De Europese NIS2-richtlijn (Network and Information Security Directive 2) heeft vanaf 2025 grote impact op Nederlandse organisaties. Waar eerdere wetgeving vooral gericht was op grote vitale bedrijven, richt NIS2 zich ook op kleinere organisaties én hun leveranciers. In dit artikel legt Samir Kadri uit wat NIS2 inhoudt, wie ermee te maken krijgt en hoe je je als organisatie kunt voorbereiden.
Van richtlijn naar verplichte wetgeving
NIS2 is een Europese richtlijn die lidstaten verplicht om nieuwe cybersecuritywetgeving op te stellen. Nederland werkt momenteel aan de omzetting naar nationale wetgeving. De oorspronkelijke deadline van oktober 2024 is verschoven naar oktober 2025. Waar de oorspronkelijke NIS-richtlijn niet werd gehandhaafd, brengt NIS2 boetes, sancties en zelfs mogelijke schorsing van bestuurders met zich mee.
Voor wie geldt NIS2?
De richtlijn maakt onderscheid tussen twee soorten organisaties:
- Essentiële entiteiten, zoals energiebedrijven, ziekenhuizen, datacenters en overheidsdiensten.
- Belangrijke entiteiten, waaronder voedselproducenten, postbedrijven, afvalverwerking en digitale dienstverleners.
Valt je organisatie binnen één van deze sectoren én heb je meer dan 50 medewerkers? Dan moet je straks voldoen aan de wetgeving. Maar ook als je leverancier bent van zo’n organisatie, kun je te maken krijgen met eisen vanuit NIS2.
Volgens Samir Kadri: “Een gemeente of zorginstelling mag straks alleen samenwerken met leveranciers die hun cyberbeveiliging aantoonbaar op orde hebben.”
Onze partner Hands on ICT
De drie verplichtingen onder NIS2
Organisaties die onder de NIS2-wetgeving vallen, moeten aan drie belangrijke verplichtingen voldoen:
- Registratieplicht: Meld je organisatie bij het Nationaal Cyber Security Centrum (NCSC) via een officieel registratieproces.
- Zorgplicht: Implementeer minimaal tien beveiligingsmaatregelen. Denk aan:
- Een risicoanalyse van je belangrijkste bedrijfsprocessen.
- Beleid voor personeelsveiligheid en toegangsbeheer.
- Technische maatregelen zoals multifactor-authenticatie.
- Back-up en herstelstrategieën.
Trainingen voor medewerkers én bestuur.
- Meldplicht: Ernstige cyberincidenten moeten binnen 24 uur worden gemeld bij de toezichthouder. Binnen 72 uur volgt een volledige rapportage.
Toeleveranciers en NIS2: meer impact dan gedacht
Ook als jouw organisatie niet direct onder NIS2 valt, kun je indirect verplicht worden tot actie. Lever je diensten of software aan een NIS2-organisatie? Dan moeten zij jouw cyberbeveiligingsmaatregelen controleren. Is die niet op orde, dan kunnen ze besluiten geen zaken meer met je te doen.
Samir Kadri noemt het voorbeeld van de gemeente Buren, die gehackt werd via een leverancier zonder multifactor-authenticatie. “De schade lag uiteindelijk bij de gemeente, maar had voorkomen kunnen worden als de leverancier aan de basisvoorwaarden voldeed.”
Waarom veel organisaties nog niet klaar zijn
Veel organisaties voelen zich relatief veilig, maar missen formeel beleid of documentatie. In de praktijk:
- Is er geen vastgelegd beleid voor cybersecurity.
- Worden risicoanalyses niet uitgevoerd.
- Vindt er geen jaarlijkse toetsing van maatregelen plaats.
Samir Kadri: “Cybersecurity mag niet afhankelijk zijn van het gevoel van veiligheid. Het moet aantoonbaar en meetbaar zijn.”
Wat kun je nu al doen?
- Bepaal of je onder NIS2 valt:
Kijk of je tot een essentiële of belangrijke sector behoort, of leverancier bent van een partij die dat doet. - Start met een risicoanalyse:
Breng in kaart welke systemen en processen cruciaal zijn voor je bedrijfsvoering en welke risico’s daarbij horen. - Documenteer je beleid en maatregelen:
Van onboardingprocedures tot toegangsbeheer en incidentrespons – het moet zwart-op-wit staan. - Zorg voor training en bewustwording:
Medewerkers zijn een belangrijke schakel. Awareness-trainingen en phishing-simulaties zijn essentieel. - Laat je begeleiden door experts:
Hands-On ICT helpt organisaties met een scan of audit om te bepalen waar ze staan ten opzichte van NIS2. Vervolgens krijg je advies over benodigde maatregelen en vervolgstappen.
NIS2 komt eraan – ben jij voorbereid?
Met NIS2 wordt cybersecurity wettelijk verplicht voor veel organisaties én hun leveranciers. De eisen zijn streng en oktober 2025 komt snel dichterbij. Weet je al of NIS2 op jouw organisatie van toepassing is? Dan is dit hét moment om in actie te komen.
Hands on ICT helpt je met een NIS2 Gap Analyse: inzicht in je risico’s én een concreet actieplan.
Meer weten over de NIS2 en wat jouw organisatie te wachten staat?
Meer weten of direct starten? Vul het formulier in voor een vrijblijvende intake.
