NIS2 en de AVG zijn twee verschillende Europese wetten met elk een eigen doel: de AVG beschermt persoonsgegevens van individuen, terwijl NIS2 de cyberweerbaarheid van organisaties en kritieke sectoren versterkt. Hoewel beide wetten raakvlakken hebben op het gebied van informatiebeveiliging, richten ze zich op andere verplichtingen, andere organisaties en andere risico’s. Hieronder beantwoorden we de meest gestelde vragen over het verschil tussen NIS2 en de AVG.
Hebben NIS2 en de AVG hetzelfde doel?
Nee, NIS2 en de AVG hebben niet hetzelfde doel, hoewel ze elkaar wel overlappen. De AVG (Algemene Verordening Gegevensbescherming) richt zich op de bescherming van persoonsgegevens van individuen en regelt hoe organisaties met die gegevens mogen omgaan. NIS2 richt zich op de cyberbeveiliging en weerbaarheid van organisaties die essentiële of belangrijke diensten leveren aan de samenleving.
De AVG is primair een privacywet: het gaat over rechten van betrokkenen, toestemming, dataminimalisatie en transparantie over gegevensverwerking. NIS2, de opvolger van de oorspronkelijke NIS-richtlijn, is een cybersecuritywet: het gaat over risicobeheer, technische maatregelen, incidentmelding en de weerbaarheid van netwerk- en informatiesystemen.
Toch zijn er duidelijke raakvlakken. Beide wetten vereisen dat organisaties passende technische en organisatorische beveiligingsmaatregelen nemen. Een goede compliance en beleid aanpak kan daarom voor beide wetten tegelijk worden ingericht. Het verschil zit in het uitgangspunt: de AVG vertrekt vanuit de rechten van de persoon wiens gegevens worden verwerkt, terwijl NIS2 vertrekt vanuit de continuïteit en beveiliging van de dienstverlening zelf.
Welke organisaties vallen onder NIS2 en welke onder de AVG?
De AVG geldt voor vrijwel elke organisatie die persoonsgegevens verwerkt van personen in de EU, ongeacht de sector of omvang. NIS2 geldt specifiek voor organisaties in aangewezen sectoren die als essentieel of belangrijk worden beschouwd, zoals energie, transport, gezondheidszorg, drinkwater, digitale infrastructuur en de overheid.
Concreet betekent dit dat een kleine webwinkel die persoonsgegevens verwerkt volledig onder de AVG valt, maar waarschijnlijk niet onder NIS2. Een gemeente daarentegen valt onder beide wetten: zij verwerkt persoonsgegevens van burgers (AVG) en levert essentiële overheidsdiensten (NIS2). Alle gemeenten, provincies, waterschappen en ministeries worden onder de Nederlandse Cyberbeveiligingswet automatisch aangemerkt als essentiële entiteiten.
Voor NIS2 geldt bovendien dat het omvangscriterium dat voor andere sectoren geldt, uitdrukkelijk niet van toepassing is op overheidsinstanties. Een kleine gemeente valt dus evengoed onder NIS2 als een groot ministerie. Bij de AVG speelt de omvang van de verwerking wel een rol, bijvoorbeeld bij de verplichting om een Functionaris voor Gegevensbescherming aan te stellen.
Wat moet je melden bij een incident: NIS2 of AVG?
Bij een cyberincident kunnen zowel NIS2 als de AVG een meldplicht activeren, maar de drempels, termijnen en ontvangers verschillen. Onder NIS2 moet een significant incident binnen 24 uur worden gemeld bij de bevoegde autoriteit, gevolgd door een aanvullende melding binnen 72 uur en een eindverslag binnen een maand. Onder de AVG geldt een meldplicht bij datalekken waarbij persoonsgegevens zijn betrokken, met een termijn van 72 uur bij de Autoriteit Persoonsgegevens.
Wanneer geldt de NIS2-meldplicht?
Een incident is meldingsplichtig onder NIS2 als het de continuïteit van de dienstverlening aanzienlijk kan verstoren. Factoren die hierbij een rol spelen zijn het aantal getroffen personen, de duur van de verstoring en de mogelijke financiële schade. De melding verloopt via het portaal van het NCSC, dat de melding automatisch doorstuurt naar zowel het eigen CSIRT als de toezichthouder.
Wanneer geldt de AVG-meldplicht?
Onder de AVG is een melding verplicht wanneer een inbreuk in verband met persoonsgegevens heeft plaatsgevonden die een risico inhoudt voor de rechten en vrijheden van betrokkenen. Denk aan een ransomware-aanval waarbij klantgegevens zijn gelekt of ontoegankelijk zijn geworden. Als het risico voor betrokkenen hoog is, moeten zij ook zelf worden geïnformeerd. Bij NIS2 bestaat die verplichting om individuen te informeren niet automatisch.
In de praktijk kan één incident beide meldplichten tegelijk activeren. Een aanval op een zorginstelling die zowel de dienstverlening verstoort als medische persoonsgegevens blootlegt, vereist zowel een NIS2-melding als een AVG-melding.
Welke sancties gelden bij overtreding van NIS2 versus de AVG?
Zowel NIS2 als de AVG kennen stevige sancties, maar de maximumbedragen en de berekeningswijze verschillen. Bij de AVG kunnen boetes oplopen tot 20 miljoen euro of 4% van de wereldwijde jaaromzet, afhankelijk van welk bedrag hoger is. Onder NIS2 kunnen essentiële entiteiten boetes krijgen tot maximaal 10 miljoen euro of 2% van de wereldwijde jaaromzet; voor belangrijke entiteiten is dat 7 miljoen euro of 1,4%.
Een belangrijk verschil is de persoonlijke aansprakelijkheid van bestuurders. NIS2 maakt cybersecurity expliciet tot een bestuursverantwoordelijkheid: senior management kan persoonlijk aansprakelijk worden gesteld bij ernstige overtredingen. Dit maakt NIS2-naleving tot een boardroomonderwerp. Bij de AVG bestaat persoonlijke aansprakelijkheid van bestuurders niet op dezelfde expliciete manier, hoewel bestuurders bij grove nalatigheid ook aansprakelijk kunnen worden gesteld op basis van bestaand recht.
Voor overheidsinstanties geldt overigens dat de NIS2-bepaling over persoonlijke aansprakelijkheid van bestuurders uitdrukkelijk niet van toepassing is. Wel zijn politieke bestuurders, zoals ministers en wethouders, verantwoordelijk voor de cyberweerbaarheid van hun organisatie en verplicht een training te volgen.
Kun je NIS2 en AVG-compliance combineren?
Ja, NIS2 en AVG-compliance zijn goed te combineren en versterken elkaar op meerdere punten. Beide wetten vereisen een risicogebaseerde aanpak van informatiebeveiliging, een incidentresponsproces en technische en organisatorische beveiligingsmaatregelen. Wie al serieus werk heeft gemaakt van AVG-compliance, heeft daarmee een goede basis gelegd voor een deel van de NIS2-verplichtingen.
Concrete overlappende maatregelen zijn onder andere toegangsbeheer, encryptie, logging, back-upbeleid en het in kaart brengen van de toeleveringsketen. Een gezamenlijk informatiebeveiligingsbeleid kan de basis vormen voor naleving van beide wetten. Toch is het oppassen voor de aanname dat AVG-compliance automatisch NIS2-compliance betekent: NIS2 gaat verder op het gebied van risicobeheer, supply chain security, bestuurstraining en incidentmelding aan toezichthouders.
Voor organisaties die onder beide wetten vallen, is een geïntegreerde aanpak de meest efficiënte route. Door beleid, procedures en technische maatregelen zo in te richten dat ze aan beide kaders voldoen, voorkom je dubbel werk en verlaag je de nalevingslast. Een grondige risicoanalyse is daarbij het logische startpunt, gevolgd door het opstellen van beleid dat de eisen van zowel NIS2 als de AVG afdekt.
Hoe Q-Cyber helpt met NIS2 en AVG-compliance
Wij begrijpen dat NIS2 en de AVG voor veel organisaties complex en overweldigend kunnen zijn, zeker als je beide wetten tegelijk wilt aanpakken. Q-Cyber helpt organisaties om dit gestructureerd en pragmatisch aan te pakken, zonder onnodige overhead of afhankelijkheid van softwareleveranciers.
Wat wij concreet voor je kunnen doen:
- Gap-analyse: We brengen in kaart waar je organisatie nu staat ten opzichte van de NIS2-verplichtingen en de AVG, en waar de grootste risico’s en lacunes zitten.
- Beleidsschrijving: We stellen informatiebeveiligingsbeleid op dat aansluit op beide wettelijke kaders, afgestemd op jouw sector en risicoprofiel.
- Bestuurstraining: We verzorgen trainingen voor bestuurders en management, zodat zij voldoen aan de NIS2-trainingsplicht en weloverwogen beslissingen kunnen nemen over cyberrisico’s.
- Virtuele CISO: Via onze Continuous-Q dienst bieden we doorlopende begeleiding door een team van specialisten, zonder dat je een fulltime CISO hoeft aan te stellen.
- Technisch testen: Met pentests en vulnerability scans toetsen we of je technische maatregelen in de praktijk ook daadwerkelijk werken.
Wil je weten waar jouw organisatie staat en hoe je NIS2 en AVG-compliance efficiënt kunt combineren? Neem contact op en we denken graag met je mee.
Gerelateerde artikelen
- Wat is applicatiebeveiliging en waarom is het belangrijk?
- Hoe gebruiken hackers trust relationships tussen organisaties?
- Hoe vergroot je de digitale weerbaarheid van je mkb?
- Welke technische maatregelen eist NIS2 van jouw bedrijf?
- Hoe word je stap voor stap NIS2-compliant?
- Wat zijn de cyberbeveiligingseisen van NIS2 in de praktijk?
- Kun je met ISO 27001 tegelijk voldoen aan NIS2?
- Wat is zero trust security?
- Hoe lang duurt een gemiddelde pentest?
- Wat moet ik testen voordat ik een nieuwe applicatie live zet?