Wat is het verschil tussen NIS2-toezicht in Nederland en België?

Het toezicht op NIS2 verschilt tussen Nederland en België op drie belangrijke punten: de aangewezen toezichthouder, de gehanteerde drempelwaarden en de hoogte van de boetes. In Nederland is het Nationaal Cyber Security Centrum (NCSC) de centrale coördinerende instantie, terwijl België het Centre for Cybersecurity Belgium (CCB) heeft aangewezen. Voor organisaties die in beide landen actief zijn, betekent dit dat zij te maken krijgen met twee aparte toezichtregimes die elk hun eigen eisen stellen. Dit artikel beantwoordt de meest gestelde vragen over de verschillen tussen NIS2-toezicht in Nederland en België.

Wie houdt er toezicht op NIS2 in Nederland en België?

In Nederland is het toezicht op NIS2 verdeeld over meerdere sectorale toezichthouders, gecoördineerd door het Nationaal Cyber Security Centrum (NCSC) onder het ministerie van Justitie en Veiligheid. In België is het Centre for Cybersecurity Belgium (CCB) de centrale en sectoroverstijgende toezichthouder voor NIS2-naleving.

Het Nederlandse model werkt met zogenoemde “bevoegde autoriteiten” per sector. Zo houdt de Autoriteit Persoonsgegevens toezicht op bepaalde digitale dienstverleners, terwijl sectorspecifieke toezichthouders zoals de Rijksinspectie Digitale Infrastructuur (RDI) actief zijn voor andere domeinen. Dit gedecentraliseerde model betekent dat een organisatie in Nederland, afhankelijk van haar sector, te maken kan krijgen met een andere toezichthouder.

België kiest voor een gecentraliseerde aanpak. Het CCB fungeert als één loket voor NIS2-toezicht en werkt samen met sectorale autoriteiten, maar behoudt de centrale regie. Voor organisaties die in beide landen opereren, is het belangrijk te weten met welke instantie zij in elk land contact moeten opnemen bij een incident of audit.

Welke sectoren vallen onder NIS2 in Nederland versus België?

Beide landen implementeren de Europese NIS2-richtlijn, die een onderscheid maakt tussen “essentiële entiteiten” en “belangrijke entiteiten” in sectoren zoals energie, transport, financiën, gezondheidszorg, drinkwater, digitale infrastructuur en overheid. De sectorindeling is grotendeels gelijk, maar de nationale uitwerking en de registratieplicht kunnen per land verschillen.

In Nederland zijn organisaties verplicht zichzelf te registreren bij de bevoegde autoriteit als zij binnen een aangewezen sector vallen. De Nederlandse wetgeving, de Cyberbeveiligingswet, volgt de NIS2-indeling nauw maar geeft sectorale toezichthouders ruimte voor nadere invulling. In België moeten organisaties zich registreren via het CCB-platform en actief aangeven in welke categorie zij vallen.

Een praktisch verschil zit in de manier waarop beide landen omgaan met de grensgevallen: organisaties die net aan de drempelwaarden voldoen. Nederland hanteert daarvoor een zelfbeoordelingsmodel, terwijl België actiever communiceert welke organisaties geacht worden te vallen onder de wet. Voor NIS2-compliance is het dan ook verstandig om per land afzonderlijk te beoordelen of en hoe uw organisatie onder de wet valt.

Wat zijn de meldplichtdeadlines en drempelwaarden per land?

Beide landen hanteren de NIS2-meldplicht van 24 uur voor een eerste melding bij een significant incident, gevolgd door een gedetailleerd rapport binnen 72 uur en een eindrapport binnen één maand. De drempelwaarden voor wie als essentiële of belangrijke entiteit geldt, zijn gebaseerd op de Europese definitie: middelgrote ondernemingen met meer dan 50 medewerkers of een jaaromzet boven de 10 miljoen euro.

Waar de landen van elkaar afwijken, is in de praktische uitvoering van de meldplicht:

• In Nederland verloopt de melding via het NCSC of de sectorale toezichthouder, afhankelijk van de sector.
• In België melden organisaties via het CCB, dat beschikt over een centraal meldportaal.
• Nederland kent aanvullende meldverplichtingen voor aanbieders van essentiële diensten die raken aan de nationale veiligheid.
• België heeft specifieke richtlijnen gepubliceerd over wat als “significant incident” wordt beschouwd, met voorbeelden per sector.

Voor defensieleveranciers die werken met gerubriceerde informatie gelden in Nederland bovendien aanvullende eisen vanuit het ABDO-kader (Algemene Beveiligingseisen voor Defensieopdrachten). Vanaf 1 januari 2026 zijn daar de ABRO (Algemene Beveiligingseisen voor Rijksoverheidsopdrachten) bijgekomen, die voor de gehele rijksoverheid gelden bij opdrachten met risico’s voor de nationale veiligheid.

Hoe verschillen de boetes en handhavingsmaatregelen tussen beide landen?

De maximale boetes zijn in beide landen gebaseerd op de NIS2-richtlijn: voor essentiële entiteiten tot 10 miljoen euro of 2% van de wereldwijde jaaromzet, voor belangrijke entiteiten tot 7 miljoen euro of 1,4% van de omzet. Het verschil zit in de handhavingsstijl en de mate waarin toezichthouders actief controleren.

Nederland kiest vooralsnog voor een risicogebaseerde handhavingsaanpak, waarbij toezichthouders prioriteit geven aan sectoren met de hoogste maatschappelijke impact. Handhaving verloopt in eerste instantie via aanwijzingen en herstelmaatregelen, voordat boetes worden opgelegd. België heeft via het CCB aangegeven actiever te willen handhaven en heeft al in een vroeg stadium richtsnoeren gepubliceerd over de handhavingsprioriteiten.

Naast financiële sancties kunnen beide landen ook operationele maatregelen opleggen, zoals tijdelijke beperkingen op de dienstverlening of verplichte audits. Voor organisaties in gereguleerde sectoren kan reputatieschade door publicatie van handhavingsmaatregelen even ingrijpend zijn als de boete zelf.

Wat betekent dit voor Nederlandse defensieleveranciers die ook in België actief zijn?

Nederlandse defensieleveranciers die ook in België opdrachten uitvoeren, vallen potentieel onder twee toezichtregimes tegelijk. Zij moeten voldoen aan de NIS2-eisen in het land waar zij hun diensten aanbieden, wat in de praktijk kan betekenen dat zij zich in beide landen moeten registreren en meldplichtig zijn bij twee verschillende toezichthouders.

In Nederland geldt bovendien het ABDO-kader voor bedrijven die opdrachten uitvoeren voor Defensie, met specifieke eisen rondom IT-infrastructuurbeveiliging, operationele beveiliging en incidentrespons. Vanaf 2026 zijn daar de ABRO-eisen aan toegevoegd voor bredere rijksoverheidsopdrachten. België kent vergelijkbare sectorspecifieke beveiligingseisen voor defensiegerelateerde contracten, al is de uitwerking minder gedetailleerd gestandaardiseerd dan het Nederlandse ABDO-kader.

Praktisch gezien betekent dit voor defensieleveranciers die grensoverschrijdend opereren dat zij hun incidentresponsplannen, meldprocedures en beveiligingsdocumentatie moeten afstemmen op de eisen van beide landen. Een geharmoniseerd intern beleid dat de strengste eisen uit beide landen als uitgangspunt neemt, is doorgaans de meest efficiënte aanpak.

Hoe bereid je je organisatie voor op NIS2-toezicht in beide landen?

Een goede voorbereiding op NIS2-toezicht in Nederland en België begint met een heldere GAP-analyse: breng in kaart welke eisen in elk land van toepassing zijn, waar uw organisatie nu staat en welke maatregelen nog ontbreken. Vervolgens vertaalt u die analyse naar een concreet actieplan dat in beide landen werkt.

Concrete stappen die organisaties kunnen zetten:

• Bepaal per land of u als essentiële of belangrijke entiteit wordt aangemerkt en registreer u tijdig.
• Stel per land een contactpersoon aan voor communicatie met de toezichthouder (NCSC of CCB).
• Zorg voor gedocumenteerde incidentresponsplannen die voldoen aan de 24-uurs meldplicht in beide landen.
• Voer periodieke risicoanalyses uit en leg deze vast als bewijs van continue naleving.

Vergeet daarbij niet dat NIS2-compliance geen eenmalige exercitie is. Toezichthouders in beide landen verwachten dat organisaties aantoonbaar in control blijven, niet alleen op papier maar ook in de dagelijkse praktijk.

Hoe helpt Hofsecure bij NIS2-toezicht in Nederland en België?

Wij begrijpen dat het navigeren door twee toezichtregimes tegelijk complex en tijdrovend is, zeker voor defensieleveranciers die ook nog te maken hebben met ABDO- en ABRO-eisen. Met meer dan 20 jaar ervaring bij defensiebedrijven weten wij precies wat er nodig is om uw organisatie aantoonbaar compliant te maken en te houden, in Nederland én België.

Wat wij voor uw organisatie doen:

• Een heldere GAP-analyse die inzichtelijk maakt waar uw organisatie nu staat ten opzichte van de NIS2-eisen in beide landen.
• Implementatie van een concreet actieplan, afgestemd op de specifieke eisen van het NCSC, het CCB en het ABDO-kader.
• Doorlopend beheer als CISO as a service, zodat u altijd compliant blijft zonder dat u zelf een volledig intern securityteam hoeft op te bouwen.

Cybersecurity hoeft geen last te zijn. Wij maken er een concurrentievoordeel van voor uw organisatie. Neem vrijblijvend contact met ons op en ontdek wat wij voor u kunnen betekenen.