Voldoet jouw organisatie aan NIS2?

NIS2 is de tweede Netwerk- en Informatiebeveiligingsrichtlijn, een Europese wetgeving die is ontworpen om de beveiliging en veerkracht van netwerk- en informatiesystemen in de Europese Unie te verbeteren.

NIS2 is van toepassing op een breed scala aan organisaties, waaronder "essentiële" en "belangrijke" dienstverleners. Ook als jouw bedrijf niet valt onder de genoemde sectoren, is de kans zeer groot dat je alsnog te maken hebt met de zogenaamde ketenverantwoordelijkheid. Het kan namelijk zijn dat je klanten naleving eisen, zelfs als je technisch gezien niet onder NIS2 valt. Het doel van NIS2 is om de cyberweerbaarheid van bedrijven in de hele EU te vergroten. Door te voldoen aan de richtlijn versterk je dus hoe dan ook je beveiliging!

• Zorgplicht – Het is de bedoeling dat organisaties zelf een risicobeoordeling uitvoeren. Op basis van deze risicobeoordeling kan worden besloten welke maatregelen genomen moeten worden om de continuïteit van je diensten zoveel mogelijk te waarborgen en de gebruikte informatie te beschermen. Vanuit de verschillende sectoren van NIS2 worden nadere regels gesteld aan de zorgplicht. Voor de overheid omvat dit in elk geval de Baseline Informatiebeveiliging Overheid (BIO) 2.0.
• Meldplicht – Wanneer er een incident plaatsvindt, moet je als organisatie binnen 24 uur melding doen bij de toezichthouder. Het gaat hierbij om incidenten die de continuïteit van dienstverlening van de essentiële entiteit aanzienlijk (kunnen) verstoren. In het geval van een cyberincident moet het ook gemeld worden bij het Computer Security Incident Response Team (CSIRT), die hulp- en bijstand kan leveren. Factoren die een incident meldingswaardig maken, zijn bijvoorbeeld het aantal personen dat door de verstoring is geraakt, de tijdsduur van een verstoring en de mogelijke financiële verliezen. De drempelwaarden in specifieke sectoren wordt in nadere regelgeving verder uitgewerkt.
• Toezicht – Organisaties die onder de richtlijn vallen, krijgen ook verplicht toezicht. De NIS2-richtlijn schrijft voor dat een onafhankelijk toezichthouder kijkt naar de naleving van de verplichtingen uit de richtlijn, zoals de zorg- en meldplicht. Voor de overheid wordt de Rijksinspectie Digitale Infrastructuur (RDI) aangewezen als toezichthouder. De RDI maakt voor het toezicht op NIS2 voor de overheid gebruik van bestaande verantwoordingsstructuren. Dit om mogelijke administratieve lasten van het toezicht tot een minimum te beperken.

Niet-naleving van de NIS2-vereisten kan leiden tot sancties, waaronder aanzienlijke boetes. De exacte sancties variëren per EU-lidstaat.

Om te voldoen aan de NIS2-vereisten, moet je passende beveiligingsmaatregelen implementeren, een incidentresponsplan opstellen, periodieke beveiligingsaudits uitvoeren en incidenten melden. Schakel ons in om je hierbij te helpen.

De implementatie en naleving van NIS2 heeft vertraging opgelopen maar wordt naar verwachting geïmplementeerd in Q2 van 2026. De richtlijn verschaft momenteel al wel rechten voor entiteiten die onderhevig zijn aan NIS2 maar er is nog geen wettelijke plicht om te voldoen. 

Vanuit de sectoren die onder de NIS2-richtlijn vallen wordt met nadere regelgeving aangeduid hoe de zorgplicht specifieker ingevuld kan worden. Voor de sector overheid gebeurt dat via de Baseline Informatiebeveiliging Overheid (BIO). Vanuit andere sectoren kunnen andere normen, zoals de NEN 7510 (geldend in de zorg) worden vastgesteld. Dat bepalen de verantwoordelijke ministeries.

Leveranciers die producten of diensten leveren aan entiteiten onder de NIS2-richtlijn, vallen soms zelfstandig, maar zeker niet automatisch onder reikwijdte van de NIS2-richtlijn.

Entiteiten die onder de NIS2 vallen hebben in het kader van de zorgplicht wel een verplichting om de beveiliging van de toeleveringsketen in kaart te brengen. Een leverancier kan dus verwachten dat een NIS2-entiteit informatie opvraagt over de maatregelen die de leverancier neemt ten aanzien van cyberrisico’s en/of hier zelf eisen aan stelt.

NIS2 brengt voor overheidsbestuurders geen nieuwe aansprakelijkheden met zich mee, buiten dat wat al bestond. Dat betekent dus niet dat er helemaal geen aansprakelijkheid binnen overheidsinstanties is. Momenteel kunnen bestuurders bijvoorbeeld al bij grove nalatigheid aansprakelijk worden gesteld. Bovendien staat de aansprakelijkheid van bestuurders los van de politieke verantwoordelijkheden die bestaan bij overheidsinstanties.

De NIS2-richtlijn bevat een bepaling over de aansprakelijkheid voor bestuurders in het geval van niet-nakomen van verplichtingen van de richtlijn. Deze bepaling is niet direct van toepassing op overheidsinstanties. De NIS2-richtlijn geeft namelijk aan dat geen afbreuk kan worden gedaan aan nationaal recht inzake aansprakelijkheid van ambtenaren en gekozen of benoemde overheidsfunctionarissen.