Hoe zorg je voor NIS2 compliance?

NIS2-compliance bereik je door een gestructureerde aanpak te volgen: bepaal of jouw organisatie onder de richtlijn valt, voer een risicoanalyse uit, implementeer de vereiste beveiligingsmaatregelen en zorg voor continue monitoring en verbetering. Met de eerste operationele deadlines in 2026 is het zaak om nu te starten. Dit artikel beantwoordt de belangrijkste vragen over NIS2 en geeft praktische handvatten voor de implementatie.

Wat is NIS2 en waarom is het belangrijk voor jouw organisatie?

NIS2 is de vernieuwde Europese richtlijn voor netwerk- en informatiebeveiliging die organisaties verplicht om hun cybersecurity structureel te verbeteren. De richtlijn vervangt de oorspronkelijke NIS-richtlijn uit 2016 en stelt strengere eisen aan risicobeheer, incidentmelding en bestuurlijke verantwoordelijkheid. Voor middelgrote en grote organisaties in Nederland betekent dit een verplichte aanscherping van hun beveiligingsbeleid.

De achtergrond van NIS2 ligt in de toenemende digitale dreigingen en de onderlinge afhankelijkheid van organisaties binnen de Europese Unie. Waar de oorspronkelijke NIS-richtlijn zich richtte op een beperkt aantal sectoren, breidt NIS2 dit aanzienlijk uit. Meer sectoren en organisatietypes vallen nu onder de regelgeving, waardoor de impact op het Nederlandse bedrijfsleven groter is dan voorheen.

De relevantie voor jouw organisatie hangt samen met de sector waarin je actief bent en de omvang van je bedrijf. NIS2 raakt niet alleen de IT-afdeling, maar vraagt om betrokkenheid van het volledige bestuur. Bestuurders worden persoonlijk aansprakelijk voor de naleving van cybersecuritymaatregelen, wat deze wetgeving tot een strategische prioriteit maakt.

Welke organisaties vallen onder de NIS2-richtlijn?

Organisaties vallen onder NIS2 wanneer zij actief zijn in een aangewezen sector én voldoen aan bepaalde omvangcriteria. De richtlijn maakt onderscheid tussen essentiële entiteiten (Annex 1) en belangrijke entiteiten (Annex 2), waarbij essentiële entiteiten onder strenger, proactief toezicht staan.

De criteria om te bepalen of jouw organisatie NIS2-plichtig is:

Middelgrote organisaties: 50 of meer werknemers, of een omzet en balanstotaal van meer dan 10 miljoen euro
Grote organisaties: meer dan 250 medewerkers, of een omzet van meer dan 50 miljoen euro en een balanstotaal van 43 miljoen euro
Actief in een van de aangewezen sectoren uit Annex 1 of Annex 2

Annex 1 (essentiële sectoren) omvat onder andere energie, transport, bankwezen, gezondheidszorg, drinkwater en digitale infrastructuur. Annex 2 (belangrijke sectoren) bevat digitale aanbieders, post- en koeriersdiensten, afvalstoffenbeheer, voedsel, chemische stoffen, onderzoek en fabrieken.

Voor kleine mkb-organisaties met minder dan 50 werknemers en een omzet en balanstotaal onder 10 miljoen euro geldt de NIS2-richtlijn niet. Organisaties die buiten de scope vallen ondervinden minimale directe gevolgen, maar kunnen indirect geraakt worden via supplychain-eisen van hun klanten.

Wat zijn de belangrijkste NIS2-vereisten waaraan je moet voldoen?

NIS2 vereist dat organisaties tien minimale beveiligingsmaatregelen implementeren op het gebied van risicobeheer, incidentafhandeling, bedrijfscontinuïteit en governance. Het bestuur draagt expliciet verantwoordelijkheid voor de goedkeuring en het toezicht op deze maatregelen, inclusief het volgen van cybersecuritytrainingen.

De kernvereisten omvatten:

Risicobeheermaatregelen: beleid voor risicoanalyse en beveiliging van informatiesystemen
Incidentafhandeling: procedures voor detectie, respons en herstel bij beveiligingsincidenten
Bedrijfscontinuïteit: back-upbeheer, disaster recovery en crisisbeheer
Supplychainsecurity: beveiliging van de toeleveringsketen en leveranciersbeheer
Beveiliging bij verwerving, ontwikkeling en onderhoud van netwerk- en informatiesystemen
Beleid en procedures voor effectiviteitsbeoordeling van cyberbeveiligingsmaatregelen
Basispraktijken voor cyberhygiëne en cybersecuritytrainingen
Beleid voor cryptografie en encryptie
Beveiliging van personeel, toegangsbeleid en beheer van bedrijfsmiddelen
Multifactorauthenticatie en beveiligde communicatie

De implementatie vraagt om een gestructureerde aanpak, waarbij je begint met een inventarisatie van IT-middelen en een business impact assessment. Op basis van een risicoanalyse bepaal je welke maatregelen nodig zijn en voer je een gap-analyse uit om het verschil tussen de huidige en gewenste situatie in kaart te brengen.

Wanneer moet je NIS2-compliant zijn en wat zijn de deadlines?

De Europese NIS2-richtlijn is sinds oktober 2024 van kracht. Nederland implementeert deze via de Cyberbeveiligingswet, waarbij de eerste operationele deadlines in 2026 vallen. Organisaties moeten zich tijdig voorbereiden om boetes en andere sancties te vermijden.

Een praktische planning voor NIS2-compliance:

Nu tot medio 2025: bepaal of jouw organisatie onder NIS2 valt en start met een nulmeting
Medio 2025: voer een risicoanalyse uit en stel een informatiebeveiligingsbeleid op
Eind 2025: implementeer technische en organisatorische maatregelen
Begin 2026: test de effectiviteit van maatregelen en train medewerkers
2026: operationele compliance en continue monitoring

De doorlooptijd voor volledige implementatie bedraagt doorgaans zes tot twaalf maanden, afhankelijk van de huidige volwassenheid van je cybersecurity. Wacht daarom niet tot het laatste moment met starten.

Wat zijn de gevolgen van non-compliance met NIS2?

Bij niet-naleving van NIS2 riskeren organisaties aanzienlijke boetes en kunnen bestuurders persoonlijk aansprakelijk worden gesteld. De sancties zijn bedoeld om naleving af te dwingen en variëren naar gelang de ernst van de overtreding en het type entiteit.

De mogelijke gevolgen omvatten:

Boetes tot 10 miljoen euro of 2% van de wereldwijde jaaromzet voor essentiële entiteiten
Boetes tot 7 miljoen euro of 1,4% van de wereldwijde jaaromzet voor belangrijke entiteiten
Persoonlijke aansprakelijkheid van bestuurders voor het niet implementeren van adequate maatregelen
Mogelijke schorsing van leidinggevenden bij herhaalde overtredingen
Reputatieschade en verlies van klantvertrouwen

In Nederland houdt de toezichthouder toezicht op naleving. Essentiële entiteiten (Annex 1) krijgen proactief toezicht, terwijl belangrijke entiteiten (Annex 2) reactief worden gecontroleerd. Dit betekent dat Annex 1-organisaties actief worden geïnspecteerd, terwijl bij Annex 2-organisaties controle plaatsvindt naar aanleiding van incidenten of klachten.

Hoe begin je met NIS2-compliance: een praktisch stappenplan?

Start met een nulmeting om te bepalen waar je organisatie staat ten opzichte van de NIS2-vereisten. Deze gap-analyse vormt de basis voor een realistisch implementatieplan met duidelijke prioriteiten en tijdlijnen.

Een pragmatische aanpak in vijf fasen:

Fase 1: Analyseren van cyberrisico’s
Stel een informatiebeveiligingsbeleid op en bepaal welke maatregelen nodig zijn. Voer een gap-analyse uit en ontwerp een governance- en verantwoordingsstructuur.

Fase 3: Implementeren van maatregelen
Breng de documentatie op orde en richt een risicoregister in. Zorg voor aantoonbaarheid van alle genomen maatregelen.

Fase 5: Controleren en verbeteren
Voer periodiek technische tests en phishingtests uit. Analyseer incidenten om oorzaken en lessen te identificeren. Documenteer controleresultaten en stel een verbeterplan op.

Beleg maatregelen zoveel mogelijk in de eerste lijn om onnodige administratieve last te voorkomen. Zo ontstaat structurele verbetering zonder dat compliance een papieren tijger wordt.

Hoe helpt Hoek en Blok IT bij NIS2-compliance?

Hoek en Blok IT begeleidt organisaties bij het inrichten van NIS2-maatregelen met een pragmatische en betaalbare aanpak. De dienstverlening combineert technische expertise met auditervaring, zodat je niet alleen compliant wordt, maar ook daadwerkelijk veiliger.

Concrete ondersteuning omvat:

NIS2-nulmeting en gap-analyse: bepaal waar je staat en wat er nog moet gebeuren
IT-audits en securityassessments: objectieve beoordeling van je beveiligingsniveau
Penetratietests en ethical hacking: identificeer kwetsbaarheden voordat kwaadwillenden dat doen
Opstellen van beleid en procedures: praktische documentatie die werkt in de dagelijkse praktijk
Securityawarenesstraining: maak medewerkers bewust van cyberdreigingen
IT Security Officer as a Service: structurele ondersteuning zonder fulltime aanstelling
ISAE 3000– en SOC 2-rapportages: toon aantoonbare beheersing aan klanten en toezichthouders

De aanpak van Hoek en Blok IT is gebaseerd op best practices en gericht op resultaat. Maatregelen worden zoveel mogelijk belegd in de eerste lijn, zonder onnodige administratieve last. NOREA-gecertificeerde EDP-auditors zorgen voor de juiste expertise en validatie.

Wil je weten waar jouw organisatie staat met NIS2? Neem contact op voor een vrijblijvend adviesgesprek en ontdek hoe je tijdig en efficiënt compliant wordt.