de digitale kant
• Cyber Resilience Act - stelt eisen aan producten met digitale elementen; NIS2 aan de organisaties die ze gebruiken
• DORA - specifieke regels voor de financiële sector, die voorgaan op NIS2
• AVG - een datalek kan tegelijk een NIS2-incident zijn, met een aparte melding aan de Autoriteit Persoonsgegevens

❓ Veelgestelde vragen

Is NIS2 hetzelfde als de Cyberbeveiligingswet?

NIS2 is de Europese richtlijn; de Cyberbeveiligingswet is de Nederlandse wet die NIS2 uitvoert. Nederlandse organisaties moeten zich dus aan de Cyberbeveiligingswet houden, die sinds 15 augustus 2026 van kracht is en de inhoud van NIS2 grotendeels één-op-één overneemt.

Valt een kleine organisatie onder NIS2?

Kleine en micro-ondernemingen vallen meestal niet onder NIS2, omdat de richtlijn pas geldt vanaf middelgrote omvang. Uitzonderingen zijn onder meer DNS-dienstverleners, topleveldomeinregisters, gekwalificeerde vertrouwensdiensten en organisaties die als enige aanbieder van een kritieke dienst zijn aangewezen.

Binnen hoeveel tijd moet u een incident melden onder NIS2?

Onder NIS2 doet u binnen 24 uur een vroegtijdige waarschuwing, binnen 72 uur een incidentmelding en binnen een maand een eindrapport. Dat geldt alleen voor significante incidenten die ernstige verstoring of schade kunnen veroorzaken.

Is ISO 27001-certificering verplicht onder NIS2?

ISO 27001-certificering is onder NIS2 niet verplicht. Een ISMS volgens ISO 27001, aangevuld met IEC 62443 voor OT, is wel een gangbare manier om de zorgplicht aantoonbaar in te vullen.

Geldt NIS2 ook voor OT-systemen?

NIS2 geldt voor alle netwerk- en informatiesystemen die een organisatie gebruikt voor haar diensten, dus ook voor OT zoals SCADA, PLC’s en procesbesturingen. Een cyberincident dat de productie of levering stillegt, kan daardoor een meldplichtig NIS2-incident zijn.

Wat riskeert een bestuurder onder NIS2?

Bestuurders moeten onder NIS2 de cybermaatregelen goedkeuren, het toezicht erop houden en training volgen. Zij kunnen aansprakelijk worden gesteld, en bij essentiële entiteiten kan een toezichthouder een bestuurder tijdelijk schorsen bij ernstige nalatigheid.

📌 Samengevat

NIS2 is de Europese richtlijn die organisaties in achttien kritieke sectoren verplicht hun IT én OT aantoonbaar te beveiligen, significante incidenten binnen 24 uur te melden en het bestuur verantwoordelijk te maken voor cybersecurity.

De richtlijn trad op 16 januari 2023 in werking en had uiterlijk 17 oktober 2024 moeten zijn omgezet. In Nederland gebeurde dat met de Cyberbeveiligingswet, die op 15 augustus 2026 in werking trad. Wie zijn sector en omvang kent, zich registreert en de tien maatregelen risicogestuurd invult, legt de basis voor naleving en voor echte weerbaarheid.