NIS2 wetgeving: verplichtingen en impact

De NIS 2-wetgeving is een belangrijke Europese richtlijn die gericht is op het versterken van de digitale weerbaarheid van zowel essentiële als belangrijke organisaties. Deze richtlijn is een vervolg op de oorspronkelijke NIS1-richtlijn en introduceert strengere eisen voor netwerk- en informatiesystemen.

Organisaties worden aangespoord om risico’s te identificeren, aan te pakken en te rapporteren. Bovendien legt NIS2 de nadruk op de actieve betrokkenheid van het management, dat verantwoordelijk is voor het toezicht op de uitvoering van cybersecuritymaatregelen binnen de organisatie.

Quelles entreprises sont concernées par la directive NIS2 ?

NIS2 verplicht organisaties tot technische en organisatorische maatregelen om cyberrisico’s te beperken. Dit omvat onder andere het beheren van toegang, het monitoren van systemen, het opstellen van continuïteitsplannen en het waarborgen van ketenbeveiliging.

Daarnaast dienen incidentmeldingen te voldoen aan strikte richtlijnen. De richtlijn legt de nadruk op preventie, detectie en herstel. Hierdoor is cyberveiligheid niet alleen een verantwoordelijkheid van de IT-afdeling, maar een strategische taak voor het gehele bestuur.

Quels secteurs sont concernés par la directive NIS2 ?

NIS2 richt zich op essentiële en belangrijke entiteiten. Dit zijn organisaties in sectoren zoals energie, zorg, transport, financiële diensten en digitale infrastructuur. Middelgrote en grote bedrijven in deze sectoren vallen onder de richtlijn. Kleine bedrijven zijn meestal uitgezonderd, tenzij ze een cruciale rol spelen in de keten. Organisaties moeten proactief bepalen of zij onder de wet vallen om risico’s op non-compliance te voorkomen.

De NIS2-regelgeving is van toepassing op organisaties die als essentieel of belangrijk worden gezien. Of dit voor uw onderneming geldt, hangt af van de sector waarin u actief bent en of u voldoet aan de gestelde criteria. Sectoren in bijlage 1 worden gezien als essentiële entiteiten die cruciaal zijn voor de samenleving en economie, zoals energie, transport, gezondheidszorg en overheidsdiensten. Sectoren in bijlage 2 zijn belangrijke entiteiten die een grote rol spelen in de economie, zoals digitale aanbieders, post- en koeriersdiensten, levensmiddelen en productie. Als uw organisatie tot een van deze sectoren behoort, moet u de NIS2-richtlijnen opvolgen.

Sectoren bijlage 1:

Energie
Transport
Bankwezen
Infrastructuur financiële markt
Gezondheidszorg
Drinkwater
Digitale infrastructuur
Beheerders van ICT-diensten
Afvalwater
Overheidsdiensten
Ruimtevaart

Sectoren bijlage 2:

Digitale aanbieders
Post- en koeriersdiensten
Afvalstoffenbeheer
Levensmiddelen
Chemische stoffen
Onderzoek
Vervaardiging

Quelles mesures prendre pour être en conformité avec la directive NIS2 ?

Organisaties die volgens de CER-richtlijn als kritieke entiteit zijn aangewezen, worden automatisch als essentiële entiteit beschouwd onder de NIS2-richtlijn. Dit betreft bijvoorbeeld energiebedrijven, transportnetwerken, financiële instellingen, grote ziekenhuizen en waterbedrijven die een belangrijke rol spelen in de continuïteit van vitale diensten.

Grote organisaties die actief zijn in een sector uit bijlage 1 van de NIS2-richtlijn vallen onder de regelgeving als zij minimaal 250 werknemers hebben, of een jaaromzet van meer dan 50 miljoen euro, of een balanstotaal van meer dan 43 miljoen euro. Kleinere organisaties in deze sectoren zijn hier niet automatisch toe verplicht.

Middelgrote organisaties die actief zijn in sectoren 1 en 2. Een organisatie wordt als middelgroot beschouwd als ze minimaal 50 werknemers heeft of een jaaromzet en balanstotaal van meer dan 10 miljoen euro genereert.

Nederland zet de Europese NIS2-richtlijn om in nationale wetgeving. Dit betekent dat de regels van de EU juridisch bindend worden binnen Nederland, inclusief toezichtstructuren en handhaving. Verschillende toezichthouders krijgen bevoegdheden om naleving te controleren en boetes op te leggen. Organisaties moeten kunnen aantonen dat zij structureel voldoen aan de wet, zowel op papier als in de praktijk.

De EU-lidstaten moesten de NIS2-richtlijn uiterlijk 17 oktober 2024 omzetten in nationale wetgeving. Deze verplichting gold voor de lidstaten, niet rechtstreeks voor organisaties. In Nederland is de implementatie vertraagd en vindt deze plaats via de Cyberbeveiligingswet (Cbw), die naar verwachting pas in 2026 in werking treedt. Tot die tijd zijn de NIS2-verplichtingen nog niet nationaal uitvoerbaar.

Ja. Nederland heeft de Europese deadline van 17 oktober 2024 voor de omzetting van de NIS2-richtlijn niet gehaald. De richtlijn is op EU-niveau wel van kracht, maar de Nederlandse verplichtingen zijn nog niet uitvoerbaar omdat de nationale implementatie via de Cyberbeveiligingswet nog niet is afgerond. Er is dus sprake van een vertraagde nationale invoering, niet van afstel.

De NIS2-richtlijn geldt sinds oktober 2024 in de EU, maar in Nederland is de regelgeving nog niet formeel van kracht omdat de Cyberbeveiligingswet (Cbw) nog moet worden ingevoerd. Naar verwachting treedt deze wet in 2026 in werking. Tot die tijd zijn er geen nationale handhavingsverplichtingen, maar organisaties die straks onder NIS2 vallen, wordt aangeraden zich alvast voor te bereiden.

Niet-naleving van NIS2 kan leiden tot boetes, verplichte maatregelen en reputatieschade. Toezichthouders kunnen bestuurders persoonlijk aansprakelijk stellen. Daarnaast verhoogt het risico op operationele verstoring door cyberincidenten. Naleving is dus zowel een juridische verplichting als een strategische noodzaak voor bedrijfscontinuïteit en betrouwbaarheid richting klanten en partners.

Voor organisaties betekent NIS2 dat cybersecurity en compliance structureel in de bedrijfsvoering moeten worden geïntegreerd. Rollen en verantwoordelijkheden moeten duidelijk zijn vastgelegd en medewerkers goed getraind.

Risicoanalyses en continue monitoring zijn essentieel, net als tijdige registratie en rapportage van incidenten. Met Protime’s digitale oplossingen voor urenregistratie en procesbeheer kunnen organisaties deze processen efficiënt bijhouden, verantwoordelijkheden monitoren en voldoen aan wettelijke verplichtingen, terwijl ze overzicht behouden over operationele workflows.

Zorginstellingen: voor zorgorganisaties ligt de focus op het beschermen van patiëntgegevens en het waarborgen van de beschikbaarheid van kritische IT-systemen die zorgprocessen ondersteunen.
Energiebedrijven: binnen de energiesector draait NIS2 vooral om de beveiliging van productie- en distributienetwerken, waarbij verstoringen directe gevolgen kunnen hebben voor de samenleving.
Transport en logistiek: voor transport- en logistieke organisaties is het essentieel om de continuïteit van operationele systemen te garanderen, zoals plannings-, tracking- en besturingssystemen.
IT- en digitale dienstverleners: deze organisaties dragen een verhoogde verantwoordelijkheid voor de bescherming van klantdata en het veilig en beschikbaar houden van digitale diensten en infrastructuur.

Dit stappenplan is geen wettelijke verplichting, maar helpt uw organisatie om de NIS2-richtlijn effectief na te leven. Door deze praktische aanpak te volgen, brengt u risico’s in kaart, legt u verantwoordelijkheden vast, voert u passende beveiligingsmaatregelen door en bereidt u uw organisatie voor op incidenten en audits.

Stap 1: Risicoanalyse uitvoeren
Breng in kaart welke systemen, processen en gegevens essentieel zijn voor de bedrijfscontinuïteit en waar de grootste cyberrisico’s liggen.

Stap 2: Verantwoordelijkheden vastleggen
Bepaal wie verantwoordelijk is voor cybersecurity, incidentbeheer en naleving van de NIS2-richtlijn, zowel op management- als operationeel niveau.

Stap 3: Beveiligingsmaatregelen implementeren
Neem passende technische en organisatorische maatregelen, zoals toegangsbeheer, monitoring, back-ups en continuïteitsplannen.

Stap 4: Incidentregistratie en meldprocedures opzetten
Zorg voor duidelijke processen om incidenten snel te detecteren, te registreren en tijdig te melden aan de bevoegde autoriteiten.

Stap 5: Toezicht en audits organiseren
Voer regelmatig interne controles uit en bereid audits voor om de effectiviteit van de maatregelen te beoordelen.

Stap 6: Continu evalueren en verbeteren
Test processen periodiek en pas deze aan op basis van nieuwe dreigingen, technologische ontwikkelingen en wetgeving.

Wat betekenen de preventieve maatregelen van de NIS2-richtlijn concreet voor uw bedrijf?

Protime gaat hierop in tijdens een informatief en praktisch webinar, ondersteund door sprekende voorbeelden.

Ik kijk naar het NIS2-webinar.