De NIS2-richtlijn is van toepassing op organisaties in specifieke sectoren die als kritiek worden beschouwd voor de samenleving en economie. In Nederland worden zowel grote als middelgrote organisaties in deze sectoren verplicht om aan de richtlijn te voldoen. Dit artikel beantwoordt de meest gestelde vragen over welke sectoren en organisaties onder NIS2 vallen en wat dat concreet betekent.

Welke organisaties zijn verplicht te voldoen aan NIS2?

Organisaties die actief zijn in door NIS2 aangewezen sectoren én boven bepaalde drempelwaarden uitkomen, zijn verplicht te voldoen aan de NIS2-richtlijn. In Nederland wordt dit geregeld via de Cyberbeveiligingswet (CBW), die naar verwachting in het tweede kwartaal van 2026 in werking treedt. De richtlijn maakt onderscheid tussen twee categorieën: essentiële entiteiten en belangrijke entiteiten.

Als vuistregel geldt dat organisaties met meer dan 250 medewerkers of een jaaromzet boven de 50 miljoen euro in een aangewezen sector automatisch als essentiële entiteit worden aangemerkt. Middelgrote organisaties, met meer dan 50 medewerkers of een omzet boven de 10 miljoen euro, vallen doorgaans in de categorie belangrijke entiteiten. Beide categorieën zijn verplicht om te voldoen aan de NIS2-verplichtingen, al kunnen de toezichteisen en sancties per categorie verschillen.

Belangrijk om te weten: ook organisaties die zelf net buiten de drempelwaarden vallen, kunnen indirect verplichtingen krijgen als zij diensten leveren aan partijen die wel onder NIS2 vallen. Ketenbeveiliging is een expliciet onderdeel van de richtlijn.

Wat zijn de essentiële sectoren onder de NIS2-richtlijn?

De essentiële sectoren onder de NIS2-richtlijn zijn sectoren waarvan de continuïteit direct van levensbelang is voor de samenleving. Uitval of verstoring in deze sectoren heeft onmiddellijk en ernstig maatschappelijk effect. Organisaties in deze sectoren worden als essentiële entiteiten aangemerkt en vallen onder het strengste toezichtregime.

De volgende sectoren worden aangemerkt als essentieel:

• Energie (elektriciteit, gas, olie, warmte en waterstof)
• Transport (luchtvaart, spoorwegen, scheepvaart en wegvervoer)
• Bankwezen en financiële marktinfrastructuur
• Drinkwater en afvalwater
• Gezondheidszorg (ziekenhuizen, laboratoria, farmaceutische industrie)
• Digitale infrastructuur (DNS-dienstverleners, cloudaanbieders, datacenters, telecomaanbieders)
• ICT-dienstverlening (beheerde beveiligingsdiensten en managed service providers)
• Ruimtevaart
• Overheid (centrale en regionale overheden)

Voor organisaties in deze sectoren geldt dat zij proactief worden gecontroleerd door toezichthoudende autoriteiten. Ze moeten aantoonbaar kunnen laten zien dat zij voldoen aan de gestelde eisen, zonder dat daar eerst een incident aan vooraf hoeft te gaan. Security binnen Microsoft 365 speelt hierbij een steeds grotere rol, omdat veel van deze organisaties werken met cloudoplossingen die beveiligd moeten worden conform de NIS2-normen.

Welke belangrijke sectoren vallen ook onder NIS2?

Naast de essentiële sectoren onderscheidt de NIS2-richtlijn een tweede groep: de belangrijke entiteiten. Deze sectoren zijn minder direct kritiek voor de samenleving, maar spelen wel een significante rol in de economie en digitale infrastructuur. Het toezicht op deze groep is reactief in plaats van proactief, maar de inhoudelijke verplichtingen zijn grotendeels gelijk.

De volgende sectoren vallen onder de categorie belangrijke entiteiten:

• Post- en koeriersdiensten
• Afvalstoffenbeheer
• Chemische industrie
• Levensmiddelenindustrie (food en agri)
• Maakindustrie (medische hulpmiddelen, elektronica, machines en voertuigen)
• Digitale aanbieders (online marktplaatsen, zoekmachines en sociale netwerken)
• Onderzoeksinstellingen
• Financiële dienstverlening (accountancy, trust en aanverwante diensten)

Organisaties in deze sectoren worden dus ook geraakt door de NIS2-wetgeving. Wie in de maakindustrie of logistiek actief is en boven de drempelwaarden uitkomt, moet gewoon voldoen aan de eisen rondom risicobeheer, incidentmelding en ketenbeveiliging. Dat is een punt dat in de praktijk nog vaak wordt onderschat.

Hoe weet een organisatie of zij onder NIS2 valt?

Een organisatie valt onder de NIS2-richtlijn als zij actief is in een van de aangewezen sectoren én boven de drempelwaarden voor omzet of personeelsomvang uitkomt. De snelste manier om dit te beoordelen is door drie vragen te beantwoorden: in welke sector ben je actief, hoe groot is de organisatie, en lever je diensten aan partijen die zelf onder NIS2 vallen?

Concreet doorloop je de volgende stappen:

1. Sectorcheck: Valt de kernactiviteit van de organisatie binnen een van de essentiële of belangrijke sectoren zoals hierboven beschreven?
2. Omvangscheck: Heeft de organisatie meer dan 50 medewerkers of een jaaromzet boven de 10 miljoen euro?
3. Ketencheck: Levert de organisatie kritieke diensten of producten aan partijen die zelf onder NIS2 vallen?

Als je op één of meer van deze vragen “ja” antwoordt, is het sterk aan te raden om de NIS2-status formeel te laten beoordelen. In Nederland zal de overheid naar verwachting een registratieplicht invoeren, waarbij organisaties zichzelf moeten aanmelden bij de bevoegde autoriteit. Wacht hier niet mee tot de CBW van kracht is, want de voorbereidingstijd voor compliance is aanzienlijk.

Wat zijn de gevolgen als een organisatie ten onrechte buiten NIS2 valt?

Als een organisatie ten onrechte aanneemt dat zij buiten de NIS2-richtlijn valt en daardoor geen maatregelen treft, loopt zij aanzienlijke risico’s. Toezichthouders kunnen bij geconstateerde overtredingen forse boetes opleggen: voor essentiële entiteiten tot 10 miljoen euro of 2% van de wereldwijde jaaromzet, voor belangrijke entiteiten tot 7 miljoen euro of 1,4% van de omzet.

Maar de financiële sancties zijn niet het enige risico. De NIS2-richtlijn introduceert ook persoonlijke aansprakelijkheid voor bestuurders. Als blijkt dat een bestuurder onvoldoende maatregelen heeft genomen terwijl dat wel verplicht was, kan hij of zij persoonlijk aansprakelijk worden gesteld. Dat maakt de vraag “vallen wij onder NIS2?” niet alleen een IT-vraagstuk, maar een bestuurlijk risico.

Daarnaast is er het reputatierisico. Een beveiligingsincident bij een organisatie die haar verplichtingen niet is nagekomen, heeft directe gevolgen voor het vertrouwen van klanten, partners en toezichthouders. Voor organisaties die werken met gevoelige data of kritieke processen is dat een risico dat niet te onderschatten is.

Wat moeten NIS2-plichtige organisaties concreet regelen?

NIS2-plichtige organisaties moeten een samenhangend pakket aan technische en organisatorische maatregelen treffen op het gebied van risicobeheer, incidentrespons en ketenbeveiliging. De richtlijn schrijft geen specifieke technologie voor, maar stelt wel duidelijke eisen aan het niveau van bescherming en de aantoonbaarheid daarvan.

De belangrijkste verplichtingen zijn:

• Risicoanalyse en beveiligingsbeleid: Breng de risico’s voor de digitale infrastructuur in kaart en stel aantoonbaar beleid op om die risico’s te beheersen.
• Incident response plan: Zorg voor een vastgesteld plan voor het detecteren, melden en afhandelen van beveiligingsincidenten.
• Meldplicht: Significante incidenten moeten binnen 24 uur worden gemeld bij de bevoegde autoriteit, met een volledig rapport binnen 72 uur.
• Ketenbeveiliging: Stel eisen aan de beveiliging van leveranciers en partners die toegang hebben tot systemen of data.
• Continuïteitsmanagement: Zorg voor back-upbeleid, herstelplannen en crisismanagement.
• Bestuurderstraining: Bestuurders moeten aantoonbaar beschikken over kennis en vaardigheden op het gebied van cyberbeveiliging.
• Toegangsbeheer en authenticatie: Implementeer sterke authenticatie en beperk toegang op basis van het principe van minimale rechten.

De nadruk op aantoonbaarheid is cruciaal. Het is niet voldoende om maatregelen te treffen: organisaties moeten kunnen laten zien dat ze werken conform de gestelde eisen. Professioneel ICT-beheer en ondersteuning vormt daarbij een belangrijke basis, omdat structureel beheer zorgt voor de monitoring, documentatie en rapportage die toezichthouders verwachten.

Hoe Puur ICT helpt met NIS2-compliance

NIS2-compliance is voor veel organisaties een complexe opgave, zeker als er geen dedicated CISO aanwezig is. Wij helpen je als Microsoft 365-specialist en gecertificeerde ICT-dienstverlener stap voor stap naar volledige naleving, zonder dat je meerdere losse partijen hoeft te coördineren.

Wat wij concreet voor je doen:

• NIS2-nulmeting: We brengen je huidige beveiligingssituatie in kaart en bepalen samen wat er nog nodig is om compliant te worden.
• Technische implementatie: We adviseren en implementeren de juiste beveiligingsmaatregelen binnen het Microsoft-ecosysteem, van identiteitsbeheer en toegangscontrole tot monitoring en incidentdetectie.
• Bestuurderstraining en cyber awareness: We verzorgen interactieve trainingen voor bestuurders en medewerkers, inclusief e-learning en phishingsimulaties, zodat kennis aantoonbaar is geborgd.
• Doorlopend beheer en rapportage: We ondersteunen je niet alleen bij de implementatie, maar ook bij het structurele beheer en de documentatie die toezichthouders verwachten.
• Ketenbeveiliging: We helpen je bij het stellen van eisen aan leveranciers en het borgen van beveiliging in de keten.

Wil je weten of jouw organisatie onder de NIS2-richtlijn valt en wat dat betekent voor jullie aanpak? Neem contact op met Puur ICT en we denken graag met je mee, in begrijpelijke taal en met een concreet plan van aanpak.

Gerelateerde artikelen

• Hoe houd je vergaderingen efficiënt als een deel van het team op locatie zit en een deel thuis?
• Hoe hoog zijn de boetes bij overtreding van de NIS2-richtlijn?
• Hoe maak je van IT-verandering een positieve ervaring voor medewerkers?
• Hoe geef je elke medewerker via Single Sign-On toegang tot alle applicaties?
• Hoe krijg je alle medewerkers op één digitale werkplek zonder dat het een enorme operatie wordt?

Een incident response plan is verplicht onder NIS2. De richtlijn schrijft voor dat organisaties beschikken over gedocumenteerde procedures om cyberincidenten te detecteren, te beheersen en te melden. Zonder zo’n plan voldoe je niet aan de zorgplicht die NIS2 oplegt. In dit artikel beantwoorden we de meest gestelde vragen over het incident response plan en wat NIS2 precies van jouw organisatie verwacht.

Wat moet er in een incident response plan staan?

Een incident response plan beschrijft stap voor stap hoe jouw organisatie reageert op een cyberincident. Het plan legt vast wie wat doet, hoe je communiceert en hoe je de schade beperkt. Een volledig plan dekt minimaal de volgende onderdelen af:

• Detectie en classificatie: hoe herken je een incident en hoe bepaal je de ernst ervan?
• Rollen en verantwoordelijkheden: wie is incident response coördinator, wie informeert het bestuur, wie schakelt externe partijen in?
• Communicatieprocedures: interne communicatielijnen én externe meldplichten richting toezichthouders en eventueel klanten
• Inperkingsmaatregelen: concrete stappen om verspreiding van het incident te stoppen
• Herstelproces: hoe breng je systemen veilig terug in productie?
• Documentatie en evaluatie: vastlegging van alle acties en een verplichte nabespreking om herhaling te voorkomen

Een goed incident response plan is geen statisch document. Het vraagt om regelmatige tests, bij voorkeur via oefenscenario’s of tabletop-sessies, zodat iedereen weet wat er van hem of haar verwacht wordt op het moment dat het er echt toe doet. Hoe concreter het plan, hoe sneller en effectiever de reactie bij een daadwerkelijk incident.

Wat zegt NIS2 precies over incident response?

NIS2 verplicht organisaties om passende technische en organisatorische maatregelen te treffen voor het beheer van beveiligingsrisico’s. Incident response is expliciet benoemd als een van die verplichte maatregelen. De richtlijn stelt daarnaast concrete eisen aan de melding van significante incidenten bij de bevoegde nationale autoriteit.

Concreet schrijft NIS2 voor dat significante incidenten binnen 24 uur na ontdekking gemeld worden via een eerste melding, gevolgd door een uitgebreid rapport binnen 72 uur. Een maand na het incident volgt een eindrapportage. Deze termijnen gelden ook onder de Nederlandse Cyberbeveiligingswet, die naar verwachting in het tweede kwartaal van 2026 in werking treedt.

Naast de meldplicht legt NIS2 ook een zorgplicht op het gebied van informatiebeveiliging op. Dat betekent dat je niet alleen moet melden, maar ook aantoonbaar moet kunnen laten zien dat je vooraf de juiste maatregelen had getroffen. Een gedocumenteerd en getest incident response plan is daarvoor een van de meest concrete bewijzen.

Voor welke organisaties is een incident response plan verplicht onder NIS2?

Een incident response plan is verplicht voor alle organisaties die onder NIS2 vallen: zowel essentiële als belangrijke entiteiten. De richtlijn maakt onderscheid op basis van sector en omvang. Organisaties met meer dan 50 medewerkers of een jaaromzet boven 10 miljoen euro in aangewezen sectoren vallen in principe binnen de scope.

Sectoren die onder NIS2 vallen zijn onder andere energie, transport, gezondheidszorg, drinkwater, digitale infrastructuur, ICT-dienstverlening, financiële dienstverlening en overheidsinstanties. Ook middelgrote organisaties in de maakindustrie, logistiek en voedselproductie kunnen in scope vallen.

Belangrijk om te weten: ook als jouw organisatie zelf niet direct onder NIS2 valt, kun je er indirect mee te maken krijgen. Lever je diensten aan partijen die wél onder de richtlijn vallen, dan zullen die opdrachtgevers steeds vaker eisen dat ook jij aantoonbaar voldoet aan vergelijkbare beveiligingsnormen. Ketenbeveiliging is een expliciet onderdeel van NIS2.

Wat is het verschil tussen een incident response plan en een BCP of DRP?

Een incident response plan (IRP), een business continuity plan (BCP) en een disaster recovery plan (DRP) zijn drie afzonderlijke documenten met elk een eigen focus. Ze vullen elkaar aan, maar zijn niet uitwisselbaar.

• Incident response plan: richt zich op de directe reactie op een beveiligingsincident. Het doel is het incident te detecteren, in te perken en te onderzoeken. De tijdshorizon is uren tot dagen.
• Disaster recovery plan: beschrijft hoe je IT-systemen en data herstelt na een verstoring, ongeacht de oorzaak. De focus ligt op technisch herstel, back-ups en herstelsnelheid (RTO en RPO).
• Business continuity plan: heeft de bredere scope van het in stand houden van bedrijfsprocessen tijdens en na een ernstige verstoring. Het BCP omvat ook niet-IT-aspecten zoals personeel, locaties en communicatie richting klanten.

In de praktijk zijn de drie plannen sterk met elkaar verweven. Een cyberincident kan leiden tot activering van zowel het IRP als het DRP, en bij een langdurige verstoring ook het BCP. NIS2 vraagt specifiek om een incident response plan, maar een volwassen beveiligingsstrategie heeft alle drie de documenten op orde.

Hoe stel je een incident response plan op dat NIS2-proof is?

Een NIS2-proof incident response plan opstellen begin je met een risicoanalyse van jouw specifieke omgeving. Zonder inzicht in welke systemen kritiek zijn en welke dreigingen realistisch zijn voor jouw sector, kun je geen effectief plan schrijven. Doorloop daarna de volgende stappen:

1. Breng kritieke systemen en processen in kaart: welke uitval heeft direct impact op continuïteit of veiligheid van data?
2. Definieer incidentcategorieën en escalatieniveaus: niet elk beveiligingsevent is een significant incident in de zin van NIS2.
3. Stel een responsteam samen: benoem rollen, inclusief wie de bestuurder informeert en wie de externe melding verzorgt.
4. Schrijf concrete procedures per incidenttype: denk aan ransomware, datalekken, DDoS-aanvallen en insiderdreigingen.
5. Integreer de meldtermijnen van NIS2: zorg dat de 24-uurs en 72-uursmelding expliciet zijn opgenomen in de procedure.
6. Test het plan regelmatig: voer minimaal jaarlijks een oefening uit en actualiseer het plan op basis van de bevindingen.

Zorg er ook voor dat het plan formeel is goedgekeurd door het bestuur. Onder NIS2 zijn bestuurders persoonlijk verantwoordelijk voor de naleving van de zorgplicht. Een plan dat alleen bij IT bekend is, voldoet niet aan die bestuurlijke verantwoordelijkheid.

Wat zijn de gevolgen als je geen incident response plan hebt bij een NIS2-audit?

Als je bij een NIS2-audit geen incident response plan kunt overleggen, loop je het risico op significante sancties. Voor essentiële entiteiten kunnen boetes oplopen tot 10 miljoen euro of 2% van de wereldwijde jaaromzet. Voor belangrijke entiteiten gelden maxima van 7 miljoen euro of 1,4% van de jaaromzet.

Naast financiële sancties kan de toezichthouder ook aanwijzingen opleggen, tijdelijke beperkingen opleggen aan de bedrijfsvoering of bestuurders persoonlijk aansprakelijk stellen. Dat laatste is een nieuw element dat NIS2 introduceert ten opzichte van eerdere wetgeving: het bestuur kan niet langer de verantwoordelijkheid volledig bij IT neerleggen.

De reputatieschade bij een ernstig incident zonder aantoonbaar incident response plan is minstens zo groot als de financiële gevolgen. Klanten, partners en toezichthouders verwachten dat een organisatie van enige omvang haar beveiligingshuishouding op orde heeft. Het ontbreken van een gedocumenteerd plan is een signaal dat cybersecurity niet serieus wordt genomen op bestuursniveau.

Hoe Puur ICT helpt met jouw incident response plan en NIS2-compliance

Wij begrijpen dat het opstellen van een NIS2-proof incident response plan voor veel organisaties een complexe stap is, zeker als er geen dedicated CISO aanwezig is. Als Microsoft 365-specialist en gecertificeerde ICT-dienstverlener helpen wij je van begin tot eind:

• We brengen jouw huidige beveiligingssituatie in kaart via een nulmeting
• We adviseren over de technische en organisatorische maatregelen die aansluiten op jouw sector en risicoprofiel
• We helpen bij het opstellen, testen en actualiseren van jouw incident response plan
• We ondersteunen bij de implementatie van beveiligingsmaatregelen binnen het Microsoft-ecosysteem
• We verzorgen bestuurderstrainingen zodat jouw management aantoonbaar voldoet aan de opleidingsplicht onder de Cyberbeveiligingswet
• We begeleiden je bij het doorlopend beheer en de rapportage richting toezichthouders

Onze aanpak is pragmatisch: kleine stappen, begrijpelijke taal en persoonlijk contact. Zo zorg je ervoor dat jouw organisatie niet alleen voldoet aan de NIS2-verplichting, maar ook structureel digitaal weerbaarder wordt. Neem contact op met Puur ICT en ontdek wat wij voor jouw organisatie kunnen betekenen.

Gerelateerde artikelen

• Wat kost NIS2-compliance gemiddeld voor een middelgrote organisatie?
• Hoe maak je van IT-verandering een positieve ervaring voor medewerkers?
• Hoe moderniseer je je CRM-systeem zonder de bedrijfsvoering te verstoren?
• Hoe werk je met meerdere mensen tegelijk aan hetzelfde document zonder versiechaos?
• Hoe zorg je dat digitalisering van processen gedragen wordt door alle lagen van je organisatie?

Bij overtreding van de NIS2-richtlijn kunnen organisaties rekenen op forse boetes: voor essentiële entiteiten loopt de maximale boete op tot 10 miljoen euro of 2% van de wereldwijde jaaromzet, en voor belangrijke entiteiten tot 7 miljoen euro of 1,4% van de jaaromzet. Welk bedrag het hoogst uitvalt, is bepalend. De exacte hoogte hangt af van de ernst van de overtreding, de mate van nalatigheid en de omvang van de organisatie. In dit artikel beantwoorden we de meest gestelde vragen over NIS2-boetes, aansprakelijkheid en wat je kunt doen om sancties te voorkomen.

Wie legt de NIS2-boetes op en hoe werkt dat?

In Nederland worden NIS2-boetes opgelegd door de bevoegde nationale toezichthouder. Welke toezichthouder dat precies is, hangt af van de sector waarin je organisatie actief is. Voor digitale dienstverleners en ICT-bedrijven is dat doorgaans het Agentschap Telecom. Voor andere sectoren kunnen dat sectorspecifieke toezichthouders zijn, zoals de Nederlandse Zorgautoriteit (NZa) voor de zorgsector.

De Nederlandse vertaling van NIS2 is de Cyberbeveiligingswet (CBW), die naar verwachting in het tweede kwartaal van 2026 in werking treedt. Zodra de wet van kracht is, krijgen toezichthouders de bevoegdheid om inspecties uit te voeren, informatie op te vragen en bij overtredingen handhavend op te treden. Het handhavingsproces verloopt doorgaans in stappen: eerst een waarschuwing of aanwijzing, dan een last onder dwangsom, en bij aanhoudende of ernstige overtredingen een directe boete.

Toezichthouders beoordelen niet alleen of je technisch voldoet, maar ook of je als organisatie aantoonbaar werk maakt van cybersecurity. Dat betekent dat documentatie, risicoanalyses en incidentregistraties een cruciale rol spelen bij een eventueel onderzoek.

Hoe hoog zijn de maximale boetes onder de NIS2-richtlijn?

De maximale NIS2-boetes zijn afhankelijk van de categorie waarin je organisatie valt. De richtlijn maakt onderscheid tussen essentiële entiteiten en belangrijke entiteiten, met bijbehorende boeteplafonds.

• Essentiële entiteiten: maximaal 10 miljoen euro of 2% van de totale wereldwijde jaaromzet, afhankelijk van welk bedrag hoger is.
• Belangrijke entiteiten: maximaal 7 miljoen euro of 1,4% van de totale wereldwijde jaaromzet, afhankelijk van welk bedrag hoger is.

Essentiële entiteiten zijn organisaties in sectoren die als kritiek worden beschouwd, zoals energie, drinkwater, transport en gezondheidszorg. Belangrijke entiteiten omvatten onder andere digitale dienstverleners, productiebedrijven en ICT-aanbieders. Voor grotere organisaties met een hoge omzet kan het percentage zwaarder uitvallen dan het vaste maximum, wat de financiële impact aanzienlijk vergroot.

Naast directe boetes kunnen toezichthouders ook tijdelijke operationele beperkingen opleggen, zoals een verbod om bepaalde diensten aan te bieden totdat de situatie is hersteld. Voor organisaties die afhankelijk zijn van hun digitale dienstverlening kan dat even ingrijpend zijn als de boete zelf. Je kunt meer lezen over hoe security binnen Microsoft 365 bijdraagt aan aantoonbare naleving van dit soort verplichtingen.

Welke overtredingen leiden het vaakst tot een NIS2-sanctie?

De meest voorkomende NIS2-overtredingen zijn het ontbreken van een risicoanalyse, het niet tijdig melden van beveiligingsincidenten en het verwaarlozen van ketenbeveiliging. Dit zijn precies de gebieden waar veel organisaties nog stappen te zetten hebben.

Concreet gaat het om overtredingen zoals:

• Het niet uitvoeren of documenteren van een risicoanalyse voor netwerk- en informatiesystemen.
• Het te laat of niet melden van een significant beveiligingsincident bij de bevoegde autoriteit (de meldtermijn is doorgaans 24 uur voor een eerste melding).
• Het ontbreken van een incident response plan of crisisprotocol.
• Onvoldoende aandacht voor de beveiliging van leveranciers en ketenpartners.
• Het niet aantoonbaar trainen van bestuurders op het gebied van cybersecurity.

Wat opvalt, is dat sancties niet alleen volgen op technische tekortkomingen. Juist het gebrek aan aantoonbaarheid is een veelvoorkomend struikelblok: organisaties die wel maatregelen nemen, maar dit niet vastleggen, kunnen bij een inspectie alsnog in de problemen komen.

Zijn bestuurders persoonlijk aansprakelijk bij NIS2-overtredingen?

Ja, de NIS2-richtlijn en de Nederlandse Cyberbeveiligingswet maken bestuurders persoonlijk verantwoordelijk voor de naleving van de cybersecurityverplichtingen binnen hun organisatie. Dit is een van de meest ingrijpende veranderingen ten opzichte van eerdere wetgeving.

Concreet betekent dit dat bestuurders niet alleen verantwoordelijk zijn voor het goedkeuren van beveiligingsmaatregelen, maar ook aantoonbaar moeten beschikken over de kennis om deze maatregelen te beoordelen. Het Cyberbeveiligingsbesluit legt expliciet vast dat bestuurders via training moeten aantonen dat zij cyberrisico’s kunnen wegen en de juiste beslissingen kunnen nemen.

Bij ernstige overtredingen kan een toezichthouder een bestuurder tijdelijk verbieden bepaalde leidinggevende functies uit te oefenen. Deze maatregel is weliswaar een uiterste middel, maar het onderstreept hoe serieus de wetgever de bestuurlijke verantwoordelijkheid neemt. Voor directeuren en IT-managers die eindverantwoordelijkheid dragen, is dit een directe aanleiding om cybersecurity niet langer als een puur technisch vraagstuk te behandelen, maar als een bestuurlijke prioriteit.

Hoe voorkom je NIS2-boetes als organisatie?

NIS2-boetes voorkom je door tijdig en aantoonbaar te voldoen aan de zorgplicht, meldplicht en governanceverplichtingen die de wet stelt. Dat vraagt om een gestructureerde aanpak, geen eenmalige actie.

De belangrijkste stappen om sancties te voorkomen zijn:

1. Voer een risicoanalyse uit voor je netwerk- en informatiesystemen en documenteer de uitkomsten zorgvuldig.
2. Stel een incident response plan op en zorg dat de juiste mensen weten wat ze moeten doen bij een beveiligingsincident.
3. Richt een meldproces in zodat je significante incidenten binnen de wettelijke termijn kunt rapporteren aan de bevoegde autoriteit.
4. Beveilig je keten door leveranciers en ketenpartners te beoordelen op hun cybersecurityniveau en afspraken vast te leggen in contracten.
5. Train je bestuurders zodat zij aantoonbaar in staat zijn cyberrisico’s te beoordelen en de juiste beslissingen te nemen.
6. Leg alles vast: beleid, maatregelen, trainingen en incidenten. Aantoonbaarheid is minstens zo belangrijk als de maatregelen zelf.

Compliance is geen eindpunt maar een doorlopend proces. Organisaties die cybersecurity structureel inbedden in hun bedrijfsvoering, lopen het minste risico op sancties en staan bovendien sterker bij een eventuele inspectie.

Geldt de NIS2-richtlijn ook voor jouw organisatie?

De NIS2-richtlijn geldt voor organisaties in aangewezen sectoren die een bepaalde omvang hebben. In de meeste gevallen gaat het om organisaties met meer dan 50 medewerkers of een jaaromzet van meer dan 10 miljoen euro, actief in sectoren zoals energie, transport, zorg, drinkwater, digitale infrastructuur en ICT-dienstverlening.

Maar ook als je organisatie niet direct onder de wet valt, kan NIS2 indirect van toepassing zijn. Lever je diensten aan organisaties die wél onder NIS2 vallen, dan stellen die opdrachtgevers steeds vaker eisen aan de cybersecurity van hun leveranciers. Je bent dan misschien geen wettelijk verplichte entiteit, maar wel een schakel in een keten die aan de wet moet voldoen.

Twijfel je of jouw organisatie in scope valt? De Cyberbeveiligingswet verplicht organisaties die onder de wet vallen ook tot zelfregistratie bij de bevoegde autoriteit. Het is dus niet iets wat je kunt afwachten: je moet zelf bepalen of je in scope bent en daar actie op ondernemen.

Hoe Puur ICT helpt met NIS2-compliance

Wij begrijpen dat NIS2-compliance voor veel organisaties een complexe en tijdrovende opgave is, zeker als je geen eigen CISO of groot IT-team hebt. Als Microsoft 365-specialist en gecertificeerde ICT-dienstverlener helpen wij je stap voor stap naar aantoonbare naleving. Wat wij concreet voor je doen:

• Nulmeting en gap-analyse: we brengen je huidige beveiligingssituatie in kaart en bepalen waar de grootste risico’s en tekortkomingen zitten.
• Technische en organisatorische maatregelen: we adviseren en implementeren de juiste beveiligingsoplossingen binnen het Microsoft-ecosysteem, van security binnen Microsoft 365 tot ketenbeveiliging.
• Bestuurderstraining: via onze CBW-compliancetraining maken we bestuurders aantoonbaar bekwaam op het gebied van cyberrisico’s en hun persoonlijke aansprakelijkheid.
• Doorlopend beheer en rapportage: we ondersteunen je niet alleen bij de implementatie, maar ook bij het structureel bijhouden van documentatie, incidentregistratie en periodieke evaluaties.
• Persoonlijk aanspreekpunt: geen losse leveranciers, maar één vertrouwde partner die proactief meedenkt en heldere taal spreekt.

Wil je weten of jouw organisatie onder de NIS2-richtlijn valt en wat je moet doen om boetes te voorkomen? Neem contact met ons op voor een vrijblijvend gesprek. We helpen je graag verder, in begrijpelijke taal en met een aanpak die past bij jouw organisatie.

Gerelateerde artikelen

• Wat is de beste manier om medewerkers op afstand te laten inloggen zonder veiligheidsrisico?
• Wat betekent NIS2 voor zorginstellingen en ziekenhuizen?
• Wat zijn de stappen van een eerste gesprek tot een volledig ingerichte Microsoft 365-werkplek?
• Wat is een betere manier om documenten te delen en samen te bewerken zonder dat je door versies heen rolt?
• Waar begin je als je organisatie nog niets heeft geregeld voor NIS2?

De zorgplicht onder de NIS2-richtlijn verplicht organisaties om aantoonbare en passende technische en organisatorische maatregelen te treffen om hun netwerken en informatiesystemen te beveiligen. Dit is geen inspanningsverplichting in vage bewoordingen: de richtlijn benoemt concrete maatregelen die bestuurders persoonlijk moeten kennen, goedkeuren en naleven. In dit artikel beantwoorden we de meest gestelde vragen over de NIS2-zorgplicht, van wie eronder valt tot hoe je begint met de implementatie.

Welke organisaties vallen onder de zorgplicht van NIS2?

De zorgplicht van de NIS2-richtlijn geldt voor organisaties die zijn aangemerkt als essentiële of belangrijke entiteit. In Nederland wordt dit geregeld via de Cyberbeveiligingswet, die naar verwachting in het tweede kwartaal van 2026 in werking treedt. Of jouw organisatie eronder valt, hangt af van de sector en de omvang.

Essentiële entiteiten zijn doorgaans grote organisaties in kritieke sectoren zoals energie, transport, drinkwater, financiële infrastructuur en gezondheidszorg. Belangrijke entiteiten omvatten een bredere groep, waaronder middelgrote organisaties in sectoren als ICT-dienstverlening, digitale diensten, voedselproductie en maakindustrie. Als vuistregel geldt: organisaties met meer dan 50 medewerkers of een jaaromzet boven de 10 miljoen euro in een aangewezen sector vallen in principe binnen de reikwijdte van de wet.

Belangrijk om te weten: ook organisaties die niet zelf onder NIS2 vallen, kunnen indirect te maken krijgen met de verplichtingen. Als jij diensten levert aan een essentiële of belangrijke entiteit, verwachten die partijen steeds vaker dat jij aantoonbaar aan vergelijkbare beveiligingseisen voldoet. Ketenbeveiliging is daarmee een van de pijlers van de richtlijn.

Welke maatregelen verplicht de NIS2-zorgplicht concreet?

De NIS2-zorgplicht verplicht organisaties tot een breed pakket aan cybersecuritymaatregelen, gericht op het beheersen van risico’s voor netwerk- en informatiesystemen. De maatregelen zijn niet vrijblijvend: organisaties moeten aantoonbaar kunnen maken dat ze zijn genomen en effectief zijn.

De richtlijn schrijft onder meer de volgende maatregelen voor:

• Risicoanalyse en informatiebeveiligingsbeleid: een actueel overzicht van risico’s en een gedocumenteerd beleid om die risico’s te beheersen
• Incidentbehandeling: procedures voor het detecteren, rapporteren en afhandelen van beveiligingsincidenten
• Bedrijfscontinuïteit: maatregelen zoals back-upbeheer, noodherstelplannen en crisismanagement
• Ketenbeveiliging: beoordeling van de beveiligingspositie van leveranciers en ketenpartners
• Beveiliging bij aankoop en ontwikkeling: security by design bij het verwerven of ontwikkelen van systemen
• Toegangsbeheer en authenticatie: strikte controle over wie toegang heeft tot welke systemen, inclusief meervoudige authenticatie
• Encryptie: versleuteling van gevoelige gegevens, zowel in opslag als tijdens overdracht
• Cyberhygiëne en bewustwording: structurele training van medewerkers en bestuurders

Voor organisaties die werken met Microsoft 365 biedt het platform veel ingebouwde mogelijkheden om aan deze eisen te voldoen. Denk aan security binnen Microsoft 365, zoals Conditional Access, Microsoft Defender en geavanceerde versleutelingsopties die direct bijdragen aan NIS2-compliance.

Wat is het verschil tussen de zorgplicht en de meldplicht onder NIS2?

De zorgplicht en de meldplicht zijn twee afzonderlijke verplichtingen binnen de NIS2-richtlijn. De zorgplicht verplicht organisaties proactief beveiligingsmaatregelen te treffen. De meldplicht verplicht organisaties reactief te handelen: bij een significant beveiligingsincident moet dit tijdig worden gemeld bij de bevoegde autoriteit.

Concreet betekent de meldplicht dat een organisatie binnen 24 uur na ontdekking van een significant incident een eerste melding doet, gevolgd door een gedetailleerder rapport binnen 72 uur. Een incident geldt als significant wanneer het aanzienlijke operationele verstoringen veroorzaakt of andere organisaties raakt.

De twee verplichtingen hangen nauw samen: wie zijn zorgplicht goed invult, heeft een incident response plan klaarliggen en kan daardoor ook sneller en beter voldoen aan de meldplicht. Organisaties die de zorgplicht verwaarlozen, lopen niet alleen risico op incidenten, maar ook op het niet kunnen voldoen aan de meldtermijnen wanneer er iets misgaat.

Wie is eindverantwoordelijk voor de NIS2-zorgplicht binnen een organisatie?

Onder de NIS2-richtlijn zijn bestuurders persoonlijk eindverantwoordelijk voor de naleving van de zorgplicht. Dit is een van de meest ingrijpende veranderingen ten opzichte van eerdere regelgeving: cybersecurity is niet langer uitsluitend een IT-aangelegenheid, maar een bestuurlijke verantwoordelijkheid die op directieniveau belegd moet zijn.

Dat betekent dat bestuurders aantoonbaar moeten beschikken over kennis van cyberrisico’s, in staat moeten zijn passende maatregelen goed te keuren en te evalueren, en het gesprek op gelijk niveau moeten kunnen voeren met de CISO of IT-afdeling. De Cyberbeveiligingswet legt dit ook vast in de opleidingsplicht: bestuurders moeten binnen twee jaar na inwerkingtreding van de wet aantoonbaar over de juiste kennis en vaardigheden beschikken, en deze kennis periodiek bijhouden.

In de praktijk betekent dit dat een directeur, COO of lid van de raad van bestuur niet kan volstaan met het delegeren van cybersecurity naar de IT-afdeling. Zij dragen persoonlijke aansprakelijkheid als blijkt dat de organisatie tekortschiet in haar zorgplicht.

Wat zijn de sancties bij niet-naleving van de NIS2-zorgplicht?

Bij niet-naleving van de NIS2-zorgplicht kunnen toezichthouders aanzienlijke sancties opleggen. Voor essentiële entiteiten kunnen boetes oplopen tot 10 miljoen euro of 2% van de wereldwijde jaaromzet, afhankelijk van welk bedrag hoger is. Voor belangrijke entiteiten geldt een maximum van 7 miljoen euro of 1,4% van de wereldwijde jaaromzet.

Naast financiële boetes kunnen toezichthouders ook andere handhavingsmaatregelen inzetten, zoals het opleggen van corrigerende maatregelen, het verplichten van audits of het tijdelijk verbieden van bestuurders om leidinggevende functies te bekleden. Dit laatste maakt de persoonlijke aansprakelijkheid van bestuurders extra concreet: aantoonbaar tekortschieten in de zorgplicht kan directe gevolgen hebben voor de positie van individuele leidinggevenden.

Het is ook goed om te beseffen dat reputatieschade bij een incident of bij openbare handhaving in veel gevallen zwaarder weegt dan de financiële sanctie zelf, zeker voor organisaties die werken met gevoelige data of in sectoren waar vertrouwen centraal staat.

Hoe begin je met de implementatie van de NIS2-zorgplicht?

De implementatie van de NIS2-zorgplicht begin je met een nulmeting: breng in kaart waar jouw organisatie nu staat op het gebied van cybersecurity, welke risico’s er zijn en welke maatregelen al zijn getroffen. Vanuit dat startpunt kun je gericht werken aan de ontbrekende onderdelen.

Een praktische aanpak in stappen:

1. Bepaal of jouw organisatie onder NIS2 valt en in welke categorie (essentieel of belangrijk)
2. Voer een risicoanalyse uit om te begrijpen welke systemen, processen en data het meest kwetsbaar zijn
3. Stel een informatiebeveiligingsbeleid op dat aansluit bij de NIS2-maatregelen
4. Werk aan technische maatregelen zoals toegangsbeheer, encryptie en monitoring
5. Ontwikkel een incident response plan zodat je bij een incident snel kunt handelen en melden
6. Train bestuurders en medewerkers op cyberbewustzijn en hun specifieke verantwoordelijkheden
7. Evalueer de keten en stel eisen aan leveranciers en ketenpartners

Vergeet niet dat NIS2-compliance geen eenmalig project is, maar een doorlopend proces. Risico’s veranderen, systemen worden uitgebreid en dreigingen evolueren. Structurele monitoring en periodieke evaluatie zijn daarom net zo belangrijk als de initiële implementatie. Voor organisaties die hun ICT-beheer en ondersteuning uitbesteden, is het verstandig te controleren of de gekozen partner ook ondersteuning biedt bij NIS2-compliance.

Hoe Puur ICT helpt met NIS2-compliance

Wij begrijpen dat de NIS2-zorgplicht voor veel organisaties een complexe opgave is, zeker wanneer er geen dedicated CISO aanwezig is en het bestuur tegelijkertijd verantwoordelijk wordt gesteld. Als Microsoft 365-specialist en gecertificeerde ICT-dienstverlener helpen wij organisaties stap voor stap naar aantoonbare naleving.

Wat wij concreet bieden:

• Nulmeting (Digicheck): inzicht in de huidige beveiligingssituatie en de grootste risico’s
• Bestuurderstraining: een tweedaagse training die bestuurders aantoonbaar voorbereidt op hun zorgplicht en aansprakelijkheid
• Technische implementatie: inrichting van beveiligingsmaatregelen binnen het Microsoft-ecosysteem, van toegangsbeheer tot encryptie en monitoring
• Incident response planning: opstellen van procedures voor detectie, melding en herstel
• Doorlopend beheer en rapportage: structurele bewaking van de beveiligingssituatie met heldere rapportages voor bestuur en toezichthouders
• Cyber awareness programma: e-learning, phishingcampagnes en periodieke herhaling voor medewerkers

Wil je weten waar jouw organisatie nu staat en wat er nodig is om te voldoen aan de NIS2-zorgplicht? Neem contact op met Puur ICT voor een vrijblijvend gesprek. Wij denken graag met je mee, in begrijpelijke taal en met een aanpak die past bij jouw organisatie.

Gerelateerde artikelen

• Wat is het verschil tussen NIS2 en ISO 27001?
• Hoe richt je een veilige gastgebruikersomgeving in voor externe partners in Microsoft Teams?
• Wat betekent NIS2 voor zorginstellingen en ziekenhuizen?
• Wat houdt de meldplicht bij een cyberincident onder NIS2 in?
• Hoe begin je met NIS2-compliance als je geen CISO hebt?