NIS2 is inmiddels wet in de meeste EU-lidstaten. DORA geldt voor de hele financiële sector, de AVG voor iedereen met persoonsgegevens. Alle drie eisen dat back-ups, herstel en incidentafhandeling geregeld zijn en dat je dat kunt aantonen.
Een kort overzicht voor de Europese Unie. Of je organisatie eronder valt, bepaal je zelf, samen met je toezichthouder of adviseur.
Energie, vervoer, zorg, drinkwater, digitale infrastructuur, maakindustrie, overheid en meer. Elke EU-lidstaat heeft zijn eigen wet, zoals de Cyberbeveiligingswet in Nederland en de NIS2-wetten in België en Duitsland.
Back-up en herstel: Artikel 21 noemt expliciet bedrijfscontinuïteit, zoals back-upbeheer en noodherstel, en crisisbeheer.
MSP’s en managed security providers zijn een aparte sector in NIS2. Vanaf middelgroot (50 medewerkers of €10 miljoen omzet) vallen ze er in elke lidstaat onder.
Back-up en herstel: Je eigen continuïteit, en de vragen van elke klant die zijn toeleveringsketen moet controleren.
Banken, verzekeraars, beleggingsondernemingen en andere financiële instellingen in de hele EU. Van toepassing sinds 17 januari 2025.
Back-up en herstel: Back-upbeleid, procedures voor terugzetten en herstel, en grip op je ICT-leveranciers.
Artikel 32 vraagt overal in de EU om passende beveiliging van persoonsgegevens.
Back-up en herstel: Het vermogen om na een incident de beschikbaarheid van en toegang tot persoonsgegevens tijdig te herstellen.
De Baseline Informatiebeveiliging Overheid (versie 1.3, afgestemd op de Cbw) en de norm voor informatiebeveiliging in de zorg.
Back-up en herstel: Back-ups, continuïteit en beschikbaarheid van gegevens horen bij de maatregelen die je moet kunnen aantonen.
Van kracht sinds 15 augustus 2026. Wie eronder valt, registreert zich bij het NCSC. De zorgplicht noemt bedrijfscontinuïteit uitdrukkelijk, waaronder back-upbeheer. Het bestuur moet de maatregelen goedkeuren en erop toezien.
Van kracht sinds 18 oktober 2024, met het CCB als toezichthouder. Essentiële entiteiten moesten uiterlijk 18 april 2026 aantonen dat ze een erkende route volgen: CyberFundamentals (CyFun) of ISO 27001. Volledige ISO 27001-certificering moet er uiterlijk in april 2027 zijn.
Het back-up- en hersteldeel van die kaders: onveranderbare back-ups, geteste terugzettingen, een herstelplan en rapporten als bewijs. Dat deel maken we aantoonbaar. Compliant maken we je daarmee niet.
Bronnen: CCB over de deadline van 18 april 2026 en de NCSC-infosheet over de zorgplicht.
Van regel naar bewijs
Elk kader vraagt in eigen woorden hetzelfde: dat je je data en systemen terugkrijgt en dat kunt aantonen. Kies een kader en zie welke onderdelen van onze dienst dat bewijs leveren.
“Bedrijfscontinuïteit, zoals back-upbeheer en herstel na een noodgeval, en crisisbeheer”, plus de beveiliging van je toeleveringsketen.
Een back-upbeleid en geteste procedures voor terugzetten en herstel. Plus grip op de ICT-leveranciers waar je van afhankelijk bent.
“Het vermogen om bij een incident de beschikbaarheid van en de toegang tot persoonsgegevens tijdig te herstellen”, en een verwerker met wie je een overeenkomst hebt.
Nederlandse normen voor de overheid en de zorg. Back-ups, continuïteit, beschikbaarheid van patiëntgegevens en grip op leveranciers horen erbij.
Wij leveren maatregelen en bewijs. Of je organisatie voldoet, is aan jou, je auditor of je toezichthouder.
De details verschillen per lidstaat. De kern is overal gelijk.
| Verplichting | Wat het betekent | Waar Immutec helpt |
|---|---|---|
| Zorgplicht | Neem passende maatregelen voor je netwerk- en informatiesystemen, op basis van een risicoanalyse. | Onveranderbare back-ups buiten je netwerk, disaster recovery en geteste restores |
| Meldplicht | Vroegtijdige waarschuwing binnen 24 uur, melding binnen 72 uur, eindrapport binnen een maand. | Logs en een incidenttijdlijn uit je back-upgeschiedenis |
| Verantwoordelijkheid van het bestuur | Het bestuur keurt de maatregelen goed, houdt er toezicht op en volgt training. | Heldere rapportages en testresultaten die het bestuur begrijpt |
| Toeleveringsketen | Beoordeel de beveiliging van je leveranciers. | ISO 27001:2022-gecertificeerde leverancier, data in de EU, vastgelegde scope |
| Registratie | Valt je organisatie eronder? Registreer je dan bij de nationale instantie, in Nederland het NCSC. | Dit doe je zelf; wij geven aan welke gegevens meestal nodig zijn |
Voor essentiële entiteiten maakt NIS2 boetes mogelijk tot €10 miljoen of 2% van de wereldwijde omzet. Deze pagina is algemene informatie, geen juridisch advies. Controleer je eigen verplichtingen bij de officiële bronnen, bijvoorbeeld de NCSC-infosheet over de zorgplicht in de Cyberbeveiligingswet en BIO2 versie 1.3.
Beheerde back-up Disaster recovery Cyber recovery Bewijs voor je directieStaat je vraag er niet bij? Bel ons op +31 (0)85 482 3400.
Geen leverancier kan je compliant maken. Daarvoor telt je hele organisatie mee. Wij regelen een belangrijk deel van de maatregelen, back-up en herstel, en leveren het bewijs daarvan.
Managed service providers zijn een aparte sector in NIS2. Met 50 of meer medewerkers of meer dan €10 miljoen omzet val je er zeer waarschijnlijk onder. Controleer dit bij je nationale toezichthouder. In Nederland kan dat met de zelftest van de overheid. Ook als je er niet onder valt, vragen je klanten ernaar.
Ja. Je back-ups staan in onze eigen private cloud in Nederland.
Herstel- en testrapporten, het herstelplan met RPO en RTO per dienst, back-uplogs en bij een incident een tijdlijn uit je back-upgeschiedenis. Plus ons ISO 27001:2022-certificaat voor je leveranciersdossier.
We lopen je back-up- en herstelafspraken samen door en laten zien wat nog ontbreekt voor NIS2, DORA of de AVG.