Hoe werkt NIS2-handhaving in de praktijk in Nederland?

NIS2-handhaving in Nederland verloopt via sectorspecifieke toezichthouders die organisaties kunnen controleren, boetes opleggen en sancties uitvaardigen bij niet-naleving. De Cyberbeveiligingswet, waarmee Nederland de NIS2-richtlijn heeft omgezet in nationale wetgeving, bepaalt precies wie toezicht houdt, welke verplichtingen gelden en wat de gevolgen zijn van overtredingen. Dit artikel beantwoordt de meest gestelde vragen over NIS2-toezicht in de praktijk.

Welke toezichthouders zijn verantwoordelijk voor NIS2-handhaving in Nederland?

In Nederland is NIS2-handhaving verdeeld over meerdere sectorspecifieke toezichthouders, aangestuurd vanuit een nationaal kader. Er is geen enkele centrale NIS2-toezichthouder: welke instantie jouw organisatie controleert, hangt af van de sector waarin je actief bent. De Rijksinspectie Digitale Infrastructuur (RDI) speelt een centrale coördinerende rol, maar sectorale toezichthouders voeren de daadwerkelijke handhaving uit.

Voorbeelden van aangewezen toezichthouders per sector zijn de Autoriteit Persoonsgegevens, de Autoriteit Nucleaire Veiligheid en Stralingsbescherming en het Agentschap Telecom. Voor organisaties in de defensie-toeleveringsketen gelden aanvullende eisen, zoals de Algemene Beveiligingseisen voor Defensieopdrachten (ABDO) en, vanaf 1 januari 2026, de Algemene Beveiligingseisen voor Rijksoverheidsopdrachten (ABRO). Daarmee gelden binnen de hele Rijksoverheid dezelfde beveiligingseisen voor opdrachten met risico’s voor de nationale veiligheid.

Hoe verloopt een NIS2-handhavingsonderzoek stap voor stap?

Een NIS2-handhavingsonderzoek begint doorgaans met een formele kennisgeving van de toezichthouder, gevolgd door een verzoek om documentatie en bewijs van getroffen beveiligingsmaatregelen. Het onderzoek kan zowel op afstand als ter plaatse worden uitgevoerd, afhankelijk van de ernst van de aanleiding en de sector.

In de praktijk verloopt een handhavingsonderzoek meestal in de volgende fasen:

• Voorbereiding: de toezichthouder vraagt beleidsdocumenten, risicoanalyses en incidentregistraties op.
• Beoordeling: de ingediende documentatie wordt getoetst aan de vereisten uit de Cyberbeveiligingswet.
• Verificatie ter plaatse: bij twijfel of bij essentiële entiteiten volgt een fysieke audit of technische toetsing.
• Rapportage en herstelperiode: de toezichthouder deelt bevindingen en geeft de organisatie de gelegenheid om tekortkomingen te herstellen voordat sancties worden opgelegd.

Organisaties die proactief kunnen aantonen dat ze hun beveiligingsmaatregelen hebben gedocumenteerd en getest, doorlopen dit proces aanzienlijk soepeler. Een goed ingericht informatiebeveiligingsbeheersysteem, zoals beschreven in ISO 27001, biedt daarvoor een solide basis.

Welke boetes en sancties kunnen organisaties verwachten bij NIS2-overtredingen?

Bij NIS2-overtredingen kunnen toezichthouders aanzienlijke boetes opleggen. Voor essentiële entiteiten geldt een maximumboete van 10 miljoen euro of 2% van de wereldwijde jaaromzet, afhankelijk van welk bedrag hoger is. Voor belangrijke entiteiten ligt het maximum op 7 miljoen euro of 1,4% van de wereldwijde jaaromzet.

Naast financiële sancties kunnen toezichthouders ook andere maatregelen inzetten, zoals het opleggen van een verwerkingsverbod, het verplicht publiceren van overtredingen of het tijdelijk schorsen van leidinggevenden. Voor defensieleveranciers zijn de gevolgen nog ingrijpender: het verlies van contractuele geschiktheid kan direct leiden tot het mislopen van aanbestedingen en opdrachten. NIS2-boetes zijn daarmee niet alleen een financieel risico, maar ook een reputatie- en continuïteitsrisico.

Wat moet een organisatie melden en binnen welke termijn?

Onder de NIS2-meldplicht zijn organisaties verplicht significante incidenten te melden bij de bevoegde nationale autoriteit. Een incident is significant als het aanzienlijke gevolgen heeft voor de dienstverlening of als het andere organisaties of sectoren kan raken. De melding verloopt in drie stappen met vaste termijnen.

Binnen 24 uur na ontdekking moet een eerste melding worden gedaan, ook als de informatie nog onvolledig is. Binnen 72 uur volgt een uitgebreidere melding met een eerste beoordeling van de impact en de oorzaak. Uiterlijk één maand na het incident dient een eindrapportage te worden ingediend met een volledige analyse en de genomen herstelmaatregelen. Het niet naleven van deze meldtermijnen kan op zichzelf al leiden tot handhavingsmaatregelen, ongeacht de ernst van het oorspronkelijke incident.

Hoe verschilt NIS2-handhaving voor essentiële en belangrijke entiteiten?

NIS2 maakt een duidelijk onderscheid tussen essentiële entiteiten en belangrijke entiteiten, en dat onderscheid heeft directe gevolgen voor de intensiteit van het toezicht. Essentiële entiteiten vallen onder proactief, doorlopend toezicht: de toezichthouder kan op eigen initiatief audits uitvoeren, ook zonder aanleiding. Belangrijke entiteiten worden reactief gecontroleerd, wat betekent dat toezicht doorgaans pas volgt na een incident of klacht.

Essentiële entiteiten zijn over het algemeen grotere organisaties in sectoren als energie, transport, drinkwater, digitale infrastructuur en gezondheidszorg. Belangrijke entiteiten omvatten onder meer middelgrote organisaties in sectoren als post, afvalverwerking en bepaalde digitale dienstverleners. Veel defensieleveranciers en maakbedrijven die kritieke componenten leveren, vallen afhankelijk van hun omvang en rol in een van deze categorieën. Het is essentieel om tijdig te bepalen in welke categorie jouw organisatie valt, omdat dit de compliance-inspanning en het toezichtrisico direct bepaalt.

Welke beveiligingsmaatregelen toetst de toezichthouder tijdens een NIS2-audit?

Tijdens een NIS2-audit toetst de toezichthouder of een organisatie passende en evenredige technische, operationele en organisatorische maatregelen heeft getroffen om cyberrisico’s te beheersen. De focus ligt niet op een specifieke technologie, maar op aantoonbare risicobeheersing.

Concreet kijkt de toezichthouder naar onderwerpen als risicoanalyse en informatiebeveiligingsbeleid, incidentbeheer en meldprocedures, bedrijfscontinuïteit en back-upbeheer, beveiliging van de toeleveringsketen, toegangsbeheer en authenticatie, en de beveiliging van netwerk- en informatiesystemen. Voor organisaties die werken met de NIS2-vereisten is het van belang dat maatregelen niet alleen op papier bestaan, maar ook in de praktijk aantoonbaar worden toegepast en periodiek getest.

Hoe bereid je een organisatie voor op NIS2-toezicht?

Een goede voorbereiding op NIS2-toezicht begint met het in kaart brengen van de huidige beveiligingsstatus ten opzichte van de wettelijke vereisten. Een GAP-analyse vormt daarvoor het vertrekpunt: zo weet je precies waar de tekortkomingen zitten en welke stappen prioriteit hebben.

Praktische stappen die organisaties kunnen zetten, zijn het opstellen of actualiseren van een risicoanalyse, het documenteren van beveiligingsmaatregelen en incidentprocedures, het trainen van medewerkers en management op cyberbewustzijn, en het inrichten van een meldproces dat voldoet aan de NIS2-termijnen. Organisaties die al werken met een erkend framework zoals ISO 27001 of IEC 62443 hebben een voorsprong, omdat veel van de vereiste maatregelen daarin al zijn verankerd. Regelmatige interne audits en penetratietests helpen bovendien om de effectiviteit van de beveiliging te verifiëren voordat de toezichthouder dat doet.

Hoe helpt Hofsecure bij NIS2-compliance en toezichtvoorbereiding?

Wij begrijpen dat NIS2-handhaving voor veel organisaties, zeker in de defensie-toeleveringsketen, een complexe uitdaging is. Met meer dan 20 jaar ervaring bij defensiebedrijven en andere zwaar gereguleerde sectoren vertalen wij de vereisten van de Cyberbeveiligingswet naar concrete, werkbare maatregelen voor jouw organisatie. Geen wollige rapporten, maar een helder beeld van waar je staat en wat er nodig is.

Wat wij voor jouw organisatie doen:

• GAP-analyse: we brengen in kaart waar je nu staat ten opzichte van de NIS2-vereisten en welke stappen prioriteit verdienen.
• Implementatiebegeleiding: we helpen bij het opstellen van beleid, procedures en technische maatregelen die aantoonbaar werken.
• CISO as a service: ook na implementatie blijven we betrokken als vast aanspreekpunt, zodat je altijd compliant blijft en klaar bent voor toezicht.

Wil je weten hoe jouw organisatie er nu voor staat op het gebied van NIS2-compliance? Neem vrijblijvend contact op en we bespreken samen de mogelijkheden.