NIS2 en de Cyberbeveiligingswet
NIS2 (Richtlijn (EU) 2022/2555) verplicht essentiële en belangrijke entiteiten tot zorgplicht, meldplicht en bestuurlijke verantwoordelijkheid voor cyberbeveiliging. In Nederland wordt NIS2 omgezet via de Cyberbeveiligingswet.
Over deze norm
NIS2 en de Cyberbeveiligingswet in het kort
NIS2 raakt veel meer organisaties dan zijn voorganger: van energie en zorg tot digitale dienstverleners en toeleveranciers. De kern is een zorgplicht (passende maatregelen voor risicobeheer), een meldplicht bij significante incidenten en persoonlijke verantwoordelijkheid van het bestuur.
De Audirium-bibliotheek koppelt de NIS2-artikelen aan concrete controls, zodat u van wetsartikel naar maatregel kunt navigeren. Met de gratis NIS2 Scanner toetst u in een kwartier waar uw organisatie staat.
Wie valt onder de Cyberbeveiligingswet?
De Cyberbeveiligingswet geldt sinds 15 augustus 2026, zonder overgangsperiode, voor naar schatting achtduizend Nederlandse organisaties. Of u eronder valt, hangt af van twee dingen: uw sector en uw omvang.
- Sector Bijlage I van NIS2 (energie, transport, bankwezen, infrastructuur voor de financiële markt, gezondheidszorg, drinkwater, afvalwater, digitale infrastructuur, beheer van ICT-diensten, overheid en ruimtevaart) of bijlage II (post en koeriers, afvalstoffenbeheer, chemie, levensmiddelen, vervaardiging, digitale aanbieders en onderzoek).
- Omvang Vanaf de plafonds voor middelgrote ondernemingen uit Aanbeveling 2003/361/EG: in de praktijk vanaf vijftig medewerkers, of meer dan tien miljoen euro jaaromzet én balanstotaal (art. 2 lid 1).
- Ongeacht omvang Aanbieders van openbare elektronischecommunicatienetwerken en -diensten, vertrouwensdiensten, registers voor topleveldomeinnamen en domeinnaamregistratiediensten. Ook wie in een lidstaat de enige aanbieder is van een dienst die essentieel is voor kritieke maatschappelijke of economische activiteiten (art. 2 lid 2).
Essentiële of belangrijke entiteit?
Het onderscheid bepaalt het toezicht en de maximale boete, niet de zorgplicht: die is voor beide categorieën gelijk.
- Essentieel Organisaties uit bijlage I die de plafonds voor middelgrote ondernemingen overschrijden, plus gekwalificeerde vertrouwensdienstverleners, registers voor topleveldomeinnamen en DNS-dienstverleners ongeacht hun omvang (art. 3 lid 1).
- Belangrijk Alle overige organisaties uit bijlage I of II die onder de richtlijn vallen en geen essentiële entiteit zijn (art. 3 lid 2).
- Wat het uitmaakt Op essentiële entiteiten is het toezicht proactief: de toezichthouder mag uit eigen beweging controleren. Op belangrijke entiteiten is het reactief, ná een incident of een signaal (art. 32 en 33).
De zorgplicht: tien categorieën maatregelen
Artikel 21 lid 2 noemt tien categorieën die een organisatie ten minste moet afdekken, op basis van een benadering die alle gevaren omvat. Het is een minimum, geen keuzemenu.
- a. Risicoanalyse en beveiligingsbeleid Beleid inzake risicoanalyse en de beveiliging van informatiesystemen.
- b. Incidentenbehandeling Het herkennen, afhandelen en afsluiten van beveiligingsincidenten.
- c. Bedrijfscontinuïteit Back-upbeheer, noodvoorzieningenplannen en crisisbeheer.
- d. Beveiliging van de toeleveringsketen Inclusief de beveiligingsaspecten van de relatie met elke directe leverancier en dienstverlener.
- e. Veilige verwerving en ontwikkeling Beveiliging bij het verwerven, ontwikkelen en onderhouden van netwerk- en informatiesystemen, met inbegrip van de respons op en bekendmaking van kwetsbaarheden.
- f. Effectiviteitsbeoordeling Beleid en procedures om te beoordelen of de maatregelen werken.
- g. Cyberhygiëne en opleiding Basispraktijken op het gebied van cyberhygiëne en opleiding in cyberbeveiliging.
- h. Cryptografie Beleid en procedures voor het gebruik van cryptografie en, waar van toepassing, encryptie.
- i. Personeel, toegang en activa Beveiligingsaspecten ten aanzien van personeel, toegangsbeleid en het beheer van bedrijfsmiddelen.
- j. Authenticatie en communicatie Waar passend: multifactor- of continue authenticatie, beveiligde spraak-, video- en tekstcommunicatie en beveiligde noodcommunicatiesystemen.
De meldplicht: 24 uur, 72 uur, één maand
Bij een significant incident loopt de melding bij het CSIRT of de bevoegde autoriteit in drie stappen (art. 23 lid 4).
- Binnen 24 uur, vroegtijdige waarschuwing Met de vermelding of het incident vermoedelijk door een onrechtmatige of kwaadwillige handeling is veroorzaakt, of grensoverschrijdende gevolgen kan hebben.
- Binnen 72 uur, incidentmelding Een bijgewerkte melding met een eerste beoordeling van de ernst en de gevolgen en, indien beschikbaar, de indicatoren voor aantasting.
- Binnen één maand, eindverslag Een gedetailleerde beschrijving van het incident, het soort bedreiging of de waarschijnlijke grondoorzaak, de toegepaste en lopende risicobeperkende maatregelen en de eventuele grensoverschrijdende gevolgen.
- Als het incident nog loopt Dan volgt op dat moment een voortgangsverslag, en een eindverslag binnen één maand nadat het incident is afgehandeld. De toezichthouder kan daarnaast tussentijds een verslag opvragen.
Het bestuur is aansprakelijk
NIS2 legt de verantwoordelijkheid uitdrukkelijk bij het bestuursorgaan, niet bij de IT-afdeling.
- Goedkeuren en toezien Het bestuursorgaan keurt de maatregelen voor het beheer van cyberbeveiligingsrisico's goed, ziet toe op de uitvoering en kan aansprakelijk worden gesteld voor inbreuken op artikel 21 (art. 20 lid 1).
- Opleidingsplicht Bestuurders moeten een opleiding volgen om cyberrisico's te kunnen herkennen en beoordelen; organisaties wordt aangeraden hetzelfde aan hun medewerkers aan te bieden (art. 20 lid 2).
- Registratieplicht Een organisatie die onder de wet valt meldt zich aan bij de toezichthouder; de wet wacht niet tot u zich meldt.
Handhaving en boetes
De boetemaxima staan in artikel 34 en gelden bij inbreuk op de zorgplicht (art. 21) of de meldplicht (art. 23).
- Essentiële entiteiten Tot ten minste tien miljoen euro of twee procent van de totale wereldwijde jaaromzet over het voorgaande boekjaar, het hoogste van beide (art. 34 lid 4).
- Belangrijke entiteiten Tot ten minste zeven miljoen euro of 1,4 procent van de totale wereldwijde jaaromzet, het hoogste van beide (art. 34 lid 5).
- En verder dan geld Een boete komt bovenop andere handhavingsmaatregelen. Blijven die zonder effect, dan kan de toezichthouder bij een essentiële entiteit een certificering of vergunning tijdelijk laten opschorten, of vragen een bestuurder tijdelijk een leidinggevende functie te ontzeggen (art. 32 lid 5).
In de bibliotheek
Geverifieerde aantallen
46 artikelen
Richtlijn (EU) 2022/2555 - Network and Information Security Directive.
84 wet-naar-control-koppelingen
Directe verwijzingen van wetsartikelen naar concrete controls in de bibliotheek.
69 frameworks
Deze norm staat niet op zichzelf: de bibliotheek telt 4.201 controls en 4.441 kruisverwijzingen.
Verwante normen
ISO 27001 · AVG · DORA · BIO en BIO2 · NEN 7510 · ISO 42001 · EU AI Act audit · Wpg · Alle normen
Aan de slag met NIS2 en de Cyberbeveiligingswet
Vraag een demo aan of bekijk hoe NIS2 Scanner deze norm ondersteunt.
Veelgestelde vragen
Voor wie geldt NIS2?
NIS2 geldt voor essentiële en belangrijke entiteiten in sectoren als energie, transport, zorg, digitale infrastructuur, overheid en voedsel, en voor veel van hun toeleveranciers. Ook middelgrote organisaties (vanaf 50 medewerkers of 10 miljoen euro omzet) in die sectoren vallen eronder.
Wat moet ik regelen voor NIS2?
De kern: een zorgplicht met passende maatregelen voor risicobeheer (van beleid en incidentafhandeling tot ketenbeveiliging en encryptie), een meldplicht bij significante incidenten en aantoonbare betrokkenheid van het bestuur. De Cyberbeveiligingswet werkt dit voor Nederland uit.
Hoe weet ik waar mijn organisatie staat?
Met de gratis NIS2 Scanner van Audirium doorloopt u een zelfassessment op de NIS2-thema's en ziet u direct de grootste gaten. De onderliggende bibliotheek koppelt elk NIS2-artikel aan concrete controls, zodat de vervolgstap meteen duidelijk is.
Hoeveel dekt mijn bestaande kader al af?
Dat verschilt sterk per kader. Op de NIS2-dekkingscheck staat per eis van de Cbw-zorgplicht wat ISO 27001, BIO2 of NEN 7510 al afdekt en waar het gat zit, met de aantallen per kader.
Wanneer geldt de Cyberbeveiligingswet?
Sinds 15 augustus 2026, zonder overgangsperiode. De Eerste Kamer nam de wet aan op 7 juli 2026; de zorgplicht, de meldplicht en de registratieplicht gelden vanaf dag één, voor naar schatting achtduizend Nederlandse organisaties. De Wet weerbaarheid kritieke entiteiten (Wwke), de Nederlandse omzetting van de CER-richtlijn, trad tegelijk in werking.
Binnen hoeveel tijd moet ik een incident melden?
In drie stappen bij het CSIRT of de bevoegde autoriteit: binnen 24 uur een vroegtijdige waarschuwing, binnen 72 uur de incidentmelding met een eerste beoordeling van ernst en gevolgen, en binnen één maand daarna een eindverslag met de grondoorzaak en de genomen maatregelen. Loopt het incident dan nog, dan volgt eerst een voortgangsverslag en daarna een eindverslag binnen een maand na afhandeling (art. 23 lid 4).
Wat zijn de tien maatregelen van de zorgplicht?
Artikel 21 lid 2 noemt: risicoanalyse en beveiligingsbeleid, incidentenbehandeling, bedrijfscontinuïteit en crisisbeheer, beveiliging van de toeleveringsketen, veilige verwerving en ontwikkeling van systemen inclusief kwetsbaarhedenbeheer, beoordeling van de effectiviteit van de maatregelen, cyberhygiëne en opleiding, cryptografie en encryptie, beveiliging rond personeel, toegang en bedrijfsmiddelen, en waar passend multifactorauthenticatie en beveiligde communicatie. Het is een minimum, geen keuzelijst.
Wat is het verschil tussen een essentiële en een belangrijke entiteit?
De zorgplicht is voor beide gelijk; het toezicht en de boete verschillen. Essentiële entiteiten zijn de grotere organisaties uit bijlage I van NIS2, plus enkele partijen ongeacht hun omvang, en staan onder proactief toezicht. Belangrijke entiteiten zijn de overige entiteiten uit bijlage I of II en worden reactief gecontroleerd, ná een incident of signaal (art. 3, 32 en 33).
Hoe hoog kan de boete zijn?
Voor essentiële entiteiten tot ten minste tien miljoen euro of twee procent van de totale wereldwijde jaaromzet, het hoogste van beide. Voor belangrijke entiteiten tot ten minste zeven miljoen euro of 1,4 procent (art. 34). Een boete komt bovenop andere maatregelen: blijft herstel uit, dan kan bij een essentiële entiteit een certificering tijdelijk worden opgeschort of een bestuurder tijdelijk een leidinggevende functie worden ontzegd (art. 32 lid 5).
Is het bestuur persoonlijk verantwoordelijk?
Ja. Het bestuursorgaan keurt de maatregelen goed, ziet toe op de uitvoering en kan aansprakelijk worden gesteld voor inbreuken op artikel 21. Bestuurders moeten bovendien zelf een opleiding volgen om cyberrisico's te kunnen beoordelen (art. 20).