NIS 2: wat moet je nu concreet doen om te voldoen vóór 1 juli 2026?
Om te voldoen aan de NIS2-richtlijn vóór de deadline van 1 juli 2026 moet je nu concrete stappen zetten: bepaal of jouw organisatie onder de wet valt, voer een gap-analyse uit, implementeer de tien verplichte beveiligingsmaatregelen en zorg voor de juiste documentatie. Dit artikel beantwoordt de belangrijkste vragen over NIS2-compliance en geeft je een praktisch NIS2-stappenplan om tijdig aan alle verplichtingen te voldoen.
Wat is de NIS2-richtlijn en waarom is de deadline van 1 juli 2026 zo belangrijk?
De NIS2-richtlijn is Europese cybersecuritywetgeving die de digitale en economische weerbaarheid van lidstaten moet versterken. Nederland implementeert deze richtlijn in nationale wetgeving met als operationele deadline 1 juli 2026. Organisaties die onder de wet vallen, moeten dan aantoonbaar voldoen aan alle NIS2-verplichtingen.
De NIS2-richtlijn vervangt de oorspronkelijke NIS-richtlijn uit 2016 en stelt aanzienlijk strengere eisen. Waar de eerste versie zich richtte op een beperkt aantal vitale sectoren, breidt NIS2 de scope fors uit naar meer sectoren en ook naar middelgrote organisaties. De wetgeving heeft drie hoofddoelstellingen: het verhogen van de cyberweerbaarheid door verplichte maatregelen, het verminderen van inconsistenties tussen lidstaten en het verbeteren van de gezamenlijke paraatheid bij grootschalige incidenten.
De deadline van 1 juli 2026 is cruciaal omdat toezichthouders vanaf dat moment actief gaan handhaven. Organisaties die niet tijdig voldoen aan de NIS2-maatregelen riskeren niet alleen boetes, maar ook persoonlijke aansprakelijkheid van bestuurders. Met de gemiddelde schade van een hack, die volgens recente cijfers rond de € 270.000 ligt, is adequate voorbereiding geen luxe maar noodzaak.
Valt jouw organisatie onder de NIS2-richtlijn?
Je organisatie valt onder de NIS2-richtlijn als je actief bent in een aangewezen sector én voldoet aan de omvangcriteria. De wet maakt onderscheid tussen essentiële entiteiten (proactief toezicht) en belangrijke entiteiten (reactief toezicht), met verschillende toezichtregimes.
De sectoren die onder NIS2 vallen, zijn uitgebreid ten opzichte van de voorganger. Naast de bekende vitale sectoren zoals energie, water, banken en ziekenhuizen vallen nu ook sectoren als digitale infrastructuur, ICT-dienstverlening, voedselproductie en afvalbeheer onder de richtlijn.
De omvangcriteria bepalen of je als middelgrote of grote organisatie wordt geclassificeerd:
- Middelgrote organisaties: 50-250 werknemers óf omzet tussen € 10 en € 50 miljoen
- Grote organisaties: meer dan 250 werknemers óf omzet boven € 50 miljoen (balanstotaal € 43 miljoen)
- Kleine organisaties (minder dan 50 werknemers én omzet onder € 10 miljoen) zijn in principe uitgezonderd
Essentiële entiteiten zijn grote organisaties in Annex I-sectoren en krijgen proactief toezicht. Belangrijke entiteiten krijgen reactief toezicht, wat betekent dat de toezichthouder pas ingrijpt na signalen of incidenten. Bepaal je eigen status door de sectorlijsten te raadplegen en je organisatieomvang te toetsen aan de criteria.
Welke concrete maatregelen eist NIS2 van organisaties?
NIS2 schrijft tien minimale beveiligingsmaatregelen voor in artikel 21. Deze maatregelen omvatten risicobeheer, incidentafhandeling, bedrijfscontinuïteit en supply chain security. Organisaties moeten passende technische én organisatorische maatregelen nemen om cyberincidenten te voorkomen én om snel te kunnen reageren en herstellen.
De verplichte NIS2-maatregelen zijn:
- Beleid inzake risicoanalyse en beveiliging van informatiesystemen
- Incidentenbehandeling en -respons
- Bedrijfscontinuïteit en crisisbeheer
- Beveiliging van de toeleveringsketen
- Beveiliging bij het verwerven, ontwikkelen en onderhouden van systemen
- Beleid en procedures voor beoordeling van de effectiviteit van maatregelen
- Basispraktijken voor cyberhygiëne en training
- Beleid inzake cryptografie en encryptie
- Beveiliging van personeel en toegangsbeheer
- Multifactorauthenticatie en beveiligde communicatie
Belangrijk is dat alle medewerkers binnen de organisatie worden betrokken bij cybersecurity. In de praktijk zijn vaak alleen IT-medewerkers bezig met beveiliging, maar NIS2 vereist een organisatiebrede aanpak, inclusief security awareness-training.
Wat zijn de gevolgen als je niet op tijd voldoet aan NIS2?
Niet tijdig voldoen aan NIS2 kan leiden tot aanzienlijke boetes, bestuurlijke maatregelen en persoonlijke aansprakelijkheid van het management. De toezichthouder krijgt vergaande handhavingsbevoegdheden om naleving af te dwingen.
De sancties bij non-compliance zijn substantieel:
- Essentiële entiteiten: boetes tot € 10 miljoen of 2% van de wereldwijde jaaromzet
- Belangrijke entiteiten: boetes tot € 7 miljoen of 1,4% van de wereldwijde jaaromzet
- Persoonlijke aansprakelijkheid van bestuurders voor het niet naleven van toezichtverplichtingen
- Mogelijkheid tot tijdelijke schorsing van leidinggevenden
In Nederland zal de Rijksinspectie Digitale Infrastructuur (RDI) optreden als toezichthouder voor diverse sectoren. De persoonlijke aansprakelijkheid van bestuurders is nieuw en betekent dat het topmanagement direct verantwoordelijk wordt gehouden voor adequate cybersecurity. Dit maakt NIS2-compliance tot een bestuurlijke prioriteit.
Hoe ziet een praktisch NIS2-stappenplan eruit voor de komende maanden?
Een effectief NIS2-stappenplan begint met een nulmeting van je huidige cybersecurityniveau, gevolgd door gefaseerde implementatie van maatregelen richting de deadline in 2026. Houd het overzichtelijk door kleine stappen te zetten en zie het als een continu verandertraject.
Praktische fasering voor NIS2-implementatie:
Fase 1 (nu starten): Bepaal of je onder NIS2 valt en voer een gap-analyse uit. Breng je huidige beveiligingsniveau in kaart en identificeer hiaten ten opzichte van de NIS2-verplichtingen.
Fase 2 (Q1-Q2 2025): Stel een risicoanalyse op en prioriteer de te nemen maatregelen. Ontwikkel of actualiseer je beveiligingsbeleid en incidentresponsplannen.
Fase 3 (Q3-Q4 2025): Implementeer technische maatregelen zoals multifactorauthenticatie, encryptie en toegangsbeheer. Train medewerkers in security awareness.
Fase 4 (Q1-Q2 2026): Documenteer alle maatregelen, test je incidentrespons en voer een interne audit uit. Zorg dat je aantoonbaar compliant bent vóór 1 juli 2026.
Welke documentatie en rapportages moet je op orde hebben voor NIS2?
NIS2 vereist uitgebreide documentatie van je cybersecuritymaatregelen, inclusief beveiligingsbeleid, risicoanalyses, incidentresponsplannen en audittrails. Daarnaast gelden strikte meldplichten bij cyberincidenten.
De vereiste documentatie omvat:
- Informatiebeveiligingsbeleid en procedures
- Actuele risicoanalyses en risicobeheerplannen
- Incidentresponsplan met escalatieprocedures
- Bedrijfscontinuïteitsplan en disasterrecoveryprocedures
- Documentatie van supply chain security-maatregelen
- Trainingsregistraties en awarenessprogramma’s
- Audittrails en logging van beveiligingsmaatregelen
Bij een ernstig cyberincident moet je binnen 24 uur een eerste melding doen bij de bevoegde autoriteit, gevolgd door een uitgebreider rapport binnen 72 uur. Deze meldplicht helpt bij het snel identificeren en aanpakken van grootschalige aanvallen. Zorg dat je meldprocedures vastlegt en regelmatig oefent.
Hoe helpt Hoek en Blok IT bij NIS2-compliance?
Hoek en Blok IT ondersteunt organisaties bij het complete NIS2-implementatietraject, van nulmeting tot aantoonbare compliance. Met NOREA-gecertificeerde auditors en praktische IT-securityexpertise helpen we je pragmatisch en betaalbaar aan alle verplichtingen te voldoen.
Concrete dienstverlening voor NIS2:
- NIS2-gap-analyse: beoordeling van je huidige cybersecurityniveau en identificatie van hiaten
- Risicoanalyse en beleidsvorming: opstellen van vereiste documentatie en procedures
- Securityassessments en penetratietests: technische toetsing van je beveiliging
- IT Security Officer as-a-Service: externe expertise voor continue begeleiding
- IT-audits en assurancerapportages: onafhankelijke toetsing van je maatregelen
Wil je weten hoe jouw organisatie ervoor staat en welke stappen je moet zetten voor NIS2-compliance? Neem contact op voor een vrijblijvend gesprek over de mogelijkheden.
