Wat is NIS2 en wat regelt de Nederlandse wet?
NIS2 is de afkorting van de tweede Network and Information Security-richtlijn van de Europese Unie. Een richtlijn moet elk land zelf omzetten in nationale wetgeving. In Nederland is dat de Cyberbeveiligingswet, kortweg Cbw, die op 15 augustus 2026 in werking trad samen met de Wet weerbaarheid kritieke entiteiten. De Cbw vervangt de oudere Wet beveiliging netwerk- en informatiesystemen.
De wet bestaat uit drie lagen. De Cbw zelf legt de hoofdlijnen vast. Het Cyberbeveiligingsbesluit, een algemene maatregel van bestuur, werkt de zorgplicht, de trainingsplicht voor bestuurders en andere verplichtingen verder uit. Een ministeriële regeling vult de laatste details in. Voor de overheid geldt daarnaast de Baseline Informatiebeveiliging Overheid als nadere invulling van de zorgplicht.
Of je onder de wet valt, hangt af van je sector, je omvang en je diensten. Dat werken we uit in NIS2: voor wie verplicht en wanneer. Hoe je je registreert, staat in de registratieplicht bij het NCSC.
De tien maatregelen van de zorgplicht
Het NCSC beschrijft de zorgplicht als tien minimale maatregelen. Elke organisatie bepaalt zelf hoe ze die invult, met risicobeheer als basis:
- Risicoanalyse: beleid voor het analyseren van risico's en het beveiligen van informatiesystemen.
- Incidentrespons: een werkwijze voor het afhandelen van incidenten.
- Voorbereiding op uitval: bedrijfscontinuïteit, back-ups, herstel en crisisbeheer.
- Beveiliging van de toeleveringsketen: afspraken met en controle op leveranciers.
- Cyberhygiëne en training voor medewerkers.
- Beveiliging van netwerk- en informatiesystemen bij aanschaf, ontwikkeling en onderhoud, inclusief patchen en het afhandelen van kwetsbaarheden.
- Personeelsbeveiliging, toegangsbeheer en beheer van bedrijfsmiddelen.
- Multifactorauthenticatie of passkeys en beveiligde communicatie.
- Beleid voor cryptografie en versleuteling.
- Beoordelen of de genomen maatregelen ook werken.
Het woord passend is belangrijk. De wet vraagt je rekening te houden met de mate waarin je aan risico's bent blootgesteld, de omvang van je organisatie en de kans dat zich incidenten voordoen. Een regionale zorginstelling hoeft dus niet hetzelfde te doen als een energiebedrijf, maar moet wel kunnen uitleggen waarom haar keuzes passen bij haar eigen risico.
Is NIS2-certificering verplicht?
Nee. De Cyberbeveiligingswet verplicht geen externe certificering zoals ISO 27001. Wat de wet vraagt, is dat je maatregelen neemt en kunt aantonen dat je dat hebt gedaan. Een certificaat is daar een van de manieren voor, maar geen voorwaarde.
Er zijn twee uitzonderingen en kanttekeningen die het verschil maken:
- In de zorg geldt NEN 7510 al langer als verplichte norm voor informatiebeveiliging. De Inspectie Gezondheidszorg en Jeugd vraagt zorgaanbieders om ten minste aantoonbaar volgens NEN 7510 te werken. Andere organisaties in de zorgketen, zoals fabrikanten van medische hulpmiddelen, kunnen met NEN 7510 of ISO 27001 aantonen dat ze aan de zorgplicht voldoen.
- Je klanten kunnen het wel eisen. Organisaties die onder de Cbw vallen moeten hun toeleveringsketen beveiligen en leggen die eisen contractueel bij leveranciers neer. Zo kom je als leverancier alsnog een certificaatvraag tegen, ook als je zelf niet onder de wet valt.
Wanneer een keurmerk zinvoller is dan een volledige ISO-certificering, lees je in NIS2 Quality Mark: wat is het en heb je het nodig. De gevolgen voor leveranciers staan in de Cyberbeveiligingswet en je softwareleveranciers.
Wat NIS2-compliance betekent voor het bestuur
De Cbw legt de verantwoordelijkheid nadrukkelijk bij de top van de organisatie. Uitvoerende bestuurders dragen de eindverantwoordelijkheid voor de zorgplicht, niet-uitvoerende bestuurders houden daar toezicht op. Bij ernstige nalatigheid die leidt tot een groot incident kunnen bestuurders aansprakelijk worden gesteld.
Uitvoerende bestuurders moeten bovendien een cyberbeveiligingstraining volgen. Daarvoor geldt een termijn van twee jaar na de inwerkingtreding van de wet, dus uiterlijk 15 augustus 2028. Nieuwe bestuurders krijgen twee jaar vanaf hun benoeming. De kosten van die training worden niet vergoed.
In de praktijk betekent dit dat cyberbeveiliging een vast punt op de bestuursagenda wordt: het bestuur keurt het risicobeleid goed, krijgt periodiek te zien of de maatregelen werken en weet wie bij een incident binnen 24 uur de melding doet.
Toezicht, meldplicht en boetes
Het toezicht verschilt per type entiteit. Essentiële entiteiten worden proactief gecontroleerd, dus ook zonder dat er iets is misgegaan. Bij belangrijke entiteiten grijpt de toezichthouder vooral in na een incident of een aanwijzing dat de regels niet worden nageleefd.
De zorgplicht hangt nauw samen met de meldplicht. Een significant incident meld je binnen 24 uur als vroegtijdige waarschuwing via het NCSC, binnen 72 uur volgt een incidentmelding en uiterlijk een maand na de eerste melding een eindverslag. Zonder een werkende incidentrespons, maatregel twee uit de zorgplicht, haal je die termijnen niet.
De maximale boetes voor het schenden van de zorgplicht of de meldplicht zijn tien miljoen euro of twee procent van de wereldwijde jaaromzet voor essentiële entiteiten, en zeven miljoen euro of 1,4 procent voor belangrijke entiteiten. Het hoogste bedrag geldt.
Waar software en koppelingen in de zorgplicht terugkomen
Minstens vier van de tien maatregelen gaan direct over de software die je gebruikt of laat bouwen: beveiliging bij ontwikkeling en onderhoud, toegangsbeheer, multifactorauthenticatie en versleuteling. Ook de toeleveringsketen raakt aan software, want elke koppeling met een extern systeem is een schakel in die keten.
Bij softwareontwikkeling en het bouwen van koppelingen en integraties richten we daarom standaard in wat de zorgplicht vraagt: rolgebaseerd toegangsbeheer in plaats van gedeelde accounts, MFA voor beheerders, versleuteling van gevoelige gegevens, logging waarmee je een incident kunt reconstrueren en een vast proces voor beveiligingsupdates. Hoe wij zelf met informatiebeveiliging omgaan, lees je in ontwikkelaar met ISO 27001.
Wil je weten welke van de tien maatregelen in je eigen applicaties nog openliggen, plan dan een vrijblijvend gesprek. We lopen je systemen en koppelingen langs en benoemen wat als eerste aandacht nodig heeft.