NIS2-compliance: zo voldoet jouw organisatie aan de wetgeving

De digitale dreigingen in Europa nemen in rap tempo toe. Om de digitale weerbaarheid van organisaties te versterken, heeft de Europese Unie de NIS2-richtlijn ingevoerd. De afkorting NIS staat voor Network and Information Security. Waar de eerste NIS-richtlijn zich voornamelijk toespitste op klassieke vitale infrastructuur, breidt NIS2 het toepassingsgebied drastisch uit naar vele duizenden extra organisaties in uiteenlopende sectoren.

In Nederland wordt deze Europese richtlijn vertaald naar nationale wetgeving via de Cyberbeveiligingswet (Cbw) en het bijbehorende Cyberbeveiligingsbesluit (Cbb). De definitieve inwerkingtreding van de Cyberbeveiligingswet staat momenteel gepland voor het derde kwartaal van 2026. Ondertussen worden ook de sectorspecifieke ministeriële regelingen verder uitgewerkt. Omdat het invoeren van de vereiste maatregelen aanzienlijke voorbereiding vergt, kunnen organisaties niet wachten tot de officiële ingangsdatum om compliant te worden.

Voor wie geldt de wetgeving: essentiële versus belangrijke entiteiten

De Cyberbeveiligingswet maakt een strikt onderscheid tussen twee categorieën organisaties: essentiële entiteiten en belangrijke entiteiten. Deze indeling hangt af van de sector waarin een organisatie actief is en de omvang van het bedrijf.

Essentiële entiteiten zijn doorgaans grote ondernemingen (minimaal 250 medewerkers of een jaaromzet van meer dan 50 miljoen euro en een balanstotaal van minimaal 43 miljoen euro) binnen sectoren met een zeer hoog risico, zoals energie, vervoer, bankwezen, drinkwater, digitale infrastructuur en gezondheidszorg. Voor deze entiteiten geldt een ex-ante toezichtregime. Dit betekent dat toezichthouders proactief controleren of systemen en processen op orde zijn via reguliere inspecties en audits, nog vóórdat er een incident heeft plaatsgevonden. Bij ernstige overtredingen kan een maximale bestuurlijke boete worden opgelegd van ten minste 10 miljoen euro of 2% van de wereldwijde jaaromzet (waarbij het hoogste bedrag geldt).

Belangrijke entiteiten zijn middelgrote ondernemingen (minimaal 50 medewerkers of een jaaromzet en balanstotaal van meer dan 10 miljoen euro) in sectoren zoals afvalstoffenbeheer, voedselproductie en -distributie, chemie, post- en koeriersdiensten, digitale aanbieders en de maakindustrie. Voor deze organisaties geldt een ex-post toezichtregime. Toezichthouders komen hierbij pas in actie na aanwijzingen van niet-naleving of na een gemeld incident. De boetes voor belangrijke entiteiten zijn eveneens fors: toezichthouders kunnen boetes opleggen tot maximaal 7 miljoen euro of 1,4% van de wereldwijde jaaromzet (waarbij het hoogste bedrag geldt).

Daarnaast kunnen toezichthouders in beide regimes bij hardnekkige overtredingen bestuursleden tijdelijk schorsen, waardoor directies en besturen ook een duidelijke persoonlijke verantwoordelijkheid dragen.

De drie pijlers van NIS2-compliance

1. Zorgplicht en risicobeheer: Organisaties zijn verplicht om passende technische en organisatorische maatregelen te nemen om risico’s voor netwerk- en informatiesystemen te beheersen. Dit omvat onder meer risicoanalyses, cryptografie, meervoudige authenticatie (MFA), beleid rondom ketenveiligheid en strikte maatregelen voor bedrijfscontinuïteit, zoals back-upbeheer en herstelcapaciteit.

2. Strikte meldplicht in drie fasen: Significante cyberincidenten moeten worden gemeld bij het centrale NCSC-portaal en de bevoegde toezichthouder. Deze meldprocedure verloopt in drie vaste termijnen: een vroegtijdige melding binnen 24 uur na detectie, een vervolgmelding met een initiële impactbeoordeling binnen 72 uur, en een gedetailleerd eindverslag binnen één maand.

3. Bestuurlijke aansprakelijkheid en toezicht: Bestuurders moeten cybersecurityopleidingen volgen, toezien op de risicobeheersingsmaatregelen en de naleving ervan goedkeuren. Nalatigheid kan leiden tot directe sancties en aansprakelijkheid voor het bestuur.

Praktische NIS2-compliance checklist: stappenplan voor jouw organisatie

Stap 1: Bepaal jouw rol en categorie. Analyseer of jouw organisatie onder de wet valt, in welke sector je opereert en of je kwalificeert als essentiële of belangrijke entiteit. Controleer tevens of belangrijke klanten van jou NIS2-compliance eisen aan toeleveranciers in de toeleveringsketen.

Stap 2: Voer een gap-analyse en risicobeoordeling uit. Breng alle informatiesystemen, kritieke data en actuele kwetsbaarheden in kaart. Gebruik hiervoor een gerichte Back-up Security Scan of een Domain Scan om direct inzicht te krijgen in technische hiaten binnen jouw IT-omgeving.

Stap 3: Implementeer de verplichte zorgplichtmaatregelen. Richt processen in voor toegangsbeheer, multi-factor authenticatie, incidentrespons en databeveiliging. Zorg voor onveranderlijke dataopslag en geteste back-upmechanismen zodat de continuïteit van bedrijfsprocessen te allen tijde gegarandeerd kan worden.

Stap 4: Richt de meldprocedures en crisiscommunicatie in. Zorg voor duidelijke interne escalatielijnen en draaiboeken om incidenten direct te detecteren, te mitigeren en conform de wettelijke termijnen van 24 uur, 72 uur en één maand te rapporteren aan het NCSC en de toezichthouder.

Stap 5: Beoordeel de ketenveiligheid en train het bestuur. Breng de beveiligingsrisico’s van jouw directe IT-leveranciers en toeleveranciers in kaart en leg afspraken vast in sluitende SLA’s. Zorg tevens dat directieleden en managers aantoonbaar getraind zijn in cybersecurityrisico’s en compliance-eisen.

Hoe IMMUTEC helpt bij jouw NIS2-compliance

Een vitaal onderdeel van de NIS2-zorgplicht is het waarborgen van de bedrijfscontinuïteit na een cyberincident of aanval met ransomware. Het kunnen aantonen van herstelcapaciteit is daarbij een harde eis van toezichthouders.

IMMUTEC ondersteunt organisaties met specialistische oplossingen op het gebied van bedrijfscontinuïteit en risicobeheersing. Met onze diensten voor Secure Back-up en Immutable Storage bent u verzekerd van databescherming die beschermd is tegen manipulatie en encryptie. Daarnaast zorgt onze Disaster Recovery-dienst ervoor dat uw bedrijfsprocessen na een calamiteit snel en gecontroleerd worden hervat. Dankzij uitgebreide hersteltesten en periodieke audits beschikt u altijd over de benodigde documentatie om compliance richting toezichthouders aan te tonen.

Wilt u weten waar uw organisatie staat in aanloop naar de Cyberbeveiligingswet? Vraag direct een Back-up Security Scan aan of neem contact op voor een deskundig security consult.