Troch Tom Meevis, advokaat by Law & More
Cyberfeiligens is net langer allinnich in technyske saak. It is ek in juridysk en bestjoerlik probleem dat praktysk elke organisaasje fan elke grutte beynfloedet.
Mei de Europeeske NIS2-rjochtline en de Nederlânske Cybersecuritywet ferskowt de ferantwurdlikens foar digitale fearkrêft stevich nei it bestjoer. De Nederlânske Cybersecuritywet treedt yn wurking op 15 augustus 2026. Bedriuwseigners, direkteuren en neilibingsoffisieren moatte dêrom op koarte termyn fêststelle:
- oft harren organisaasje ûnder de nije regels falt;
- hokker ferplichtingen dêrút folgje;
- hokker maatregels nedich binne;
- en hoe't de organisaasje oan dy ferplichtingen foldwaan kin.
Dit artikel beskriuwt de wichtichste eleminten fan NIS2 en de Nederlânske Cybersecuritywet: de omfang, de soarchplicht, de meldingsplicht, ferantwurdlikens fan it bestjoer, hanthavening en de stappen dy't organisaasjes no kinne nimme.
Wat is NIS2?
NIS2 is de formele oantsjutting fan Rjochtline (EU) 2022/2555. It folget de earste Jeropeeske rjochtline foar netwurk- en ynformaasjefeiligens op, algemien oantsjutten as NIS1.
Lidsteaten moasten NIS2 foar 17 oktober 2024 yn nasjonale wetjouwing omsette. Fan 18 oktober 2024 ôf ferfong NIS2 formeel de eardere rjochtline.
It doel is om it nivo fan cyberweerberens binnen de Jeropeeske Uny te ferheegjen en better op elkoar ôf te stimmen. Dit rint lâns twa haadlinen. Earst, in bredere omfang: folle mear organisaasjes falle ûnder de regels as ûnder NIS1. Twad, fersterke tafersjoch en strangere hanthavening, mei in bredere arkset en dúdlikere ferantwurdlikheden foar direkteuren.
Wêr't NIS1 ûnderskied makke tusken operators fan essensjele tsjinsten en oanbieders fan digitale tsjinsten, wurket NIS2 mei essensjele entiteiten en wichtige entiteiten. Dat ûnderskied is net allinich terminologysk: it bepaalt ûnder oare de yntensiteit fan tafersjoch en de hichte fan potinsjele boetes.
Hokker organisaasjes falle ûnder NIS2?
NIS2 jildt foar organisaasjes dy't aktyf binne yn achttjin oanwiisde sektoaren, ferdield yn sektoaren fan hege krityk en oare krityske sektoaren.
Sektoaren fan hege krityk binne ûnder oaren enerzjy, ferfier, bankwêzen, finansjele merkynfrastruktuer, sûnenssoarch, drinkwetter en ôffalwetter, digitale ynfrastruktuer, ICT-tsjinstbehear foar bedriuwsbrûkers, iepenbier bestjoer en romtefeart.
De oare krityske sektoaren omfetsje post- en koerierstsjinsten, ôffalbehear, gemikaliën, iten, produksje, digitale oanbieders en ûndersyksynstellingen.
De gruttedrompel
Binnen dizze sektoaren is de haadregel dat in organisaasje ûnder NIS2 falt as it kwalifisearret as in middelgrutte of grutte ûndernimming. De kritearia binne teminsten 50 meiwurkers, of in jierlikse omset of balânstotaal fan mear as € 10 miljoen.
Der binne útsûnderingen op dizze haadregel. Bepaalde organisaasjes falle ûnder it berik, nettsjinsteande grutte, om't har tsjinsten as bysûnder kritysk wurde beskôge:
- oanbieders fan iepenbiere elektroanyske kommunikaasjenetwurken en tsjinsten;
- fertrouwenstsjinstferlieners;
- oanbieders fan domeinnammeregistraasjetsjinsten;
- registers fan top-level domeinnammen;
- iepenbiere sektororganen.
Fan 15 augustus 2026 ôf jilde de nije ferplichtingen foar mear as 8,000 organisaasjes yn Nederlân. Dat is in flinke útwreiding yn ferliking mei it oantal dat ûnder de hjoeddeiske Wet Netwurk- en Ynformaasjesystemenfeiligens falt.
Organisaasjes dy't harsels earder net as ûnderdiel fan in krityske sektor seagen, kinne dêrom yn 'e problemen komme, ynklusyf middelgrutte fabrikanten, itenprodusinten, ûndersyksynstellingen en digitale tsjinstferlieners. Wichtich is dat organisaasjes sels ferantwurdlik binne foar it beoardieljen oft se ûnder it berik falle. Der sil gjin brief fan in tafersjochhâlder komme dy't har dat fertelt.
De soarchplicht: hokker maatregels binne nedich?
De kearn fan NIS2 en de Nederlânske Cybersecuritywet is de soarchplicht. Essensiële en wichtige entiteiten moatte passende en evenredige technyske, operative en organisatoaryske maatregels nimme om de risiko's foar har netwurk- en ynformaasjesystemen te behearskjen.
De regels identifisearje de ûnderwerpen dy't it belied yn alle gefallen oanpakke moat:
- risikoanalyse en ynformaasjefeiligensbelied;
- ôfhanneling fan ynsidinten;
- bedriuwskontinuïteit, reservekopybehear en rampherstel;
- feiligens fan 'e leveringsketen;
- cyberhygiëne en personielstraining;
- belied foar it omgean mei kwetsberens;
- multi-faktor autentikaasje;
- befeilige kommunikaasje;
- kryptografy;
- periodike beoardieling fan 'e effektiviteit fan' e maatregels.
De maatregels moatte evenredich wêze mei de grutte fan 'e organisaasje en de risiko's dêr't it eins oan bleatsteld is. In lytsere wichtige entiteit hoecht dêrom net deselde maatregels te nimmen as in grutte essensjele entiteit yn in sektor mei hege risiko's.
Dat makket de soarchplicht net opsjoneel. Organisaasjes moatte kinne ûnderbouwe hokker risiko's se identifisearre hawwe, hokker maatregels se nommen hawwe en wêrom't dy maatregels passend binne. Net allinnich de maatregels sels, mar ek de manier wêrop se wurde weage, registrearre en periodyk evaluearre, is ûnderwurpen oan tafersjoch.
Meldingsplicht nei in ynsidint
Neist de soarchplicht stelt NIS2 in gefasearre meldingsplicht op foar wichtige ynsidinten. As in ynsidint in substansjele ynfloed hat of kin hawwe op 'e kontinuïteit fan tsjinsten, jilde yn grutte mjitte de folgjende deadlines:
- binnen 24 oeren, in iere warskôging oan it nasjonale team foar ynsidintrespons op kompjûterfeiligens of de foechhawwende autoriteit;
- binnen 72 oeren, in formele notifikaasje mei in earste beoardieling fan 'e earnst en ynfloed;
- binnen úterlik ien moanne, in einrapport mei in beskriuwing fan it ynsidint, de wierskynlike oarsaak, de nommen maatregels en alle grinsoverschrijdende effekten.
Dizze deadlines meitsje it needsaaklik om dúdlike prosedueres fan tefoaren yn te stellen. De organisaasje moat witte wannear't in ynsidint meldber is, wa't autorisearre is om te melden, hokker ynformaasje beskikber wêze moat, wa't koördinearret, en hoe't it bestjoer en de tafersjochhâlder ynformearre wurde.
In organisaasje dy't allinnich besiket in notifikaasjeproses op te setten tidens in ynsidint, rint in flink risiko dat se net op 'e tiid of folslein rapportearje kin.
Ferantwurdlikens fan it bestjoer
In wichtich elemint fan NIS2 is dat de ferantwurdlikens foar it behearen fan cyberrisiko's útdruklik by it bestjoer leit. It bestjoer moat de feiligensmaatregels goedkarre, tafersjoch hâlde op de ymplemintaasje dêrfan, de cyberrisiko's fan 'e organisaasje beoardielje kinne en sels foldwaande training folgje.
Cyberfeiligens kin dêrom net langer allinnich as de ferantwurdlikens fan 'e IT-ôfdieling behannele wurde. It is in ûnderwerp fan bestjoer dat ûnderdiel útmeitsje moat fan reguliere beslútfoarming en risikomanagement.
De rjochtline giet ek eksplisyt yn op de persoanlike oanspraaklikens fan it senior management as de organisaasje net oan de regels foldocht. Registrearje de belutsenens fan it bestjoer dêrop, bygelyks troch it dokumintearjen fan training dy't folge is, bestjoersbeslissingen, goedkard belied, risikobeoardielingen, rapportaazje en tafersjoch op ymplemintaasje.
De Nederlânske ymplemintaasje
De Nederlânske ymplemintaasje fan NIS2 is flink fertrage rekke. De ynfieringsdeadline fan 17 oktober 2024 is net helle.
Op 8 july 2026 besleat de Europeeske Kommisje Nederlân, tegearre mei Ierlân, Spanje en Frankryk, foar it Hof fan Justysje fan 'e Europeeske Uny te ferwizen foar it net melden fan omsettingsmaatregels. Nederlân hearde dêrmei ta de fjouwer efterbliuwers fan 'e Europeeske Uny.
De timing is opfallend. Ien dei earder, op 7 july 2026, hie de Senaat de Cybersecurity Act en de Critical Entities Resilience Act goedkard. Oft it feit dat de Wet oannaam waard foardat de ferwizing ferstjoerd waard, ynfloed hat op 'e útkomst fan' e proseduere, moat noch bliken dwaan; dat is oan it Hof om te beslissen.
Beide wetten trede yn wurking op 15 augustus 2026. De Cybersecurity Act ymplementearret de NIS2-rjochtline; de Critical Entities Resilience Act ymplementearret de Jeropeeske CER-rjochtline, dy't rjochte is op 'e fearkrêft fan krityske ynfrastruktuer. Organisaasjes dy't ûnder de lêste falle, wurde formeel oanwiisd as krityske entiteiten fan 15 augustus 2026 ôf.
By ynwurking ferfalt de hjoeddeiske Wet op de Feiligens fan Netwurken en Ynformaasjesystemen (Wbni). Foar organisaasjes dy't der al ûnder falle betsjut dit swierdere ferplichtingen; foar organisaasjes dy't foar it earst ûnder it berik komme, in folslein nij rezjym.
Registraasje by de NCSC
In wichtige nije ferplichting is registraasje by it Nasjonaal Cyberfeiligens Sintrum. Essensiële en wichtige entiteiten moatte ynskreaun wurde yn it nasjonale entiteitsregister. Dy registraasje is ferplicht fan 15 augustus 2026 ôf en rint fia it MijnNCSC-portaal, mei gebrûk fan eHerkenning foar gewoane organisaasjes en SSOnRijk foar oerheidsynstânsjes. Wizigingen oan de registrearre gegevens moatte binnen fjirtjin dagen meld wurde.
Registraasje is net allinnich in bestjoerlike formaliteit. Sadree't se registrearre binne, kinne organisaasjes kontakt opnimme mei de tsjinsten fan har CSIRT, dy't produkten en tsjinsten leveret om de fearkrêft te fergrutsjen, lykas stipe yn gefal fan in ynsidint. Tariede de registraasje op 'e tiid, sadat de ymplemintaasje net pas nei ynwurking begjint.
Tafersjoch en hanthavening
De Cybersecurity Act soarget foar in differinsjearre tafersjochrezjym. Essinsjele entiteiten binne ûnderwurpen oan proaktyf tafersjoch: de tafersjochhâlder kin kontinu en op eigen inisjatyf kontrolearje, sûnder in spesifyk ynsidint of sinjaal. Wichtige entiteiten binne ûnderwurpen oan reaktyf tafersjoch, wêrby't de tafersjochhâlder yn prinsipe hannelet yn reaksje op in ynsidint, in klacht of in oar konkreet sinjaal.
Tafersjoch is ferdield oer ferskate autoriteiten. Fan 15 augustus 2026 ôf hâldt de Nederlânske Autoriteit foar Digitale Ynfrastruktuer tafersjoch op organisaasjes yn njoggen sektoaren; foar oare sektoaren wurde oare tafersjochhâlders oanwiisd. Stel fêst hokker tafersjochhâlder kompetint is foar jo organisaasje.
De hanthaveningstoolkit is breed en omfettet:
- in befeiligingsscan of befeiligingsaudit;
- in bindende ynstruksje;
- in bestjoerlike útfieringsbefel of in beslút ûnderwurpen oan in boete;
- publikaasje fan in oertreding;
- in bestjoerlike boete;
- foar essensjele entiteiten: skorsing fan in sertifikaasje, in autorisaasje of in bestjoerslid.
Foar essensjele entiteiten is de maksimale boete teminsten 10 miljoen euro of 2% fan 'e totale wrâldwide jierlikse omset, wat it heechste is. Foar wichtige entiteiten is it teminsten 7 miljoen euro of 1.4% fan 'e wrâldwide jierlikse omset, wat it heechste is. It úteinlike nivo hinget ôf fan 'e omstannichheden fan 'e saak, ynklusyf de aard, earnst en doer fan 'e oertreding, de mjitte fan skuld en de nommen maatregels.
Wat kin jo organisaasje no dwaan?
- Doch in selsbeoardieling. Stel fêst oft de organisaasje aktyf is yn in oanwiisde sektor en foldocht oan de gruttedrompel.
- Bepale de juste kategory. Stel fêst oft de organisaasje kwalifisearret as in essensjele of in wichtige entiteit, en hokker tafersjochhâlder kompetint is.
- Tariede de registraasje. Sammelje de gegevens dy't nedich binne foar registraasje by de NCSC fia MijnNCSC.
- Test de soarchplichtmaatregels. Beoardielje besteande maatregels foar risiko-analyze, ynsidintreaksje, bedriuwskontinuïteit, feiligens fan 'e supply chain, cyberhygiëne, kwetsberens, multifaktor-autentikaasje en kryptografy.
- Stel it meldingsproses yn. Registrearje wa beoardielet oft in ynsidint meldingsplichtich is, wa't melding docht, en hoe't de deadlines fan 24 oeren, 72 oeren en ien moanne helle wurde.
- Betrek it bestjoer der dúdlik by. Registrearje hokker besluten it bestjoer nommen hat, hokker training folge is en hoe't tafersjoch op de ymplemintaasje útoefene wurdt.
- Nim de leveringsketen yn. In grut part fan kwetsberheden ûntstiet net binnen de organisaasje sels, mar by leveransiers en tsjinstferlieners. Besjoch jo kontrakten oer feiligensregelingen, notifikaasjeplichten en kontrôlerjochten.
Yn it sluten
De Cybersecurity Act en de Critical Entities Resilience Act fertsjintwurdigje in flinke oanskerping fan cybersecurity-ferplichtingen. In bredere omfang, konkrete soarchplichtmaatregels, strange notifikaasjedeadlines, persoanlike ferantwurdlikens foar direkteuren en in substansjele hanthaveningstoolkit betsjutte dat organisaasjes dit ûnderwerp net oan 'e kant litte kinne. Mei yngong fan krêft op 15 augustus 2026 is de tariedingstiid koart.
Law & More helpt bedriuwen, direkteuren en neilibingsoffisieren by it bepalen fan harren posysje ûnder NIS2 en de Nederlânske Cybersecurity Act, it ynstellen en testen fan de soarchplichtmaatregels, it tarieden fan de registraasje by de NCSC, en it wetlik ynbêdzjen fan it cybersecuritybelied.
Wolle jo de posysje fan jo organisaasje ûnder de nije regels beoardiele hawwe? Nim gerêst kontakt mei ús op foar in petear sûnder ferplichting.
Faak Stelde Fragen
Hjirûnder beantwurdzje wy de fragen dy't ús it meast steld wurde oer dit ûnderwerp.
Wannear wurdt de Nederlânske Cybersecuritywet fan krêft?
Op 15 augustus 2026 hat de Senaat de Cybersecurity Act en de Critical Entities Resilience Act op 7 july 2026 goedkard. By ynwurking ferfalt de hjoeddeiske Network and Information Systems Security Act (Wbni).
Falt myn organisaasje ûnder NIS2?
Dat hinget ôf fan jo sektor en jo grutte. NIS2 beslacht achttjin oanwiisde sektoaren en, binnen dy sektoaren, as haadregel organisaasjes mei teminsten 50 meiwurkers of in jierlikse omset of balânstotaal fan mear as € 10 miljoen. Bepaalde partijen falle ûnder, nettsjinsteande de grutte.
Sil ik ynformearre wurde as myn organisaasje ûnder it berik falt?
Nee. Organisaasjes binne sels ferantwurdlik foar it beoardieljen oft se ûnder de Cybersecurity Act falle. Wachtsje riskearret ferplichtingen dy't jilde foardat de beoardieling dien is.
Wat is it ferskil tusken in essensjele en in wichtige entiteit?
It bepaalt de yntensiteit fan tafersjoch en de hichte fan mooglike boetes. Essinsjele entiteiten binne ûnderwurpen oan proaktyf tafersjoch, wêrby't de tafersjochhâlder op eigen inisjatyf kontrolearje kin. Wichtige entiteiten binne ûnderwurpen oan reaktyf tafersjoch, oanset troch in ynsidint, klacht of oar sinjaal.
Wat hâldt de soarchplicht yn?
It nimmen fan passende en evenredige technyske, operative en organisatoaryske maatregels om de risiko's foar jo netwurk- en ynformaasjesystemen te behearjen, ynklusyf saken lykas risiko-analyze, ynsidintôfhanneling, bedriuwskontinuïteit, feiligens fan 'e supply chain, cyberhygiëne, kwetsberens, multifaktor-autentikaasje en kryptografy. Jo moatte kinne ûnderbouwe wêrom't de keazen maatregels passend binne.
Hokker meldingsterminen jilde nei in ynsidint?
In iere warskôging binnen 24 oeren, in formele notifikaasje binnen 72 oeren mei in earste beoardieling fan earnst en ynfloed, en in definityf rapport binnen op syn lêst ien moanne. Stel it notifikaasjeproses fan tefoaren yn.
Moat myn organisaasje har registrearje?
Ja. Registraasje yn it nasjonale entiteitsregister is ferplicht fan 15 augustus 2026 ôf en rint fia MijnNCSC, mei help fan eHerkenning of, foar oerheidsynstânsjes, SSOnRijk. Wizigingen moatte binnen fjirtjin dagen meld wurde. Sadree't jo registrearre binne, kinne jo ferbine mei de tsjinsten fan jo CSIRT.
Hokker ferantwurdlikheid leit by it bestjoer?
De ried moat de feiligensmaatregels goedkarre, tafersjoch hâlde op de ymplemintaasje dêrfan, de cyberrisiko's beoardielje kinne en sels training folgje. De rjochtline giet yn op de persoanlike oanspraaklikens fan it senior management foar it net neilibjen fan regels, dus registrearje besluten, training en tafersjoch dúdlik.
Hoe heech binne de boetes?
Foar essensjele entiteiten teminsten 10 miljoen euro of 2% fan 'e wrâldwide jierlikse omset; foar wichtige entiteiten teminsten 7 miljoen euro of 1.4%, yn elk gefal wat it heechste is. It úteinlike nivo hinget ôf fan faktoaren lykas de aard, earnst en doer fan 'e oertreding en de mjitte fan skuld.
Wa hâldt tafersjoch op neilibjen?
Dat ferskilt per sektor. Fan 15 augustus 2026 ôf hâldt de Nederlânske Autoriteit foar Digitale Ynfrastruktuer tafersjoch op organisaasjes yn njoggen sektoaren; foar oare sektoaren wurde oare tafersjochhâlders oanwiisd. Stel fêst hokker tafersjochhâlder kompetint is foar jo organisaasje.
Wêrom is Nederlân foar it Hof fan Justysje ferwiisd?
Foar lette omsetting fan NIS2. Op 8 july 2026 besleat de Europeeske Kommisje om Nederlân, tegearre mei Ierlân, Spanje en Frankryk, foar it Hof fan Justysje te ferfolgjen foar it net melden fan omsettingsmaatregels. It feit dat de Cybersecurity Act in dei earder oannaam is, betsjuttet op himsels net dat dy prosedueres einiget.
Jildt dit ek foar myn leveransiers?
Feiligens fan 'e leveringsketen is ien fan 'e ûnderwerpen fan soarchplicht. In grut part fan kwetsberheden ûntstiet by leveransiers en tsjinstferlieners. Besjoch jo kontrakten oer feiligensregelingen, notifikaasjeplichten en kontrôlerjochten.
