De NIS2-checklist helpt organisaties om systematisch te voldoen aan de nieuwe Europese cybersecurityverplichtingen die in Nederland per 1 juli 2026 van kracht worden via de Cyberbeveiligingswet. Deze richtlijn stelt strengere eisen aan risicobeheer, incidentmelding en bestuurdersverantwoordelijkheid. In dit artikel beantwoorden we de belangrijkste vragen over NIS2-compliance, van het bepalen of jouw organisatie onder de wet valt tot een praktische implementatieaanpak.

Wat is de NIS2-richtlijn en waarom is deze belangrijk voor jouw organisatie?

De NIS2-richtlijn is de opvolger van de oorspronkelijke NIS-richtlijn uit 2016 en vormt de Europese standaard voor cybersecurity. De richtlijn wordt in Nederland geïmplementeerd via de Cyberbeveiligingswet (Cbw) en het Cyberbeveiligingsbesluit (Cbb). Het doel is om de digitale weerbaarheid van de EU te versterken door meer sectoren en organisaties te verplichten tot adequate cyberbeveiligingsmaatregelen.

De coronacrisis heeft de digitalisering in een stroomversnelling gebracht, wat zowel kansen als uitdagingen biedt. Cybercriminelen worden steeds slimmer en de oude NIS-richtlijn gold alleen voor grote bedrijven in kritieke sectoren zoals energie- en waterbedrijven. De NIS2-richtlijn breidt het toepassingsgebied aanzienlijk uit naar meer sectoren en kleinere organisaties.

Voor jouw organisatie betekent dit dat je nu moet handelen. De operationele deadline van 1 juli 2026 nadert snel en de implementatie van alle vereiste maatregelen kost tijd. Wachten tot het laatste moment brengt risico’s met zich mee, zowel operationeel als financieel.

Valt jouw organisatie onder de NIS2-richtlijn?

Of jouw organisatie onder de NIS2-richtlijn valt, hangt af van de sector waarin je opereert en de omvang van je bedrijf. De richtlijn maakt onderscheid tussen essentiële entiteiten en belangrijke entiteiten, elk met eigen verplichtingen en toezichtniveaus.

De NIS2-essentiële sectoren omvatten onder andere:

• Energie (elektriciteit, olie, gas, waterstof)
• Transport (luchtvaart, spoor, water, weg)
• Gezondheidszorg
• Drinkwater en afvalwater
• Digitale infrastructuur en ICT-dienstverlening
• Overheid en ruimtevaart

De NIS2-belangrijke sectoren betreffen onder meer post- en koeriersdiensten, afvalbeheer, chemie, voedselproductie, productie van medische hulpmiddelen en digitale aanbieders.

Qua drempelwaarden geldt de richtlijn doorgaans voor middelgrote en grote organisaties: meer dan 50 werknemers of een jaaromzet boven € 10 miljoen. Bepaalde organisaties vallen ongeacht hun omvang onder de richtlijn vanwege hun kritieke functie voor de samenleving.

Wat zijn de belangrijkste NIS2-verplichtingen voor organisaties?

De NIS2-verplichtingen rusten op drie kernpijlers: zorgplicht, meldplicht en toezicht. Organisaties moeten een risicogebaseerde aanpak hanteren en passende maatregelen implementeren om hun diensten en informatie te beschermen tegen cyberaanvallen.

De zorgplicht verplicht organisaties om een risicobeoordeling uit te voeren en maatregelen te nemen die passen bij de aard, omvang en impact van hun diensten. Concreet betekent dit:

• Een helder beleid voor risicoanalyse en beveiliging van informatiesystemen
• Periodieke beoordeling van de effectiviteit van cyberbeveiligingsmaatregelen
• Adequaat gebruik van cryptografie en encryptie
• Business continuity-planning en disaster recovery-procedures
• Supply chain security en leveranciersrisicobeheer

De NIS2-meldplicht vereist dat organisaties significante incidenten binnen 24 uur melden aan de toezichthouder en het Computer Security Incident Response Team (CSIRT). Dit vraagt om goed ingerichte incidentresponseprocedures.

Het toezicht betekent dat organisaties onder controle komen te staan van een onafhankelijke toezichthouder die de naleving van verplichtingen controleert en handhavingsmaatregelen kan opleggen.

Welke boetes en sancties gelden bij niet-naleving van NIS2?

Het sanctieregime onder NIS2 is aanzienlijk strenger dan onder de vorige richtlijn. De NIS2-boetes kunnen oplopen tot forse bedragen die een serieuze impact hebben op de bedrijfsvoering.

Voor essentiële entiteiten gelden maximale boetes van € 10 miljoen of 2% van de wereldwijde jaaromzet, afhankelijk van welk bedrag hoger is. Voor belangrijke entiteiten liggen de maxima op € 7 miljoen of 1,4% van de wereldwijde omzet.

Bijzonder aan de NIS2-richtlijn is de NIS2-bestuurdersaansprakelijkheid. Bestuurders kunnen persoonlijk aansprakelijk worden gesteld voor de gevolgen van een hack of non-compliance. In ernstige gevallen zijn zelfs tijdelijke bestuursverboden mogelijk. Dit maakt cybersecurity nadrukkelijk een bestuurskamerthema en niet langer alleen een IT-aangelegenheid.

Als directie is het daarom cruciaal om te weten wat er speelt binnen je organisatie op het gebied van cybersecurity. Is dit nu nog vooral het domein van IT? Dan is dit het moment om daar verandering in te brengen.

Hoe ziet een praktische NIS2-checklist eruit voor compliance?

Een pragmatische NIS2-checklist voor compliance bestaat uit vijf fasen die je systematisch doorloopt. Deze aanpak zorgt ervoor dat je geen belangrijke stappen overslaat en tijdig compliant bent.

Fase 1: Analyseren van cyberrisico’s

• Inventariseer IT-middelen die nodig zijn voor diensten onder NIS2
• Voer een IT-securitytest uit om kwetsbaarheden te identificeren
• Stel een risicoanalyse op om kans en impact van risico’s te bepalen

Fase 2: Bepalen van maatregelen

• Voer een business impact assessment uit
• Identificeer de kroonjuwelen van je organisatie
• Voer een gap-analyse uit tussen de huidige en gewenste situatie

Fase 3: Opstellen van actieplan

• Ontwerp een controls framework met maatregelen en verantwoordelijken
• Stel een informatiebeveiligingsbeleid op als kapstok voor implementatie
• Bepaal de frequentie van uitvoering per maatregel

Fase 4: Uitvoeren van maatregelen

• Integreer maatregelen structureel in de dagelijkse werkzaamheden
• Organiseer security awareness-training voor medewerkers
• Implementeer technische maatregelen zoals updates en back-ups

Fase 5: Controleren en verbeteren

• Analyseer incidenten en documenteer de resultaten
• Controleer maatregelen periodiek op effectiviteit
• Rapporteer aan het bestuur en pas aan waar nodig

Wanneer moet je klaar zijn voor NIS2 en hoe plan je de implementatie?

De NIS2-richtlijn wordt in Nederland geïmplementeerd via de Cyberbeveiligingswet met een operationele deadline van 1 juli 2026. Dit lijkt wellicht ver weg, maar een gedegen NIS2-implementatie kost tijd, zeker als processen en documentatie nog niet op orde zijn.

Een realistische planning voor NIS2 2026 ziet er als volgt uit:

Nu tot en met Q2 2025: Start met een nulmeting om je huidige cybersecuritystatus te bepalen. Identificeer potentiële kwetsbaarheden en breng je IT-landschap in kaart.

Q2 tot en met Q4 2025: Voer de gap-analyse uit en stel je actieplan op. Prioriteer maatregelen op basis van risico en impact. Begin met de implementatie van quick wins.

Q1 tot en met Q2 2026: Rond de implementatie van maatregelen af. Test je incidentresponseprocedures en train medewerkers. Zorg dat de documentatie compleet is.

Het goede nieuws is dat je qua NIS2-risicobeheer niet volledig iets nieuws hoeft te doen. Als je je focust op het identificeren van de belangrijkste risico’s en maatregelen voor IT security in het algemeen, dan heb je al een goede start gemaakt.

Hoe helpt Hoek en Blok IT bij NIS2-compliance?

Hoek en Blok IT ondersteunt organisaties bij het behalen van NIS2-compliance met een pragmatische en betaalbare aanpak. De NOREA-gecertificeerde EDP-auditors combineren technische expertise met auditervaring om je organisatie compliant én daadwerkelijk veiliger te maken.

De dienstverlening voor NIS2-compliance omvat:

• NIS2-nulmeting en gap-analyse: inzicht in je huidige status, kroonjuwelen en verbeterpunten via een scan van IT-infrastructuur, processen en beveiligingsbeleid
• Ondersteuning bij risicobeheer: opstellen van een risicoregister, informatiebeveiligingsbeleid en controls framework
• Penetratietests en security assessments: identificeren van technische kwetsbaarheden in netwerk en systemen
• IT Security Officer as a Service: doorlopende ondersteuning voor het borgen van compliance en security
• Begeleiding bij auditrapportages: ondersteuning bij ISAE 3000- en ISAE 3402-verklaringen voor het aantonen van procesbeheersing

Na een nulmeting ontvang je concrete deliverables: een risicoregister, een kroonjuwelenoverzicht, een informatiebeveiligingsbeleid en een helder adviesrapport met verbetermaatregelen. Neem contact op voor een vrijblijvend gesprek over hoe jouw organisatie tijdig en adequaat kan voldoen aan de NIS2-eisen.

De NIS2-registratieplicht gaat in Nederland naar verwachting in per 1 juli 2026, wanneer de Cyberbeveiligingswet van kracht wordt. Organisaties die als essentiële of belangrijke entiteit worden aangemerkt, moeten zich dan registreren bij de bevoegde toezichthouder. Dit artikel beantwoordt de belangrijkste vragen over wie zich moet registreren, wanneer de deadline is en welke stappen u moet nemen om tijdig compliant te zijn.

Wat is de registratieplicht onder NIS2 en voor wie geldt deze?

De registratieplicht onder NIS2 verplicht organisaties die essentiële of belangrijke diensten leveren om zich aan te melden bij de aangewezen toezichthouder. Deze verplichting maakt deel uit van de drie kernverplichtingen van NIS2: de zorgplicht, de meldplicht en het toezicht. Door registratie weet de overheid welke organisaties onder de richtlijn vallen en kan effectief toezicht worden gehouden.

De NIS2-richtlijn onderscheidt twee categorieën organisaties:

• Essentiële entiteiten: grote organisaties in kritieke sectoren zoals energie, transport, bankwezen, gezondheidszorg, drinkwater en digitale infrastructuur (Annex I-sectoren)
• Belangrijke entiteiten: middelgrote en grote organisaties in andere aangewezen sectoren zoals post- en koeriersdiensten, afvalverwerking, voedselproductie en digitale aanbieders (Annex II-sectoren)

De criteria voor de registratieplicht zijn gebaseerd op omvang en sector. Middelgrote organisaties (50 tot 250 medewerkers, of een jaaromzet tussen 10 en 50 miljoen euro) en grote organisaties (meer dan 250 medewerkers, of een jaaromzet boven 50 miljoen euro) in de aangewezen sectoren vallen onder de scope. Kleine organisaties met minder dan 50 medewerkers en een omzet onder 10 miljoen euro zijn in principe uitgezonderd, tenzij zij kritieke diensten leveren.

Wanneer gaat de NIS2-registratieplicht in Nederland in?

De NIS2-registratieplicht treedt in Nederland naar verwachting in werking per 1 juli 2026. Op die datum wordt de Europese NIS2-richtlijn omgezet in nationale wetgeving via de Cyberbeveiligingswet (Cbw) en het Cyberbeveiligingsbesluit (Cbb). Organisaties die onder de scope vallen, moeten zich vanaf dat moment registreren bij de bevoegde autoriteit.

De oorspronkelijke Europese deadline voor implementatie was 17 oktober 2024, maar Nederland heeft meer tijd nodig voor het wetgevingsproces. Het wetsvoorstel voor de Cyberbeveiligingswet doorloopt momenteel de parlementaire behandeling. De verwachting is dat organisaties na inwerkingtreding een beperkte periode krijgen om hun registratie te voltooien.

Voor grote organisaties die onder Annex I vallen, geldt proactief toezicht vanaf de ingangsdatum. Dit betekent dat toezichthouders actief zullen controleren of deze organisaties aan hun verplichtingen voldoen. Het is daarom verstandig om niet te wachten tot de laatste maand, maar nu al te starten met de voorbereidingen.

Hoe weet u of uw organisatie zich moet registreren voor NIS2?

Om te bepalen of uw organisatie onder de NIS2-registratieplicht valt, moet u een zelfevaluatie uitvoeren op basis van drie criteria: de sector waarin u actief bent, de omvang van uw organisatie en de aard van uw dienstverlening. De NIS2-richtlijn hanteert het principe van zelfclassificatie, wat betekent dat organisaties zelf moeten vaststellen of zij binnen de scope vallen.

Gebruik deze checklist voor uw zelfevaluatie:

• Sectorcheck: Valt uw organisatie binnen een van de 18 aangewezen sectoren uit Annex I of Annex II van de richtlijn?
• Omzetdrempel: Heeft uw organisatie een jaaromzet van meer dan 10 miljoen euro?
• Personeelsaantal: Heeft uw organisatie 50 of meer medewerkers?
• Balanstotaal: Is het balanstotaal hoger dan 10 miljoen euro?
• Kritieke dienstverlening: Levert u diensten die bij uitval grote maatschappelijke impact hebben?

Wanneer uw organisatie aan de omvangscriteria voldoet én actief is in een aangewezen sector, valt u onder de registratieplicht. Let op: ook organisaties die deel uitmaken van de toeleveringsketen van essentiële entiteiten kunnen indirect met NIS2-eisen te maken krijgen via contractuele verplichtingen.

Welke stappen moet u nemen om aan de NIS2-registratieplicht te voldoen?

Het voldoen aan de NIS2-registratieplicht vraagt om een gestructureerde aanpak. U moet niet alleen de registratie zelf voltooien, maar ook aantonen dat uw organisatie de vereiste cyberbeveiligingsmaatregelen heeft getroffen. De registratie is immers gekoppeld aan de zorgplicht die NIS2 oplegt.

Doorloop de volgende stappen voor een succesvolle registratie:

1. Voer een nulmeting uit: Breng uw huidige cyberbeveiligingsniveau in kaart en identificeer de gaps ten opzichte van de NIS2-vereisten.
2. Stel een risicobeoordeling op: Analyseer de risico’s die uw netwerk- en informatiesystemen bedreigen.
3. Implementeer passende maatregelen: Neem technische en organisatorische maatregelen die passen bij uw risicoprofiel.
4. Documenteer uw processen: Leg vast welke maatregelen u heeft genomen en hoe deze worden onderhouden.
5. Bereid registratiegegevens voor: Verzamel de benodigde informatie, zoals contactgegevens, sectorclassificatie en een beschrijving van uw dienstverlening.
6. Registreer bij de toezichthouder: Meld uw organisatie aan via het daarvoor bestemde portaal zodra dit beschikbaar komt.

De exacte registratieprocedure en het portaal worden door de overheid bekendgemaakt wanneer de Cyberbeveiligingswet in werking treedt. Houd de communicatie van uw sectorale toezichthouder in de gaten voor specifieke instructies.

Wat zijn de gevolgen als u de NIS2-registratiedeadline mist?

Het missen van de NIS2-registratiedeadline kan aanzienlijke consequenties hebben voor uw organisatie. De richtlijn voorziet in stevige sancties om naleving af te dwingen. Bovendien introduceert NIS2 persoonlijke aansprakelijkheid voor bestuurders, wat betekent dat het topmanagement direct verantwoordelijk wordt gehouden voor non-compliance.

De mogelijke gevolgen van niet-tijdige registratie zijn onder meer:

• Administratieve boetes: Voor essentiële entiteiten kunnen boetes oplopen tot 10 miljoen euro of 2% van de wereldwijde jaaromzet. Voor belangrijke entiteiten geldt een maximum van 7 miljoen euro of 1,4% van de omzet.
• Persoonlijke aansprakelijkheid: Bestuurders kunnen persoonlijk aansprakelijk worden gesteld voor het niet naleven van de cybersecurityrisicomanagementmaatregelen.
• Reputatieschade: Non-compliance kan leiden tot negatieve publiciteit en verlies van vertrouwen bij klanten en partners.
• Operationele beperkingen: Toezichthouders kunnen corrigerende maatregelen opleggen die uw bedrijfsvoering beïnvloeden.

Naast de formele sancties speelt ook het commerciële aspect een rol. Steeds meer opdrachtgevers en ketenpartners vragen om bewijs van NIS2-compliance. Zonder tijdige registratie en aantoonbare naleving kunt u zakelijke kansen mislopen.

Hoe helpt Hoek en Blok IT bij de NIS2-registratieplicht?

Hoek en Blok IT ondersteunt organisaties bij het volledige traject van NIS2-registratie en -compliance. Met NOREA-gecertificeerde EDP-auditors en ruime ervaring in IT-beveiliging biedt het bureau een pragmatische aanpak die past bij middelgrote ondernemingen.

De dienstverlening voor NIS2-registratie omvat:

• NIS2-nulmeting: een grondige analyse van uw huidige cyberbeveiligingsniveau ten opzichte van de NIS2-vereisten.
• Compliance-assessment: beoordeling of uw organisatie onder de registratieplicht valt en welke verplichtingen gelden.
• Registratiebegeleiding: ondersteuning bij het verzamelen van de juiste documentatie en het doorlopen van het registratieproces.
• IT Security Officer as a Service: externe invulling van de securityofficerrol voor organisaties die deze expertise niet intern hebben.
• Risicobeoordeling en maatregelplan: opstellen van de vereiste risicoanalyse en een implementatieplan voor passende maatregelen.

Wilt u weten of uw organisatie onder de NIS2-registratieplicht valt en hoe u zich tijdig kunt voorbereiden op de deadline van 2026? Neem contact op met Hoek en Blok IT voor een vrijblijvend adviesgesprek over uw specifieke situatie.

Digitale weerbaarheid is voor financiële instellingen cruciaal, omdat zij volledig afhankelijk zijn van ICT-systemen voor hun kernactiviteiten. Een cyberaanval of systeemuitval kan leiden tot financiële schade, reputatieverlies en zelfs systeemrisico’s voor de bredere markt. De Digital Operational Resilience Act (DORA) verplicht financiële organisaties sinds 17 januari 2025 om hun digitale weerbaarheid aantoonbaar op orde te hebben. Dit artikel beantwoordt de belangrijkste vragen over digitale weerbaarheid en DORA-compliance.

Wat is digitale weerbaarheid en waarom is het essentieel voor de financiële sector?

Digitale weerbaarheid (of digitale operationele veerkracht) is het vermogen van een organisatie om ICT-verstoringen te weerstaan, te absorberen en hiervan te herstellen. Voor financiële instellingen betekent dit concreet dat zij hun kritieke dienstverlening kunnen voortzetten, ook wanneer systemen worden aangevallen of uitvallen.

De financiële sector is de afgelopen jaren steeds afhankelijker geworden van digitale systemen. Banken verwerken dagelijks miljoenen transacties via geautomatiseerde systemen. Verzekeraars beheren gevoelige klantgegevens in complexe databases. Betaaldienstverleners zijn volledig afhankelijk van realtime ICT-infrastructuur. Deze toenemende digitalisering brengt aanzienlijke risico’s met zich mee.

Operationele resilience gaat verder dan alleen cybersecurity. Het omvat ook het vermogen om te herstellen van stroomstoringen, softwarefouten, menselijke fouten en verstoringen bij externe leveranciers. Een organisatie met sterke digitale weerbaarheid heeft processen ingericht om snel te reageren op incidenten en de impact op klanten en bedrijfsvoering te minimaliseren.

Welke risico’s lopen financiële instellingen zonder adequate digitale weerbaarheid?

Financiële instellingen zonder adequate digitale weerbaarheid lopen risico op directe financiële schade, reputatieschade, verlies van klantvertrouwen en mogelijk zelfs systeemrisico’s die de bredere financiële markt kunnen destabiliseren. De gevolgen van onvoldoende weerbaarheid kunnen verstrekkend zijn.

De belangrijkste dreigingen voor financiële instellingen zijn:

• Cyberaanvallen: ransomware, phishing en gerichte aanvallen op financiële systemen nemen toe in frequentie en complexiteit.
• Systeemuitval: technische storingen kunnen leiden tot onbeschikbaarheid van kritieke diensten, zoals betalingsverkeer.
• Datalekken: ongeautoriseerde toegang tot klantgegevens resulteert in boetes, claims en reputatieschade.
• Verstoringen bij derde partijen: uitval van cloudproviders of andere kritieke leveranciers kan de eigen dienstverlening lamleggen.

De potentiële gevolgen reiken verder dan de individuele organisatie. Wanneer een grote bank of verzekeraar langdurig uitvalt, kan dit het vertrouwen in het gehele financiële systeem ondermijnen. Toezichthouders erkennen dit risico en hebben daarom strengere eisen gesteld aan de digitale weerbaarheid van financiële instellingen.

Wat houdt de DORA-wetgeving in voor digitale weerbaarheid?

DORA (Digital Operational Resilience Act) is Europese wetgeving die sinds 17 januari 2025 van toepassing is op financiële instellingen binnen de EU. De wetgeving verplicht organisaties om aantoonbaar maatregelen te implementeren voor digitale weerbaarheid en te testen of deze maatregelen effectief werken.

DORA is opgebouwd rond vijf pijlers:

• ICT-risicobeheer: organisaties moeten een raamwerk implementeren voor het identificeren, beoordelen en beheersen van ICT-risico’s.
• ICT-incidentenbeheer: verplichte processen voor het detecteren, rapporteren en afhandelen van ICT-gerelateerde incidenten.
• Testen van digitale weerbaarheid: regelmatige tests om te verifiëren of beveiligingsmaatregelen daadwerkelijk werken.
• Beheer van ICT-derdepartijrisico’s: strikt beheer van externe IT-dienstverleners en uitbestedingsrelaties.
• Informatie-uitwisseling: mogelijkheden voor het delen van dreigingsinformatie tussen financiële instellingen.

DORA is van toepassing op banken, verzekeraars, herverzekeraars, beleggingsondernemingen, betalingsinstellingen, elektronische geldinstellingen en beheerders van beleggingsfondsen. Belangrijk is dat ook kritieke IT-dienstverleners, zoals cloudproviders, softwareleveranciers en datacenters, onder DORA vallen wanneer zij diensten verlenen aan financiële instellingen.

Hoe kunnen financiële instellingen hun digitale weerbaarheid versterken?

Financiële instellingen kunnen hun digitale weerbaarheid versterken door een systematische aanpak te hanteren die begint met een grondige analyse van de huidige situatie. Een nulmeting is hierbij een logisch startpunt om vast te stellen in hoeverre DORA daadwerkelijk is geïmplementeerd en waar nog hiaten bestaan.

Praktische stappen voor het verbeteren van digitale operationele weerbaarheid:

• Implementeer een ICT-risicomanagementkader dat voldoet aan DORA-normen en aansluit bij de specifieke organisatiecontext.
• Richt incidentresponsprocessen in met duidelijke verantwoordelijkheden, escalatiepaden en communicatieprotocollen.
• Voer regelmatig penetratietests en vulnerability assessments uit om zwakke plekken tijdig te identificeren.
• Beoordeel kritieke derde partijen op hun digitale weerbaarheid en leg contractuele afspraken vast die die weerbaarheid waarborgen.
• Zorg voor adequate documentatie die de aantoonbaarheid van compliance ondersteunt.

DORA vraagt nadrukkelijk om aantoonbaarheid. Het is niet voldoende om beleid te hebben; organisaties moeten kunnen laten zien dat zij daadwerkelijk in control zijn. Dit vraagt om gedocumenteerde processen, vastgelegde testresultaten en periodieke evaluaties van de effectiviteit van maatregelen.

Welke rol speelt periodiek testen bij digitale weerbaarheid?

Periodiek testen is een kernvereiste binnen DORA en vormt het bewijs dat beveiligingsmaatregelen daadwerkelijk werken. Zonder regelmatige tests blijft digitale weerbaarheid een theoretisch concept zonder praktische verificatie. DORA verplicht financiële instellingen om hun ICT-systemen en -processen structureel te testen.

De belangrijkste testvormen onder DORA zijn:

• Penetratietests: ethische hackers proberen systemen binnen te dringen om kwetsbaarheden te identificeren.
• Vulnerability assessments: systematische scans van systemen op bekende beveiligingslekken.
• Threat-led penetration testing (TLPT): geavanceerde tests op basis van actuele dreigingsinformatie, verplicht voor grotere financiële instellingen.
• Scenario-based testing: simulaties van specifieke aanvalsscenario’s of uitvalsituaties.

De frequentie en scope van tests variëren afhankelijk van het type en de omvang van de financiële instelling. Grotere organisaties met een hoger risicoprofiel moeten vaker en uitgebreider testen. TLPT moet minimaal elke drie jaar worden uitgevoerd bij significante financiële instellingen. De testresultaten moeten worden gedocumenteerd en leiden tot concrete verbeteracties.

Hoe helpt Hoek en Blok IT bij digitale weerbaarheid voor financiële instellingen?

Hoek en Blok IT ondersteunt financiële instellingen bij het realiseren van DORA-compliance en het versterken van digitale weerbaarheid. Met NOREA-gecertificeerde EDP-auditors en praktische security-expertise biedt Hoek en Blok IT een pragmatische aanpak die past bij middelgrote organisaties.

Relevante diensten voor DORA-compliance:

• IT-audits en assurancerapportages: ISAE 3000-verklaringen en SOC 2-rapportages om DORA-naleving aantoonbaar te maken.
• Penetratietests en security assessments: ethische hacktests en vulnerability assessments conform DORA-vereisten.
• IT Security Officer as a Service: externe security-expertise voor organisaties die geen fulltime functie kunnen rechtvaardigen.
• DORA-nulmeting: grondige analyse van de huidige situatie en identificatie van hiaten ten opzichte van DORA-vereisten.
• Ondersteuning bij ICT-risicobeheer: ontwikkeling van een op maat gemaakt risicobeheerkader.

Wilt u weten hoe uw organisatie ervoor staat op het gebied van DORA-compliance? Neem contact op met Hoek en Blok IT voor een vrijblijvend adviesgesprek of vraag direct een nulmeting aan.

Onder de NIS2-richtlijn kunnen bestuurders persoonlijk aansprakelijk worden gesteld voor tekortkomingen in cybersecuritycompliance. Dit betekent dat directieleden en andere leidinggevenden niet langer kunnen schuilen achter de rechtspersoon wanneer hun organisatie de verplichtingen rond cyberbeveiliging niet nakomt. De sancties variëren van administratieve boetes tot tijdelijke bestuursverboden. In dit artikel beantwoorden we de belangrijkste vragen over deze aansprakelijkheid en hoe je je als bestuurder kunt beschermen.

Wat houdt persoonlijke aansprakelijkheid onder NIS2 precies in?

Persoonlijke bestuurdersaansprakelijkheid onder NIS2 houdt in dat individuele bestuurders rechtstreeks verantwoordelijk kunnen worden gehouden voor het niet naleven van cybersecurityverplichtingen. Dit gaat verder dan de gebruikelijke bedrijfsaansprakelijkheid, waarbij alleen de organisatie als rechtspersoon aansprakelijk is.

Bij reguliere bedrijfsaansprakelijkheid draait de organisatie op voor schade of boetes. De NIS2-richtlijn doorbreekt deze bescherming expliciet. De Europese Unie heeft deze maatregel geïntroduceerd omdat cybersecurity te vaak werd gezien als een puur technische aangelegenheid. Door bestuurders persoonlijk verantwoordelijk te maken, wil de EU afdwingen dat cybersecurity een vast agendapunt wordt op bestuursniveau.

De directe verantwoordelijkheid van bestuurders omvat drie kernverplichtingen uit de NIS2:

• Zorgplicht: het uitvoeren van risicobeoordelingen en het nemen van passende maatregelen om diensten en informatie te beschermen tegen cyberaanvallen
• Meldplicht: het melden van incidenten die de levering van essentiële diensten kunnen verstoren, binnen 24 uur aan de toezichthouder en het CSIRT
• Toezicht: het meewerken aan controles door de onafhankelijke toezichthouder

Welke bestuurders en functionarissen vallen onder de NIS2-aansprakelijkheid?

De NIS2-aansprakelijkheid richt zich primair op personen die daadwerkelijk beleid kunnen bepalen en beslissingen kunnen nemen over cybersecurity. Dit omvat statutaire bestuurders, directieleden en leden van de raad van commissarissen die toezicht houden op het bestuur.

De criteria voor aansprakelijkheid zijn gebaseerd op feitelijke invloed en beslissingsbevoegdheid. Niet de functietitel is bepalend, maar de vraag of iemand in de praktijk verantwoordelijk is voor het goedkeuren van cybersecuritybeleid, het toewijzen van budgetten voor beveiliging en het toezicht houden op de implementatie van maatregelen.

Voor IT-verantwoordelijken en security officers ligt de situatie genuanceerder. Zij zijn doorgaans uitvoerend verantwoordelijk en vallen niet automatisch onder de bestuurdersaansprakelijkheid. Wel kunnen zij aansprakelijk worden gesteld als zij bewust informatie hebben achtergehouden voor het bestuur of grove nalatigheid hebben getoond. De eindverantwoordelijkheid blijft bij het topmanagement liggen, ook wanneer het taken heeft gedelegeerd.

Welke sancties en boetes kunnen bestuurders persoonlijk krijgen?

Bestuurders kunnen onder NIS2 te maken krijgen met zowel administratieve boetes als andere persoonlijke consequenties. De financiële sancties kunnen oplopen tot aanzienlijke bedragen, afhankelijk van de ernst van de overtreding en de omvang van de organisatie.

De mogelijke persoonlijke consequenties omvatten:

• Administratieve boetes die persoonlijk aan de bestuurder worden opgelegd
• Tijdelijke bestuursverboden waardoor de bestuurder geen leidinggevende functies mag vervullen
• Openbare bekendmaking van de overtreding en de verantwoordelijke personen
• Civielrechtelijke aansprakelijkheid voor schade die derden lijden door het incident

De hoogte van sancties wordt bepaald door factoren zoals de ernst van de overtreding, of er sprake is van herhaling, de mate van medewerking met toezichthouders en de vraag of de bestuurder aantoonbaar maatregelen had getroffen. Een bestuurder die kan aantonen actief bezig te zijn geweest met compliance, loopt minder risico op zware sancties dan iemand die cybersecurity volledig heeft genegeerd.

Wanneer wordt een bestuurder daadwerkelijk persoonlijk aansprakelijk gesteld?

Persoonlijke aansprakelijkstelling vindt plaats wanneer een bestuurder zijn zorgplicht heeft verzaakt. Dit gebeurt niet automatisch bij elk cyberincident, maar wanneer blijkt dat de bestuurder onvoldoende toezicht heeft gehouden of bewust risico’s heeft genegeerd.

Concrete situaties waarin bestuurders risico lopen:

• Het structureel negeren van adviezen van IT-securityspecialisten
• Het niet beschikbaar stellen van voldoende budget voor noodzakelijke beveiligingsmaatregelen
• Het ontbreken van een actuele risicobeoordeling terwijl dit verplicht is
• Het niet melden van incidenten binnen de verplichte termijn van 24 uur
• Het niet kunnen aantonen dat basispraktijken op het gebied van cyberhygiëne en training zijn geïmplementeerd

Nalatigheid wordt zwaarder aangerekend wanneer de bestuurder op de hoogte was van risico’s maar geen actie ondernam. Het niet bijwonen van trainingen over cybersecurity of het delegeren van alle verantwoordelijkheid zonder enige betrokkenheid vergroot het risico op persoonlijke aansprakelijkheid aanzienlijk.

Hoe kunnen bestuurders zich beschermen tegen NIS2-aansprakelijkheid?

Bestuurders kunnen hun aansprakelijkheidsrisico’s beperken door aantoonbaar due diligence te betrachten. Dit betekent actieve betrokkenheid bij cybersecurity en het documenteren van genomen beslissingen en maatregelen.

Praktische beschermingsmaatregelen:

• Zorg voor regelmatige rapportages over cybersecurity op bestuursniveau
• Volg trainingen om de materie te begrijpen en op de hoogte te blijven van de ontwikkelingen
• Stel voldoende budget beschikbaar en documenteer de afwegingen
• Implementeer een governancestructuur met duidelijke verantwoordelijkheden
• Laat periodiek onafhankelijke audits uitvoeren
• Zorg dat incidentbehandeling en bedrijfscontinuïteit zijn ingericht

Een effectieve governancestructuur houdt in dat cybersecurity een vast agendapunt is bij bestuursvergaderingen, dat er een verantwoordelijke is aangewezen voor de dagelijkse uitvoering en dat er escalatieprocedures bestaan. Het gebruik van multifactorauthenticatie en beveiligde communicatiesystemen hoort bij de basispraktijken die aantoonbaar moeten zijn geïmplementeerd.

Welke documentatie en bewijslast is nodig om compliance aan te tonen?

Bij een audit of incident moet een bestuurder kunnen aantonen dat hij zijn verantwoordelijkheid serieus heeft genomen. Dit vereist een gedegen audittrail van alle cybersecuritygerelateerde beslissingen en maatregelen.

Essentiële documentatie omvat:

• Risicoanalyses: actuele beoordelingen van cyberbeveiligingsrisico’s en de genomen maatregelen
• Beleidsplannen: vastgesteld cybersecuritybeleid met goedkeuring door het bestuur
• Trainingsregistraties: bewijs dat personeel en bestuurders zijn getraind in cyberhygiëne
• Incidentrapportages: documentatie van eerdere incidenten en de afhandeling
• Notulen: verslagen van bestuursvergaderingen waarin cybersecurity is besproken
• Contracten: afspraken met leveranciers over beveiliging van de toeleveringsketen

Een informatiebeveiligingsverklaring, zoals SOC 2 of een ISAE 3402-verklaring, kan helpen bij het aantonen van NIS2-compliance. Deze verklaringen bieden onafhankelijk bewijs van naleving van internationaal erkende informatiebeveiligingsnormen. Dit is relevant voor organisaties die hun compliance willen aantonen aan toezichthouders, klanten of andere stakeholders.

Hoe helpt Hoek en Blok IT bij NIS2-bestuurdersaansprakelijkheid?

Hoek en Blok IT ondersteunt bestuurders bij het beperken van hun persoonlijke aansprakelijkheidsrisico’s door pragmatische en betaalbare NIS2-compliancetrajecten. Met NOREA-gecertificeerde EDP-auditors biedt het bureau de expertise die nodig is voor aantoonbare compliance.

Concrete diensten voor bestuurders:

• NIS2-nulmeting: inzicht in de huidige status en concrete verbeterpunten
• Bestuurderstraining NIS2: ontwikkel aantoonbare cybersecurity kennis en neem passende acties
• IT-audits en assuranceverklaringen: ISAE 3000-, ISAE 3402- en SOC 2-verklaringen voor aantoonbare compliance
• Securityassessments en penetratietests: onafhankelijke toetsing van de beveiligingsmaatregelen
• IT Security Officer as-a-Service: structurele ondersteuning bij de dagelijkse uitvoering
• Documentatie- en beleidsondersteuning: hulp bij het opzetten van de vereiste audittrail

Wil je weten hoe jouw organisatie ervoor staat en welke stappen nodig zijn om als bestuurder beschermd te zijn? Neem contact op voor een vrijblijvend adviesgesprek over NIS2-compliance en bestuurdersaansprakelijkheid.

NIS2 en GDPR zijn twee verschillende Europese regelgevingen die vaak door elkaar worden gehaald. Het belangrijkste verschil is dat NIS2 zich richt op cybersecurity en de continuïteit van essentiële diensten, terwijl GDPR focust op de bescherming van persoonsgegevens. Veel organisaties moeten aan beide regelgevingen voldoen, maar de verplichtingen, boetes en toepassingsgebieden verschillen aanzienlijk. In dit artikel beantwoorden we de meest gestelde vragen over de verschillen tussen NIS2 en GDPR.

Wat is het belangrijkste verschil tussen NIS2 en GDPR?

Het fundamentele verschil zit in de doelstelling van beide regelgevingen. GDPR beschermt de privacy van individuen door regels te stellen aan de verwerking van persoonsgegevens. NIS2 daarentegen richt zich op het waarborgen van een hoog niveau van cyberbeveiliging binnen de Europese Unie, met name voor organisaties die essentiële of belangrijke diensten leveren.

De juridische basis verschilt eveneens. GDPR is een verordening die sinds 2018 direct van toepassing is in alle EU-lidstaten. NIS2 is een richtlijn die door lidstaten moet worden omgezet in nationale wetgeving. In Nederland treedt deze wetgeving per 1 juli 2026 in werking, wat organisaties een duidelijke termijn geeft voor compliance.

Qua scope richt GDPR zich op de bescherming van natuurlijke personen bij de verwerking van hun gegevens. NIS2 focust op de weerbaarheid van netwerk- en informatiesystemen en de continuïteit van kritieke dienstverlening. Een veelvoorkomende misvatting is dat NIS2 volledig kan worden uitbesteed aan een IT-leverancier. NIS2 is echter primair een organisatorisch vraagstuk, niet alleen een technisch vraagstuk. De IT-leverancier kan helpen bij technische aspecten, maar niet bij het inrichten van de organisatie, het opstellen van beleid en het borgen van verantwoordelijkheden.

Voor welke organisaties geldt NIS2 en voor welke GDPR?

GDPR geldt voor vrijwel elke organisatie die persoonsgegevens verwerkt, ongeacht grootte of sector. Dit omvat bedrijven, overheden, verenigingen en stichtingen. Zelfs een kleine webshop met een klantenbestand valt onder GDPR.

NIS2 heeft een veel specifiekere scope. De richtlijn is alleen van toepassing op bedrijven die voldoen aan criteria op het gebied van omzet, balanstotaal, aantal medewerkers en sector. Voor kleine mkb-organisaties (minder dan 50 werknemers en een omzet of balanstotaal tot 10 miljoen euro) geldt NIS2 niet.

NIS2 onderscheidt twee categorieën sectoren:

• Annex 1 (essentiële sectoren): energie, transport, bankwezen, financiële marktinfrastructuur, gezondheidszorg, drinkwater, afvalwater, digitale infrastructuur, ICT-dienstverlening, overheid en ruimtevaart
• Annex 2 (belangrijke sectoren): digitale aanbieders, post- en koeriersdiensten, afvalstoffenbeheer, voedsel, chemische stoffen, onderzoek en industrie

Grote bedrijven (meer dan 250 medewerkers of een omzet van meer dan 50 miljoen euro) die onder Annex 1 vallen, krijgen proactief toezicht. Annex 2-organisaties vallen onder minder streng, reactief toezicht.

Kunnen NIS2 en GDPR tegelijkertijd van toepassing zijn op mijn organisatie?

Ja, veel organisaties moeten aan beide regelgevingen voldoen. Een zorginstelling verwerkt bijvoorbeeld persoonsgegevens van patiënten (GDPR) én levert essentiële diensten waarvoor cybersecurity cruciaal is (NIS2). Hetzelfde geldt voor energiebedrijven, financiële instellingen en overheden.

De overlap tussen beide regelgevingen zit vooral in de volgende gebieden:

• Beveiligingsmaatregelen: beide vereisen passende technische en organisatorische maatregelen
• Meldplichten: GDPR vereist melding van datalekken, NIS2 vereist melding van significante cyberincidenten
• Documentatie: beide stellen eisen aan beleid, procedures en registraties
• Risicobeoordeling: beide vereisen een risicogebaseerde aanpak

Het goede nieuws is dat maatregelen die je voor de ene regelgeving implementeert, vaak ook bijdragen aan compliance met de andere. Een degelijk informatiebeveiligingsbeleid dient beide doelen.

Wat zijn de boetes bij overtreding van NIS2 versus GDPR?

De sanctieregimes van beide regelgevingen verschillen aanzienlijk. GDPR kent de hoogste boetes: tot 20 miljoen euro of 4% van de wereldwijde jaaromzet, afhankelijk van welk bedrag hoger is. NIS2 hanteert lagere maximale boetes: tot 10 miljoen euro of 2% van de wereldwijde jaaromzet.

Een cruciaal verschil is de persoonlijke aansprakelijkheid van bestuurders onder NIS2. Het topmanagement kan persoonlijk aansprakelijk worden gesteld voor non-compliance met cybersecurityrisicomanagementmaatregelen. Dit gaat verder dan GDPR, waar de organisatie als rechtspersoon primair aansprakelijk is.

Deze persoonlijke aansprakelijkheid maakt dat bestuurders niet kunnen volstaan met het delegeren van cybersecurity naar de IT-afdeling. Het inrichten van een rapportagelijn en periodiek overleg is het minste wat moet gebeuren. Zo weet het bestuur wat er speelt en kan het bijsturen waar nodig.

Welke beveiligingsmaatregelen eist NIS2 die GDPR niet vereist?

NIS2 stelt specifiekere en uitgebreidere eisen aan cybersecurity dan GDPR. Waar GDPR spreekt over “passende technische en organisatorische maatregelen”, schrijft NIS2 concrete maatregelgebieden voor.

De belangrijkste aanvullende eisen van NIS2 zijn:

• Supply chain security: beveiliging van de toeleveringsketen en leveranciersrelaties
• Incidentrespons: procedures voor detectie, analyse en herstel van cyberincidenten
• Business continuity: maatregelen voor bedrijfscontinuïteit en crisismanagement
• Cryptografie en encryptie: adequaat gebruik van versleuteling
• Effectiviteitsbeoordeling: periodieke evaluatie van de effectiviteit van maatregelen

Een pragmatische implementatieaanpak bestaat uit vijf fasen: het analyseren van cyberrisico’s, het bepalen van maatregelen via een gap-analyse, het opstellen en uitvoeren van een actieplan, het integreren van maatregelen in de dagelijkse werkzaamheden, en het controleren en verbeteren door periodieke evaluatie. Het is belangrijk om kleine stappen te zetten, zodat het overzichtelijk blijft en je collega’s en directie goed kunt blijven aanhaken.

Hoe helpt Hoek en Blok IT bij NIS2- en GDPR-compliance?

Hoek en Blok IT ondersteunt organisaties die aan beide regelgevingen moeten voldoen met een pragmatische en betaalbare aanpak. De NOREA-gecertificeerde EDP-auditors combineren technische expertise met auditervaring om zowel compliance als praktische veiligheidsverbetering te realiseren.

De dienstverlening omvat:

• NIS2-nulmeting: beoordeling van de huidige cybersecuritystatus, identificatie van kwetsbaarheden en een helder informatiebeveiligingsbeleid als kapstok voor implementatie
• Gap-analyses: inzicht in het verschil tussen de huidige en gewenste situatie voor NIS2 en GDPR
• IT-securityassessments en penetratietests: technische beoordeling van kwetsbaarheden in netwerk en systemen
• IT Security Officer as a Service: externe ondersteuning bij het structureel borgen van cybersecurity zonder voltijdse aanstelling
• ISAE 3000/3402-verklaringen en SOC 2-rapportages: aantoonbare procesbeheersing voor klanten en toezichthouders

Wil je weten hoe jouw organisatie ervoor staat richting de NIS2-deadline van 1 juli 2026? Neem contact op voor een vrijblijvend gesprek over de mogelijkheden.