De digitale wereld verandert snel, en daarmee ook de dreigingen. Cyberaanvallen worden steeds geavanceerder en treffen niet langer alleen grote multinationals, maar ook middelgrote bedrijven en essentiële dienstverleners. Om hierop te anticiperen, heeft de Europese Unie de NIS2-richtlijn geïntroduceerd. Maar wat houdt deze wetgeving precies in, en waarom zou jij je er als ondernemer druk over moeten maken?
Bij Tech Resolve begrijpen we dat wet- en regelgeving complex kan overkomen. Daarom leggen we in deze uitgebreide gids uit wat de NIS2-richtlijn betekent, voor wie deze geldt, wat de gevolgen zijn van non-compliance, en – het belangrijkste – hoe je jouw organisatie hierop kunt voorbereiden.
Wat is de NIS2-richtlijn?
NIS2 staat voor Network and Information Security Directive en is de tweede Europese richtlijn inzake de beveiliging van netwerk- en informatiesystemen. Het is een wettelijk kader dat tot doel heeft de digitale weerbaarheid van organisaties te verbeteren en de gevolgen van cyberaanvallen te beperken.
De richtlijn is op 27 december 2022 gepubliceerd en trad in werking op 17 januari 2023. Lidstaten hadden tot 17 oktober 2024 de tijd om de richtlijn om te zetten in nationale wetgeving, maar veel landen, waaronder Nederland, hebben deze deadline niet gehaald. De verwachting is dat de implementatiewet in Nederland medio 2026 in werking zal treden.
Waarom is NIS2 nodig?
NIS2 vervangt de eerdere NIS-richtlijn uit 2016. De noodzaak voor een aangescherpte versie is duidelijk: het digitale landschap is veranderd en cyberdreigingen zijn geëvolueerd. De oude richtlijn bleek onvoldoende om de huidige risico’s het hoofd te bieden. NIS2 heeft als doel:
- Een hoog, gezamenlijk niveau van cyberbeveiliging in de hele EU te garanderen.
- De weerbaarheid van kritieke sectoren te vergroten.
- Harmonisatie van cybersecurityregels in de EU, zodat bedrijven in alle lidstaten aan dezelfde minimumeisen voldoen.
Voor Wie Geldt de NIS2-richtlijn?
De NIS2-richtlijn is niet voor iedereen. Hij richt zich op middelgrote en grote entiteiten die actief zijn in specifieke, kritieke sectoren. Het is cruciaal om te bepalen of jouw organisatie onder de reikwijdte valt.
Er zijn twee hoofdgroepen:
- Essentiële entiteiten (zeer kritieke sectoren)
- Belangrijke entiteiten (andere kritieke sectoren)
Essentiële sectoren (Bijlage I)
Deze sectoren hebben een grote impact op de maatschappij en economie. Denk aan:
- Energie (elektriciteit, olie, gas, waterstof)
- Vervoer (lucht, spoor, water, weg)
- Bankwezen en financiële marktinfrastructuren
- Gezondheidszorg (zorgaanbieders, fabrikanten)
- Drinkwater en afvalwater
- Digitale infrastructuur (datacenters, clouddiensten)
- ICT-dienstverlening (business-to-business)
- Openbaar bestuur (centraal en regionaal)
- Ruimtevaart
Andere kritieke sectoren (Bijlage II)
- Post- en koeriersdiensten
- Afvalbeheer
- Chemische sector
- Voedingsmiddelenindustrie
- Productie (medische apparaten, elektronica, voertuigen)
- Digitale aanbieders (onlinemarktplaatsen, zoekmachines, sociale netwerken)
- Onderzoeksinstellingen
En voor kleine en middelgrote bedrijven (MKB)?
Klein- en kleinstbedrijven vallen in principe niet onder de NIS2-richtlijn. Er zijn echter uitzonderingen:
- Als je een unieke dienst levert die essentieel is voor kritieke maatschappelijke of economische activiteiten.
- Als een storing bij jouw organisatie een grote impact kan hebben op de openbare veiligheid of gezondheid.
- Als je diensten levert aan bedrijven die wel onder NIS2 vallen, kan de richtlijn ook op jou van toepassing zijn. De verantwoordelijkheid voor supply chain security is een belangrijk onderdeel van NIS2.
Check of de NIS2-richtlijn van toepassing is op jouw organisatie middels deze online zelfevaluatie van de overheid. Hiermee bepaal je of jouw organisatie onder de NIS2-wetgeving valt.
Let op: De NIS2-richtlijn heeft extraterritoriale werking. Ook niet-Europese bedrijven die diensten aanbieden in de EU kunnen onder de richtlijn vallen.
Wat Zijn de Verplichtingen?
Als je organisatie onder de NIS2-richtlijn valt, krijg je te maken met een reeks verplichtingen. Deze zijn ontworpen om een solide cybersecuritybasis te garanderen.
1. Cybersecurity risicomanagement
Organisaties moeten passende en evenredige technische, operationele en organisatorische maatregelen nemen om cyberrisico’s te beheersen. Dit omvat onder andere:
- Risicoanalyse en beleid: Identificeren van kwetsbaarheden en het opstellen van securitybeleid.
- Incidentafhandeling: Procedures om snel en effectief te reageren op cyberincidenten.
- Bedrijfscontinuïteit en crisisbeheer: Zorgen dat het bedrijf kan blijven draaien na een aanval.
- Leveranciersbeveiliging (Supply Chain Security): Veiligheidseisen stellen aan toeleveranciers en partners.
- Digitale hygiëne: Basisprincipes zoals sterke wachtwoorden, updates en beveiligingstrainingen voor medewerkers.
- Cryptografie en encryptie: Gebruik van versleuteling om gegevens te beschermen.
2. Meldplicht bij incidenten
Een van de belangrijkste pijlers is de meldplicht. Een incident moet in drie fasen worden gemeld bij de bevoegde autoriteit :
- Fase 1 (binnen 24 uur): Een vroege waarschuwing dat er een significant incident heeft plaatsgevonden.
- Fase 2 (binnen 72 uur): Een uitgebreidere melding met meer details.
- Fase 3 (binnen 30 dagen): Een eindrapport waarin de oorzaak en getroffen maatregelen worden beschreven.
3. Bestuurlijke verantwoordelijkheid
Een opvallende en strenge eis is de persoonlijke aansprakelijkheid van bestuurders. Het bestuur is verantwoordelijk voor de naleving van NIS2. Dit betekent dat:
- Bestuurders het cybersecuritybeleid moeten goedkeuren en de uitvoering ervan moeten controleren.
- Bestuurders verantwoordelijk kunnen worden gehouden bij nalatigheid.
- Bestuurders verplicht zijn om trainingen te volgen over cyberrisico’s.
Wat Zijn de Gevolgen bij Niet-Naleving?
De sancties voor niet-naleving zijn aanzienlijk en zijn ontworpen als een sterke afschrikking. De hoogte hangt af van de classificatie van de entiteit.
Boetes
| Type Entiteit | Maximale Boete |
|---|---|
| Essentieel | € 10.000.000 of 2% van de wereldwijde jaaromzet (het hoogste bedrag is van toepassing) |
| Belangrijk | € 7.000.000 of 1,4% van de wereldwijde jaaromzet |
Andere Sancties
Naast hoge boetes kunnen bevoegde autoriteiten ook andere maatregelen opleggen :
- Openbaarmaking van de overtreding
- Bevelen om specifieke maatregelen te treffen
- Tijdelijke schorsing van de activiteiten of het intrekken van vergunningen.
Hoe Kan Tech Resolve Jouw Bedrijf Voorbereiden?
Voordat je met ons in gesprek gaat, kun je zelf al een eerste stap zetten.
Check of de NIS2-richtlijn van toepassing is op jouw organisatie middels deze online zelfevaluatie van de overheid.
En bepaal in hoeverre je al aan de nieuwe wetgeving voldoet met deze quickscan.
De NIS2-richtlijn is een complexe wetgeving die een aanzienlijke impact kan hebben op jouw organisatie. Het is nooit te vroeg om te beginnen met de voorbereidingen. Tech Resolve biedt diensten om jouw bedrijf weerbaarder te maken en te voldoen aan de aankomende vereisten.
1. De NIS2-Scan
We beginnen met een grondige analyse om te bepalen of jouw organisatie onder de NIS2-richtlijn valt en waar de grootste risico’s en tekortkomingen liggen. Dit is de eerste en meest cruciale stap.
2. Opstellen van een Plan van Aanpak
Op basis van de scan ontwikkelen we een concreet, stapsgewijs plan om te voldoen aan de NIS2-vereisten. Dit omvat zowel technische als organisatorische maatregelen.
3. Implementatie van Oplossingen
We helpen je bij de implementatie van de benodigde beveiligingsmaatregelen, zoals:
- Multi-Factor Authenticatie (MFA)
- Vulnerability Management
- Totale Endpoint Security
- Beveiliging van de netwerkinfrastructuur (firewalls)
- Back-up oplossingen om dataverlies te voorkomen
4. Bewustwording en Training
We bieden Security Awareness Training voor medewerkers, omdat de menselijke factor een van de grootste risico’s is.
Conclusie
De NIS2-richtlijn is meer dan alleen een nieuwe wet; het is een kans om je digitale weerbaarheid naar een hoger niveau te tillen. Door nu actie te ondernemen, voorkom je niet alleen dure boetes en reputatieschade, maar bouw je ook een veiliger en veerkrachtiger bedrijf voor de toekomst.
Wacht niet tot de wetgeving in werking treedt. Begin vandaag nog met de voorbereidingen.
Plan een vrijblijvende NIS2-Scan en ontdek wat de NIS2-richtlijn concreet voor jouw organisatie betekent.
Veelgestelde vragen over NIS2
Wat betekent NIS2?
NIS2 staat voor Network and Information Security Directive, de tweede Europese richtlijn voor netwerk- en informatiebeveiliging.
Voor wie geldt de NIS2-richtlijn?
De richtlijn geldt voor middelgrote en grote organisaties in kritieke sectoren zoals energie, transport, gezondheidszorg, digitale infrastructuur en meer.
Wanneer treedt de NIS2-richtlijn in werking?
De richtlijn is gepubliceerd in 2022, maar de nationale wetgeving in Nederland wordt naar verwachting medio 2026 van kracht.
Wat zijn de boetes bij overtreding?
Voor essentiële entiteiten kan de boete oplopen tot €10.000.000 of 2% van de wereldwijde jaaromzet.
Val ik onder de NIS2-richtlijn?
Dit kun je achterhalen door middel van een NIS2-scan. Tech Resolve helpt je hier graag bij.
Tech Resolve – Jouw partner voor een veilige en toekomstbestendige digitale omgeving.