Wat is NIS2 en voor wie geldt het precies?

De NIS2-richtlijn is Europese cybersecuritywetgeving die organisaties in kritieke sectoren verplicht om hun digitale beveiliging op orde te hebben. NIS2 staat voor “Network and Information Security Directive 2” en is de opvolger van de oorspronkelijke NIS-richtlijn uit 2016. De richtlijn geldt voor een breed scala aan organisaties, van energiebedrijven tot defensieleveranciers, en legt concrete verplichtingen op het gebied van risicobeheer, incidentmelding en beveiliging van de toeleveringsketen. In dit artikel beantwoorden we de meest gestelde vragen over NIS2, zodat je precies weet wat het voor jouw organisatie betekent.

Welke sectoren vallen onder de NIS2-richtlijn?

De NIS2-richtlijn is van toepassing op organisaties in sectoren die als kritiek of belangrijk worden beschouwd voor de samenleving. De richtlijn maakt onderscheid tussen twee categorieën: essentiële entiteiten en belangrijke entiteiten. Essentiële sectoren omvatten energie, transport, bankwezen, financiële marktinfrastructuren, gezondheidszorg, drinkwater, afvalwater, digitale infrastructuur en overheidsinstanties. Belangrijke sectoren zijn onder andere post- en koeriersdiensten, afvalstoffenbeheer, chemische industrie, voedselproductie, maakindustrie en digitale aanbieders.

Wat NIS2 onderscheidt van eerdere regelgeving, is de aanzienlijke uitbreiding van het toepassingsgebied. Waar de oorspronkelijke NIS-richtlijn zich beperkte tot een relatief kleine groep aanbieders van essentiële diensten, trekt NIS2 de grens veel breder. Ook de maakindustrie valt nu expliciet onder de richtlijn, wat betekent dat veel Nederlandse productiebedrijven voor het eerst te maken krijgen met bindende cybersecurityverplichtingen.

Hoe bepaal je of jouw organisatie onder NIS2 valt?

Of jouw organisatie onder de NIS2-richtlijn valt, hangt af van twee factoren: de sector waarin je actief bent en de omvang van je organisatie. In de meeste gevallen geldt NIS2 voor middelgrote en grote organisaties in de aangewezen sectoren. Een middelgrote organisatie heeft meer dan 50 medewerkers of een jaaromzet van meer dan 10 miljoen euro. Grote organisaties hebben meer dan 250 medewerkers of een omzet boven de 50 miljoen euro.

Toch is omvang niet altijd doorslaggevend. Kleinere organisaties kunnen alsnog onder NIS2 vallen als zij een cruciale rol spelen in de toeleveringsketen van een essentiële sector, of als de nationale overheid hen expliciet aanwijst. Dit is een belangrijk punt voor MKB-bedrijven die leveren aan defensie of de overheid: ook al ben je klein, je kunt verplichtingen hebben. De beste manier om zekerheid te krijgen is een NIS2-compliancecheck te laten uitvoeren door een specialist.

Wat zijn de belangrijkste verplichtingen onder NIS2?

Organisaties die onder NIS2 vallen, zijn verplicht passende technische en organisatorische maatregelen te nemen om hun netwerk- en informatiesystemen te beveiligen. Concreet betekent dit dat je een actief risicobeheerbeleid moet voeren, beveiligingsincidenten moet melden bij de bevoegde autoriteit, en de beveiliging van je toeleveringsketen moet borgen. Het management draagt eindverantwoordelijkheid en kan persoonlijk aansprakelijk worden gesteld.

De vier kernverplichtingen zijn:

• Risicobeheer: het systematisch identificeren, beoordelen en beheersen van cybersecurityrisico’s
• Incidentmelding: het melden van significante incidenten binnen 24 uur (eerste melding) en 72 uur (gedetailleerde melding)
• Beveiliging van de toeleveringsketen: het stellen van eisen aan leveranciers en partners
• Bedrijfscontinuïteit: het hebben van een plan voor herstel na een cyberincident

Wat is het verschil tussen NIS2 en de oorspronkelijke NIS-richtlijn?

Het grootste verschil tussen NIS2 en de oorspronkelijke NIS-richtlijn is de reikwijdte en de aanscherping van verplichtingen. De eerste NIS-richtlijn uit 2016 richtte zich op een beperkt aantal aanbieders van essentiële diensten en liet lidstaten veel vrijheid in de implementatie. NIS2 is strenger, breder en uniformer: meer sectoren vallen eronder, de drempelwaarden zijn verlaagd en de handhaving is aangescherpt.

Twee andere wezenlijke verschillen zijn de persoonlijke aansprakelijkheid van bestuurders en de uitbreiding naar de toeleveringsketen. Onder de oorspronkelijke NIS-richtlijn lag de verantwoordelijkheid primair bij de organisatie als geheel. NIS2 maakt bestuurders en directieleden persoonlijk verantwoordelijk voor het naleven van de beveiligingsverplichtingen. Daarnaast verplicht NIS2 organisaties expliciet om ook de cybersecurity van hun leveranciers te beoordelen, wat de druk in de hele keten vergroot.

Waarom zijn defensieleveranciers extra kwetsbaar onder NIS2?

Defensieleveranciers zijn extra kwetsbaar onder NIS2 omdat zij opereren in een omgeving met hoge dreigingsniveaus, gevoelige informatie en complexe toeleveringsketens. Zij verwerken vaak gerubriceerde of gevoelige defensie-informatie, werken samen met meerdere overheidsinstanties en zijn daardoor een aantrekkelijk doelwit voor statelijke actoren en cybercriminelen. Bovendien stapelen de verplichtingen zich op: naast NIS2 gelden voor defensieleveranciers ook het ABDO-kader en, voor opdrachten voor de bredere rijksoverheid, de ABRO.

Vanaf 1 januari 2026 gelden de Algemene Beveiligingseisen voor Rijksoverheidsopdrachten (ABRO) voor bedrijven die voor de overheid een opdracht uitvoeren met risico’s voor de nationale veiligheid. Dit betekent dat defensieleveranciers in 2026 te maken hebben met meerdere overlappende regelgevingskaders tegelijk. Wie niet voldoet aan NIS2 of de ABRO, riskeert niet alleen boetes, maar ook het verlies van contractuele geschiktheid. Cybersecurity is daarmee direct verbonden met het vermogen om aanbestedingen te winnen en opdrachten te behouden.

Wat zijn de gevolgen als je niet voldoet aan NIS2?

Organisaties die niet voldoen aan de NIS2-richtlijn, riskeren aanzienlijke financiële sancties en reputatieschade. Voor essentiële entiteiten kunnen boetes oplopen tot 10 miljoen euro of 2% van de wereldwijde jaaromzet, afhankelijk van welk bedrag hoger is. Voor belangrijke entiteiten geldt een maximum van 7 miljoen euro of 1,4% van de wereldwijde jaaromzet. Bovendien kunnen toezichthouders aanvullende maatregelen opleggen, zoals tijdelijke schorsing van dienstverlening.

Naast financiële gevolgen zijn er ook operationele en commerciële risico’s. Bestuurders kunnen persoonlijk aansprakelijk worden gesteld, wat de druk op directieniveau aanzienlijk verhoogt. Voor defensieleveranciers en andere organisaties die werken met overheidscontracten geldt bovendien dat niet-naleving direct kan leiden tot uitsluiting van aanbestedingen. Compliance is in dat geval geen keuze, maar een voorwaarde om in de markt te blijven.

Hoe begin je met NIS2-compliance als MKB-organisatie?

Als MKB-organisatie begin je met NIS2-compliance door eerst te bepalen of de richtlijn op jou van toepassing is en vervolgens een nulmeting te doen van je huidige beveiligingsniveau. Stel vast in welke sector je actief bent, hoeveel medewerkers je hebt en of je een rol speelt in de toeleveringsketen van een essentiële sector. Op basis daarvan weet je of je onder NIS2 valt en hoe urgent actie is.

Daarna zijn dit de logische stappen:

• GAP-analyse: breng in kaart waar je nu staat ten opzichte van de NIS2-eisen
• Risicobeheerplan: stel een beleid op voor het identificeren en beheersen van cybersecurityrisico’s
• Incidentresponsproces: zorg dat je weet hoe je een incident meldt en hoe je herstel organiseert
• Leveranciersbeoordeling: breng de beveiligingspositie van je belangrijkste leveranciers in kaart

Een veelgemaakte fout is NIS2 te behandelen als een eenmalig project. Compliance is een continu proces: dreigingen veranderen, wetgeving evolueert en je organisatie groeit. Wie dat onderschat, loopt het risico snel weer buiten de kaders te vallen. Overweeg ook of een ISO 27001-certificering zinvol is als fundament onder je NIS2-compliance, want de twee kaders overlappen aanzienlijk.

Hoe Hofsecure jou helpt met NIS2-compliance

Wij helpen organisaties in de maakindustrie, defensieketen en andere gereguleerde sectoren om NIS2-compliant te worden en te blijven. Onze aanpak is praktisch en gebaseerd op meer dan 20 jaar ervaring bij defensiebedrijven en andere hoogbeveiligde organisaties. We vertalen die expertise naar concrete, werkbare oplossingen voor jouw organisatie, zonder wollige rapporten of theoretische aanbevelingen.

Onze NIS2-dienstverlening omvat:

• GAP-analyse: we brengen precies in kaart wat er ontbreekt en wat er al goed geregeld is
• Implementatie: we vertalen de uitkomsten naar een concreet actieplan en voeren dit samen met je uit
• CISO as a Service: we blijven betrokken, voeren periodieke risicoanalyses uit en zorgen dat je ook in de toekomst compliant blijft

Zo wordt cybersecurity geen last, maar een concurrentievoordeel. Wil je weten waar jouw organisatie nu staat? Neem vrijblijvend contact op en we kijken samen wat er nodig is.