NIS2-richtlijn

De NIS2-richtlijn is de nieuwe Europese wet voor cyberbeveiliging. Het doel is helder: organisaties in de EU digitaal weerbaarder maken en het beveiligingsniveau structureel verhogen. Voor organisaties die als essentieel of belangrijk worden aangemerkt, gelden duidelijke en strengere eisen. Dat raakt niet alleen IT, maar ook bestuur, processen en verantwoordelijkheden.

Dat roept vragen op. Val je onder de richtlijn? Waar sta je nu? En wat moet je concreet regelen? Goede voorbereiding begint met inzicht. Bij Blauwhuys helpen we je dat inzicht scherp te krijgen om het vervolgens om te zetten in gerichte actie.

Download de whitepaper

Wat betekent NIS2 voor jouw organisatie?

Als NIS2 voor jouw organisatie geldt, verandert de rol van cybersecurity. Waar het vroeger vooral een IT-onderwerp was, wordt het nu een management- en bestuursvraagstuk

Processen vastleggen

Door processen te documenteren en periodiek te toetsen, voorkom je afhankelijkheid van individuen en creëer je aantoonbare grip voor toezichthouders.

Risico's beheren

NIS2 vraagt om een structurele en risicogestuurde aanpak. Dat betekent dat risico’s niet eenmalig worden geïnventariseerd, maar continu worden beoordeeld en gemonitord.

Incidenten melden

Bij een incident telt snelheid én juistheid. NIS2 stelt duidelijke eisen aan incidentafhandeling en meldplicht, inclusief wie wanneer wat meldt.

Verantwoordelijkheden vastleggen

NIS2 legt nadrukkelijk verantwoordelijkheid bij bestuur en management. Daarom is het essentieel dat rollen, taken en bevoegdheden formeel zijn vastgelegd.

NIS2-traject

Met ons NIS2-traject brengen we snel en eenvoudig in kaart of jouw organisatie onder de richtlijn valt én wat dit betekent, we begeleiden bij de implementatie en zorgen voor de borging. Geen giswerk. Geen onzekerheid.
Wel helderheid en een praktische startpositie.

1

Awareness

Wij vergroten het bewustzijn rondom NIS2 binnen jouw organisatie. Met gerichte trainingen en kennissessies maken we duidelijk wat NIS2 inhoudt, wie verantwoordelijk is en wat dit betekent voor bestuur, management en medewerkers. Zo ontstaat begrip, draagvlak en de juiste mindset.
2

Assessment

Met ons NIS2‑assessment brengen we snel en gestructureerd in kaart waar jouw organisatie staat. Via onze eigen NIS2‑tool identificeren we gaps op het gebied van processen, risico’s, incident-afhandeling en verantwoordelijkheden. Het resultaat: helder inzicht en een duidelijke basis voor vervolgstappen.
3

Implementatie

Een advies is pas waardevol als het ook wordt uitgevoerd. Wij begeleiden de vertaling van het NIS2‑adviesrapport naar concrete verbeteringen in de praktijk. Samen richten we processen in, borgen verantwoordelijkheden en zorgen dat NIS2 daadwerkelijk onderdeel wordt van de organisatie.
4

CIO-as-a-Service

Met CIO as a Service bieden wij doorlopende ondersteuning bij NIS2 en informatiebeveiliging. We denken strategisch mee, ondersteunen bij besluitvorming en begeleiden de verdere inrichting en borging. Zo beschik je continu over expertise, zonder deze volledig zelf in huis te hoeven hebben.

Herken jij deze uitdagingen voor jouw organisatie?

✔ We weten niet zeker of NIS2 op ons van toepassing is.
✔ We hebben geen duidelijk startpunt, waar begin je met NIS2‑compliance?
✔ We hebben al maatregelen, maar missen overzicht, structuur en samenhang.
✔ We zijn niet helder over verantwoordelijkheden bij risico’s en incidenten.
✔ We vinden het lastig om technische eisen te vertalen naar bestuur en directie.
Herkenbaar?
Plan een afspraak met één van onze experts en krijg direct duidelijkheid en richting.

Jasper van Dijk

Business development

Wil je graag meer informatie over NIS2? Maak een afspraak met Jasper

jaspervandijk@blauwhuys.nu

NIS2 veel gestelde vragen

We hebben de meest gestelde vragen over de NIS2-richtlijn overzichtelijk voor je verzameld.

Wat is de achtergrond van de NIS2-richtlijn?

In 2016 trad de eerste Network and Information Security directive (NIS) in werking, met als doel de digitale weerbaarheid in de Europese Unie te verbeteren. Door de snelle digitale transformatie is nu toegewerkt naar een nieuwe richtlijn. De NIS2 breidt de reikwijdte van de oorspronkelijke NIS-richtlijn uit door meer sectoren en organisaties te omvatten, waardoor een breder spectrum aan entiteiten verantwoordelijk is voor het handhaven van een hoog cybersecurityniveau. Met een focus op risico’s die netwerk- en informatiesystemen bedreigen, zoals cyberbeveiligingsrisico’s, streeft NIS2 naar Europese harmonisatie en een verhoogd niveau van cyberbeveiliging. Het is een antwoord op de groeiende cyberdreigingen en andere veiligheidsuitdagingen die onze maatschappij en economie beïnvloeden en benadrukt het belang van proactieve bescherming en voorbereiding op incidenten die de continuïteit van belangrijke en essentiële diensten kunnen onderbreken.

Wanneer treedt de Cyberbeveiligingswet in?

De Nederlandse Cyberbeveiligingswet (Cbw), die de Europese NIS2‑richtlijn omzet naar nationale regelgeving, wordt naar verwachting in het tweede kwartaal van 2026 van kracht. Hoewel de NIS2‑richtlijn al op 17 oktober 2024 geïmplementeerd had moeten zijn, heeft de vertraging in de nationale wetgevingsprocedure ervoor gezorgd dat organisaties pas vanaf 2026 daadwerkelijk aan de nieuwe verplichtingen moeten voldoen.

Wanneer val je onder de NIS2-richtlijn?

Je valt onder de NIS2-richtlijn (in Nederland: de Cyberbeveiligingswet) als jouw organisatie voldoet aan de vastgestelde omvangcriteria én actief is binnen een door de EU aangewezen sector. Het gaat om organisaties met een essentiële of maatschappelijk belangrijke rol, waarvoor digitale weerbaarheid aantoonbaar op orde moet zijn.

Wat zijn essentiële- en belangrijke entiteiten?

Essentiële entiteiten (Annex I) zijn organisaties die van cruciaal belang zijn voor het functioneren van de maatschappij. Denk aan sectoren zoals energie, gezondheidszorg, drinkwater, digitale infrastructuur en overheidsdiensten.

Belangrijke entiteiten (Annex II) zijn organisaties die een grote economische of maatschappelijke impact hebben, zoals afvalstoffenbeheer, digitale aanbieders, voedselproductie, de chemische sector en onderzoeksinstellingen.

Wat gebeurt er als mijn organisatie niet voldoet aan NIS2?

Toezichthouders kunnen onder de NIS2‑richtlijn (in Nederland uitgewerkt in de Cyberbeveiligingswet, Cbw) namens de minister een aanwijzing, bindende instructie of boete opleggen wanneer een organisatie niet voldoet aan de verplichtingen die onder de NIS2 vallen.

Wie houdt toezicht op de naleving van NIS2?

In Nederland wordt de Rijksinspectie Digitale Infrastructuur (RDI) toezichthouder voor onder meer energie, digitale infrastructuur, ruimtevaart, maakindustrie, digitale dienstverleners, overheidsdiensten, post- en koeriersdiensten, onderzoek en het beheer van ICT-diensten.

Voor andere sectoren binnen de reikwijdte van NIS2 blijft het sectorspecifieke toezicht van kracht. Zo houdt De Nederlandsche Bank toezicht op de financiële sector en ziet de Inspectie Gezondheidszorg en Jeugd toe op de zorgsector.

Is NIS2 alleen een IT-onderwerp?

Nee. NIS2 is nadrukkelijk een bestuurlijke verantwoordelijkheid en raakt zowel processen, mensen als techniek.

Ik heb ISO27001, voldoe ik dan aan de NIS2-richtlijn?

Een organisatie die ISO 27001 gecertificeerd is, voldoet grofweg aan 70–80% van de NIS2‑vereisten. Dit maakt de ISO 27001 een uitstekend startpunt voor een NIS2-traject. Echter is de NIS2 een wetgeving en geen norm. Daardoor zijn er verplichtingen die buiten ISO 27001 vallen en die je aanvullend moet regelen. De NIS2 bevat onder andere de volgende extra verplichtingen en verantwoordelijkheden:

Wettelijke meldplichten; de NIS2 vereist strikte meldtermijnen
Bestuurlijke verantwoordelijkheid; NIS2 legt persoonlijke verantwoordelijkheid bij bestuur/directie
Registratie en toezicht; NIS2‑plichtige organisaties moeten zich registreren bij de bevoegde autoriteit en zijn onderhevig aan toezicht en handhaving
Diepgang in ketenverantwoordelijkheid; NIS2 stelt strengere eisen aan kritieke leveranciers en supply‑chain risico’s