Hoe verhoudt NIS2 zich tot de AVG?
NIS2 en de AVG zijn twee verschillende Europese wetten die elk een eigen doel dienen: de AVG beschermt persoonsgegevens van individuen, terwijl NIS2 gericht is op de digitale weerbaarheid van organisaties en kritieke infrastructuur. Beide wetten leggen verplichtingen op aan bedrijven, maar ze vullen elkaar aan in plaats van elkaar te overlappen. Voor organisaties in Nederland is het belangrijk te begrijpen waar de wetten samenkomen en waar ze uiteenlopen.
In dit artikel beantwoorden we de meest gestelde vragen over het verschil tussen NIS2 en de AVG, zodat je precies weet wat elke wet van jouw organisatie vraagt.
Wat regelt NIS2 dat de AVG niet dekt?
NIS2 regelt de operationele cybersecurity van organisaties in kritieke sectoren, zoals energievoorziening, transport, gezondheidszorg en digitale infrastructuur. Waar de AVG zich richt op de bescherming van persoonsgegevens, gaat NIS2 verder: het stelt eisen aan de algehele beveiliging van netwerken, systemen en bedrijfsprocessen, ongeacht of er persoonsgegevens in het spel zijn.
Concreet dekt NIS2 zaken die buiten het bereik van de AVG vallen:
- Beveiligingseisen voor netwerk- en informatiesystemen
- Risicobeheer voor de continuïteit van kritieke diensten
- Incidentrespons en herstelplannen voor cyberaanvallen
- Beveiliging van de toeleveringsketen (supply chain security)
- Verplichte registratie bij nationale toezichthouders
De AVG vraagt organisaties om persoonsgegevens te beveiligen, maar schrijft niet voor hoe de bredere IT-infrastructuur moet worden ingericht. NIS2 vult die leemte op door concrete technische en organisatorische maatregelen te eisen die de operationele continuïteit waarborgen. Meer weten over wat de NIS2 richtlijn precies inhoudt? We leggen het stap voor stap uit.
Wat hebben NIS2 en de AVG met elkaar gemeen?
Ondanks hun verschillende doelstellingen delen NIS2 en de AVG een gemeenschappelijke basis: beide wetten verplichten organisaties om passende technische en organisatorische maatregelen te nemen om risico’s te beheersen. Ook vereisen beide een risicogebaseerde aanpak en leggen ze verantwoordelijkheden bij het bestuur van een organisatie.
De overlap is het duidelijkst zichtbaar op drie gebieden. Ten eerste verwachten beide wetten dat organisaties een risicoanalyse uitvoeren en op basis daarvan beveiligingsmaatregelen implementeren. Ten tweede verplichten beide tot het melden van incidenten, zij het met verschillende drempelwaarden en termijnen. Ten derde leggen beide wetten de eindverantwoordelijkheid bij het management, wat betekent dat bestuurders persoonlijk aansprakelijk kunnen zijn bij nalatigheid.
Deze gedeelde principes maken het mogelijk om compliance-inspanningen te combineren. Een goed ingericht informatiebeveiligingsbeleid legt een fundament dat zowel aan NIS2 als aan de AVG bijdraagt.
Welke organisaties vallen onder NIS2 maar niet onder de AVG?
In theorie valt bijna elke organisatie die persoonsgegevens verwerkt onder de AVG, wat in de praktijk neerkomt op vrijwel alle bedrijven en instellingen. NIS2 heeft een smaller toepassingsgebied: de richtlijn geldt specifiek voor middelgrote en grote organisaties in aangewezen kritieke sectoren, zoals energie, water, transport, gezondheidszorg, financiële infrastructuur en digitale dienstverlening.
Een voorbeeld: een productiebedrijf dat onderdelen levert aan de defensie-industrie kan onder NIS2 vallen vanwege zijn rol in een kritieke toeleveringsketen, terwijl een kleine webshop zonder kritieke functie dat niet doet. Tegelijkertijd verwerkt die webshop wel klantgegevens en valt daarmee volledig onder de AVG.
Het is dus goed mogelijk dat een organisatie alleen onder de AVG valt, maar niet onder NIS2. Het omgekeerde, alleen NIS2 zonder AVG, is in de praktijk vrijwel onmogelijk, omdat NIS2-plichtige organisaties bijna altijd ook persoonsgegevens verwerken.
Wanneer moeten bedrijven een datalek melden onder NIS2 versus de AVG?
Onder de AVG moet een datalek waarbij persoonsgegevens zijn betrokken binnen 72 uur worden gemeld bij de Autoriteit Persoonsgegevens, mits het lek een risico vormt voor de rechten en vrijheden van betrokkenen. NIS2 hanteert een andere systematiek: hier gaat het niet alleen om datalekken, maar om elk significant beveiligingsincident dat de continuïteit van een dienst kan verstoren.
De meldtermijnen onder NIS2 zijn bovendien opgesplitst in fasen:
- Vroege waarschuwing: binnen 24 uur na ontdekking van een significant incident
- Incidentmelding: binnen 72 uur een meer gedetailleerde melding
- Eindrapportage: binnen een maand een volledig rapport met oorzaak, impact en genomen maatregelen
Het verschil zit ook in de ontvangende instantie. AVG-meldingen gaan naar de Autoriteit Persoonsgegevens. NIS2-meldingen gaan naar het NCSC of de relevante sectorale toezichthouder. Als een incident zowel persoonsgegevens raakt als de operationele continuïteit verstoort, kunnen beide meldplichten tegelijkertijd van toepassing zijn.
Kunnen NIS2- en AVG-compliance tegelijk worden aangepakt?
Ja, NIS2- en AVG-compliance kunnen en mogen tegelijk worden aangepakt. Sterker nog: een geïntegreerde aanpak is efficiënter dan twee losse trajecten. Omdat beide wetten overlappende eisen stellen op het gebied van risicoanalyse, beveiligingsmaatregelen en documentatie, kunnen veel inspanningen worden gecombineerd.
Een praktische aanpak begint met het in kaart brengen van de informatiebeveiligingsrisico’s van de organisatie. De uitkomsten daarvan vormen de basis voor zowel het AVG-verwerkingsregister als het NIS2-risicobeheerplan. Vervolgens kunnen beveiligingsmaatregelen worden geïmplementeerd die aan beide wetten voldoen, zoals toegangsbeheer, encryptie en incidentresponsplannen.
Het gebruik van een erkend cybersecurity framework, zoals ISO 27001 of het NIST Cybersecurity Framework, helpt daarbij. Zulke frameworks bieden een gestructureerde methode die de eisen van zowel NIS2 als de AVG dekt. Bekijk hoe de implementatie van cybersecurity frameworks jouw organisatie vooruit kan helpen.
Wat zijn de sancties onder NIS2 vergeleken met de AVG?
Zowel NIS2 als de AVG kennen forse sancties, maar de hoogte en de systematiek verschillen. Onder de AVG kunnen boetes oplopen tot 20 miljoen euro of 4% van de wereldwijde jaaromzet, afhankelijk van welk bedrag hoger is. NIS2 hanteert een onderscheid tussen essentiële en belangrijke entiteiten.
Voor essentiële entiteiten, zoals energiebedrijven en aanbieders van kritieke digitale infrastructuur, kunnen boetes onder NIS2 oplopen tot 10 miljoen euro of 2% van de wereldwijde omzet. Voor belangrijke entiteiten geldt een maximum van 7 miljoen euro of 1,4% van de omzet. Naast financiële sancties kan NIS2 ook leiden tot tijdelijke schorsing van leidinggevenden bij ernstige nalatigheid, wat de AVG niet voorziet.
Een belangrijk verschil is ook de reikwijdte van aansprakelijkheid: de AVG richt zich primair op de bescherming van individuen en hun gegevens, terwijl NIS2 de nadruk legt op de maatschappelijke impact van een beveiligingsincident. Organisaties die in beide regimes opereren, lopen dus een dubbel sanctierisico als ze een incident niet tijdig en correct afhandelen.
Hoe wij helpen met NIS2 en AVG compliance
Bij Hofsecure begrijpen we dat NIS2 en de AVG samen een complex compliance-landschap vormen, zeker voor organisaties die actief zijn in sectoren als productie, online retail of defensiegerelateerde toeleveringsketens. We helpen organisaties om beide wetten niet als aparte projecten te behandelen, maar als een geïntegreerd geheel.
Wat we concreet voor je doen:
- Een gap-analyse die in kaart brengt waar jouw organisatie staat ten opzichte van zowel NIS2 als de AVG
- Advies over welke beveiligingsmaatregelen beide wetten tegelijk afdekken
- Begeleiding bij het opzetten van meldprocedures voor datalekken en beveiligingsincidenten
- Ondersteuning bij de implementatie van een passend cybersecurity framework
- CISO as a service voor organisaties zonder eigen senior beveiligingsexpertise
Wil je weten hoe jouw organisatie er nu voor staat? Neem contact op en we kijken samen naar de beste aanpak voor jouw situatie.
