Hoe verschilt NIS2 van de originele NIS-richtlijn?
NIS2 verschilt van de originele NIS-richtlijn op vier cruciale punten: een veel bredere sectorale reikwijdte, strengere beveiligingseisen, aangescherpte meldplichten en directe aansprakelijkheid voor bestuurders. Waar de eerste NIS-richtlijn uit 2016 nog relatief beperkt was in scope en handhaving, introduceert NIS2 een uniform en strenger kader dat geldt voor aanzienlijk meer organisaties in Europa. Dit artikel beantwoordt de meest gestelde vragen over de verschillen tussen NIS en NIS2.
Wat zijn de grootste tekortkomingen van de originele NIS-richtlijn?
De originele NIS-richtlijn kende drie fundamentele tekortkomingen: een te beperkte sectorale dekking, grote inconsistenties in implementatie tussen EU-lidstaten, en onvoldoende handhaving. Hierdoor ontstond een gefragmenteerd beveiligingslandschap in Europa, waarbij organisaties in vergelijkbare sectoren te maken hadden met sterk uiteenlopende eisen.
Concreet betekende dit dat lidstaten veel vrijheid hadden in de manier waarop zij de richtlijn omzetten naar nationale wetgeving. Nederland kon andere drempelwaarden hanteren dan Duitsland of Frankrijk, wat grensoverschrijdende samenwerking bemoeilijkte. Bovendien was de lijst van aangewezen sectoren beperkt tot een handvol kritieke infrastructuren, terwijl de digitale economie inmiddels veel breder was geworden.
Een ander pijnpunt was de beperkte aandacht voor toeleveringsketens. Aanvallen via leveranciers, zoals de SolarWinds-aanval, toonden aan dat beveiliging niet stopt bij de eigen organisatiegrenzen. De originele NIS-richtlijn adresseerde dit nauwelijks. NIS2 is mede als reactie op deze tekortkomingen ontworpen.
Welke sectoren vallen onder NIS2 maar niet onder de oude NIS?
NIS2 breidt de sectorale reikwijdte aanzienlijk uit ten opzichte van de originele richtlijn. Nieuw toegevoegde sectoren zijn onder andere afvalwaterbeheer, ruimtevaart, digitale infrastructuur, overheidsdiensten, levensmiddelenproductie, chemische industrie en post- en koeriersdiensten.
De originele NIS richtte zich voornamelijk op:
- Energie (elektriciteit, olie en gas)
- Transport (lucht, spoor, water en wegvervoer)
- Bankwezen en financiële marktinfrastructuren
- Gezondheidszorg
- Drinkwatervoorziening
- Digitale infrastructuur (beperkt)
NIS2 maakt bovendien een onderscheid tussen “essentiële entiteiten” en “belangrijke entiteiten”. Essentiële entiteiten zijn grote organisaties in hoog-risicosectoren en vallen onder strenger toezicht. Belangrijke entiteiten zijn middelgrote organisaties in dezelfde of aanvullende sectoren en kennen een iets lichter toezichtregime, maar moeten wel aan dezelfde basisvereisten voldoen. Dit onderscheid bestond niet in de originele richtlijn.
Hoe strenger zijn de beveiligingseisen onder NIS2?
De beveiligingseisen onder NIS2 zijn concreter, uitgebreider en juridisch bindender dan onder de originele NIS-richtlijn. Waar NIS sprak over “passende technische en organisatorische maatregelen”, specificeert NIS2 een reeks minimummaatregelen die alle betrokken organisaties moeten implementeren.
NIS2 vereist onder meer:
- Een risicoanalyse en beleid voor informatiebeveiliging
- Procedures voor incidentafhandeling en bedrijfscontinuïteit
- Beveiliging van de toeleveringsketen, inclusief leveranciers en dienstverleners
- Veilige ontwikkeling en onderhoud van netwerk- en informatiesystemen
- Beleid voor het gebruik van cryptografie en encryptie
- Toegangsbeveiliging en beheer van geprivilegieerde accounts
- Bewustwording en training van medewerkers op het gebied van cybersecurity
- Multi-factor authenticatie waar van toepassing
De nadruk op ketenbeveiliging is een van de meest ingrijpende veranderingen. Organisaties zijn nu ook verantwoordelijk voor de cybersecuritypraktijken van hun kritieke leveranciers. Dit vraagt om een actieve beoordeling van de beveiligingspositie van partners, iets wat onder de originele NIS-richtlijn niet expliciet werd vereist. Meer informatie over hoe je een cybersecurity framework implementeert kan helpen om deze eisen structureel aan te pakken.
Wat zijn de nieuwe meldplichten voor incidenten onder NIS2?
NIS2 introduceert een striktere en gefaseerde meldplicht voor significante incidenten. Organisaties moeten een incident binnen 24 uur melden bij de bevoegde autoriteit via een eerste melding, gevolgd door een gedetailleerd rapport binnen 72 uur en een eindrapportage binnen een maand.
De originele NIS-richtlijn kende een meldplicht, maar liet lidstaten veel ruimte in de invulling van termijnen en drempelwaarden. NIS2 harmoniseert dit Europees breed. Een incident is “significant” als het ernstige operationele verstoringen veroorzaakt of financiële schade tot gevolg heeft, of als het andere organisaties of personen aanzienlijk treft.
Belangrijk is dat de meldplicht niet alleen geldt voor bevestigde inbreuken, maar ook voor vermoedens van significante incidenten. Dit vraagt om een goed ingericht detectie- en responssysteem, zodat organisaties tijdig kunnen signaleren wat er speelt en adequaat kunnen rapporteren.
Hoe verschilt de aansprakelijkheid van bestuurders onder NIS2?
NIS2 introduceert directe persoonlijke aansprakelijkheid voor bestuurders van essentiële en belangrijke entiteiten. Dit is een fundamenteel verschil met de originele NIS-richtlijn, waarbij aansprakelijkheid primair op organisatieniveau lag. Bestuurders kunnen nu persoonlijk verantwoordelijk worden gehouden als zij hun toezichthoudende verplichtingen op het gebied van cybersecurity verwaarlozen.
Concreet betekent dit dat bestuurders moeten aantonen dat zij actief betrokken zijn bij het cybersecuritybeleid van hun organisatie. Zij dienen trainingen te volgen, risico’s te begrijpen en te kunnen verantwoorden welke maatregelen zijn genomen. Het is niet langer voldoende om cybersecurity volledig te delegeren aan een IT-afdeling zonder bestuurlijke betrokkenheid.
In ernstige gevallen van nalatigheid kunnen toezichthouders zelfs een tijdelijk verbod opleggen aan een bestuurder om leidinggevende functies te vervullen. Dit maakt NIS2 tot een richtlijn met tanden die reikt tot in de boardroom.
Welke sancties gelden bij niet-naleving van NIS2?
Bij niet-naleving van NIS2 kunnen essentiële entiteiten boetes oplopen tot 10 miljoen euro of 2% van de wereldwijde jaaromzet, afhankelijk van welk bedrag hoger is. Voor belangrijke entiteiten geldt een maximumboete van 7 miljoen euro of 1,4% van de wereldwijde jaaromzet.
Dit is een aanzienlijke verhoging ten opzichte van de originele NIS-richtlijn, waarbij boetes per lidstaat sterk verschilden en in de praktijk zelden werden opgelegd. NIS2 harmoniseert de sancties op Europees niveau en verplicht lidstaten tot actieve handhaving.
Naast financiële sancties kunnen toezichthouders ook bindende instructies opleggen, audits uitvoeren en in het uiterste geval tijdelijke operationele beperkingen instellen. De combinatie van hogere boetes en persoonlijke bestuurlijke aansprakelijkheid maakt compliance met de NIS2-richtlijn een strategische prioriteit.
Wanneer moet een organisatie in Nederland voldoen aan NIS2?
In Nederland had de NIS2-richtlijn uiterlijk op 17 oktober 2024 omgezet moeten zijn in nationale wetgeving, maar de implementatie via de Cyberbeveiligingswet loopt vertraging op. In 2026 wordt de definitieve nationale wetgeving verwacht, maar organisaties doen er verstandig aan zich nu al voor te bereiden op de eisen van NIS2.
De Europese NIS2-richtlijn is al van kracht en de richting is duidelijk: organisaties die vallen onder de reikwijdte van NIS2 moeten hun beveiligingsmaatregelen, governance en meldprocessen op orde hebben. Wachten op de definitieve Nederlandse wet is risicovol, zeker omdat het implementatietraject tijd kost.
Of uw organisatie onder NIS2 valt, hangt af van de sector en de omvang. Middelgrote en grote organisaties in de aangewezen sectoren zijn in principe verplicht te voldoen. Kleine organisaties vallen in de meeste gevallen buiten de scope, tenzij zij een kritieke rol spelen in hun sector.
Hoe Hofsecure helpt met NIS2-compliance
Wij begrijpen dat NIS2 voor veel organisaties een ingrijpende verandering betekent, zeker als er intern geen dedicated security expertise beschikbaar is. Vanuit onze achtergrond als voormalig CISO bij een grote defensieleverancier en ISO bij een grote online retailer, helpen wij organisaties om NIS2 niet als administratieve last te benaderen, maar als kans om digitale weerbaarheid structureel te versterken.
Wat wij concreet voor u kunnen doen:
- Een gap-analyse uitvoeren om te bepalen waar uw organisatie nu staat ten opzichte van de NIS2-eisen
- Een implementatieplan opstellen dat aansluit bij uw sector, omvang en risiconiveau
- Ondersteuning bieden bij het inrichten van incidentmeldprocessen en meldprocedures
- Bestuurders begeleiden in hun nieuwe rol en verantwoordelijkheden onder NIS2
- Ketenbeveiliging beoordelen en leveranciersrisico’s in kaart brengen
- CISO-as-a-service leveren voor organisaties zonder eigen senior security capaciteit
NIS2 vraagt om actie, niet om afwachten. Neem contact op met Hofsecure voor een vrijblijvend gesprek over uw NIS2-gereedheid en ontdek hoe wij u kunnen helpen om compliant en weerbaar te worden.
