NIS2: van verplichting naar kans
In oktober 2024 is de NIS2-richtlijn officieel van kracht geworden binnen de Europese Unie. Wat begon als een uitbreiding van bestaande wetgeving, is inmiddels uitgegroeid tot een belangrijke stap richting een digitaal weerbaarder Europa. NIS2 gaat namelijk verder dan alleen technische beveiliging. De richtlijn vraagt organisaties en vooral bestuurders om structureel verantwoordelijkheid te nemen voor cybersecurity en digitale weerbaarheid.
Waarom NIS2 nodig is
Onze economie draait op digitale infrastructuur. Tegelijkertijd neemt het aantal cyberdreigingen sterk toe. Ransomware, phishing en datalekken treffen niet alleen grote organisaties, maar steeds vaker ook middelgrote bedrijven en leveranciers in kritieke ketens. Waar de eerdere NIS1-richtlijn vooral gericht was op vitale sectoren zoals energie en telecom, breidt NIS2 de verantwoordelijkheid uit naar veel meer organisaties.
De richtlijn heeft drie duidelijke doelen:
- Meer digitale weerbaarheid van organisaties en infrastructuren
- Grotere verantwoordelijkheid op bestuursniveau
- Meer uniformiteit binnen de EU op het gebied van cybersecurity
Wat verandert er concreet?
Onder NIS2 vallen veel meer organisaties onder toezicht, waaronder ook IT-dienstverleners, logistieke bedrijven, zorgorganisaties en leveranciers in kritieke ketens. Daarnaast worden de eisen duidelijk aangescherpt.
Organisaties moeten onder andere:
- Structureel cyberrisico’s beoordelen en monitoren
- Serieuze incidenten binnen 24 uur melden
- Aantoonbaar verantwoordelijkheid nemen op bestuursniveau
Bij nalatigheid kunnen de gevolgen groot zijn. Boetes kunnen oplopen tot 10 miljoen euro of 2% van de wereldwijde jaaromzet.
Meer dan een verplichting
Veel organisaties zien NIS2 vooral als een verplichting. In de praktijk kan het juist een strategisch voordeel opleveren. Organisaties die hun digitale weerbaarheid aantoonbaar op orde hebben, bouwen vertrouwen op bij klanten, partners en leveranciers. In een wereld waarin dataveiligheid steeds belangrijker wordt, kan dat een doorslaggevende factor zijn in samenwerking. NIS2 is daarom geen doel op zich, maar een investering in betrouwbaarheid en continuïteit.
Wachten vergroot het risico
Hoewel veel organisaties weten dat NIS2 eraan komt, stellen zij voorbereidingen vaak uit. Dat is risicovol. Cyberdreigingen wachten immers niet op wetgeving. Recente incidenten bij onder andere telecombedrijven, overheidsinstanties en publieke registers laten zien hoe groot de impact van datalekken kan zijn. Voor veel organisaties geldt daarom: wie nu begint, heeft straks voorsprong.
Van verplichting naar versterking
Maak van NIS2 geen administratieve last, maar een kans om je organisatie sterker en toekomstbestendiger te maken. Met de NIS2 compliance workshop van Blauwhuys krijg je inzicht in waar je organisatie staat, welke risico’s er zijn en welke stappen nodig zijn om aantoonbaar compliant te worden.
Meer weten? Download onze whitepaper!
Veel gestelde vragen
Geldt NIS2 ook voor mijn organisatie?
Dat hangt af van je sector, omvang en dienstverlening. Ook organisaties die niet rechtstreeks onder NIS2 vallen, kunnen via klanten of ketenpartners met aanvullende beveiligingseisen te maken krijgen.
Welke verantwoordelijkheid hebben bestuurders onder NIS2?
Bestuurders moeten cybersecuritymaatregelen goedkeuren, toezicht houden op de uitvoering en beschikken over voldoende kennis van cyberrisico’s. Cybersecurity is daarmee nadrukkelijk een bestuurlijke verantwoordelijkheid.
Wat moeten organisaties doen om aan NIS2 te voldoen?
Organisaties moeten cyberrisico’s in kaart brengen, passende beveiligingsmaatregelen nemen, incidenten kunnen afhandelen en verantwoordelijkheden duidelijk vastleggen. Ook moeten zij kunnen aantonen dat deze maatregelen structureel worden uitgevoerd.
Welke incidenten moeten worden gemeld?
Significante incidenten die de dienstverlening, bedrijfscontinuïteit of veiligheid ernstig beïnvloeden, moeten worden gemeld. De eerste melding moet in beginsel binnen 24 uur na constatering plaatsvinden.
Welke boetes kunnen worden opgelegd?
Afhankelijk van het type organisatie kunnen boetes oplopen tot €10 miljoen of 2% van de wereldwijde jaaromzet. Daarnaast kunnen toezichthouders aanvullende maatregelen opleggen.
Hoe kan NIS2 een strategisch voordeel opleveren?
Een digitaal weerbare organisatie straalt betrouwbaarheid uit naar klanten, leveranciers en partners. Daarmee versterkt NIS2 niet alleen de compliance, maar ook de continuïteit, reputatie en concurrentiepositie.
Ik heb ISO27001, voldoe ik dan aan de NIS2-richtlijn?
Een organisatie die ISO 27001 gecertificeerd is, voldoet grofweg aan 70–80% van de NIS2‑vereisten. Dit maakt de ISO 27001 een uitstekend startpunt voor een NIS2-traject. Echter is de NIS2 een wetgeving en geen norm. Daardoor zijn er verplichtingen die buiten ISO 27001 vallen en die je aanvullend moet regelen. De NIS2 bevat onder andere de volgende extra verplichtingen en verantwoordelijkheden:
- Wettelijke meldplichten; de NIS2 vereist strikte meldtermijnen
- Bestuurlijke verantwoordelijkheid; NIS2 legt persoonlijke verantwoordelijkheid bij bestuur/directie
- Registratie en toezicht; NIS2‑plichtige organisaties moeten zich registreren bij de bevoegde autoriteit en zijn onderhevig aan toezicht en handhaving
- Diepgang in ketenverantwoordelijkheid; NIS2 stelt strengere eisen aan kritieke leveranciers en supply‑chain risico’s
