In Nederland vallen organisaties uit achttien kritieke sectoren onder de NIS2-richtlijn, ook wel de Cyberbeveiligingswet (Cbw) genoemd. Denk aan energie, transport, gezondheidszorg, drinkwater, digitale infrastructuur en de overheid. De richtlijn maakt daarbij onderscheid tussen essentiële en belangrijke entiteiten, waarbij de omvang en aard van de organisatie bepalen in welke categorie zij valt. In dit artikel beantwoorden we de meest gestelde vragen over NIS2-sectoren, verplichtingen en wat niet-naleving betekent voor jouw organisatie.
Hoeveel sectoren vallen er onder de NIS2-richtlijn?
De NIS2-richtlijn onderscheidt achttien sectoren die worden gezien als kritiek voor de samenleving en economie. Deze sectoren zijn verdeeld in twee groepen: elf sectoren met een hoge kritikaliteit en zeven andere kritieke sectoren. Samen vormen zij de reikwijdte van de richtlijn zoals die in Nederland is omgezet in de Cyberbeveiligingswet.
De elf sectoren met hoge kritikaliteit zijn:
- Energie (elektriciteit, olie, gas, warmte en waterstof)
- Transport (lucht, rail, water en wegvervoer)
- Bankwezen
- Infrastructuur voor de financiële markt
- Gezondheidszorg
- Drinkwater
- Afvalwater
- Digitale infrastructuur
- ICT-dienstverlening (beheer van ICT-diensten)
- Overheid
- Ruimtevaart
Daarnaast gelden zeven andere kritieke sectoren, waaronder post- en koeriersdiensten, afvalstoffenbeheer, chemische industrie, voedingsmiddelen, industrie en productie, digitale aanbieders en onderzoek. In Nederland vallen naar schatting ruim 10.000 organisaties direct onder de NIS2. Daarbovenop krijgen naar schatting 50.000 toeleveranciers van deze organisaties indirect met de richtlijn te maken wanneer er sprake is van risico’s in de keten.
Wat zijn essentiële entiteiten onder NIS2?
Essentiële entiteiten zijn organisaties die actief zijn in de elf sectoren met hoge kritikaliteit én die boven bepaalde omvangsdrempels uitkomen. Voor private organisaties betekent dit doorgaans: meer dan 250 medewerkers of een jaaromzet van meer dan 50 miljoen euro. Voor overheidsorganisaties geldt dit omvangscriterium uitdrukkelijk niet: alle gemeenten, provincies, waterschappen, ministeries en de meeste zelfstandige bestuursorganen (ZBO’s) worden automatisch als essentiële entiteit aangemerkt.
Essentiële entiteiten vallen onder het zwaarste toezichtregime. Dat betekent proactief toezicht, strengere eisen aan de meldplicht en hogere boetes bij niet-naleving. De Rijksinspectie Digitale Infrastructuur (RDI) is voor de overheid aangewezen als toezichthouder, met uitzondering van waterschappen, waarvoor de Inspectie Leefomgeving en Transport (ILT) die rol vervult.
Wat zijn belangrijke entiteiten onder NIS2?
Belangrijke entiteiten zijn organisaties die actief zijn in de zeven andere kritieke sectoren, of die in de elf hoogstkritieke sectoren actief zijn maar onder de drempel voor essentiële entiteiten blijven. Concreet gaat het om organisaties met 50 tot 250 medewerkers of een omzet tussen 10 en 50 miljoen euro.
Het verschil met essentiële entiteiten zit voornamelijk in de intensiteit van het toezicht. Belangrijke entiteiten vallen onder reactief toezicht: de toezichthouder treedt in principe pas op na een melding of incident. De inhoudelijke verplichtingen op het gebied van risicobeheer, meldplicht en bestuurlijke verantwoordelijkheid zijn grotendeels gelijk. Compliance en beleid spelen bij beide categorieën een centrale rol in het aantonen van naleving.
Hoe weet je of jouw organisatie onder NIS2 valt?
Organisaties zijn zelf verantwoordelijk voor het bepalen of zij onder de Cyberbeveiligingswet vallen. Er is geen centrale instantie die dit automatisch vaststelt. De wet hanteert een combinatie van sectorcriterium en omvangscriterium om te bepalen of een organisatie in scope is.
Praktische hulpmiddelen om dit te beoordelen zijn:
- NIS2 Zelfevaluatietool via regelhulpenvoorbedrijven.nl/NIS-2-NL/
- Flowchart Registratieplicht van het Nationaal Cyber Security Centrum (NCSC)
Voor overheidsorganisaties gelden vier wettelijke criteria om als overheidsinstantie te kwalificeren. De organisatie moet opgericht zijn om te voorzien in behoeften van algemeen belang zonder commercieel karakter, rechtspersoonlijkheid bezitten, grotendeels publiek gefinancierd zijn en de bevoegdheid hebben om besluiten in de zin van de Algemene wet bestuursrecht te nemen. Voldoet een organisatie aan alle vier criteria, dan valt zij onder de wet.
Twijfel je of jouw organisatie in scope valt? Vrijwillige registratie bij het NCSC-portaal is al mogelijk en geeft direct toegang tot informatie over actuele cyberdreigingen. Wie nu al actie onderneemt, staat straks sterker wanneer de wet volledig van kracht is.
Welke verplichtingen gelden voor organisaties binnen NIS2-sectoren?
Organisaties die onder de NIS2-richtlijn vallen, hebben drie hoofdverplichtingen: een zorgplicht, een registratieplicht en een meldplicht. Samen vormen deze verplichtingen de kern van wat de wet van organisaties vraagt op het gebied van cyberweerbaarheid.
Zorgplicht
De zorgplicht verplicht organisaties passende technische en organisatorische maatregelen te nemen om de continuïteit van dienstverlening te waarborgen. De basis is een gedegen risicobeoordeling. Minimummaatregelen die de richtlijn voorschrijft zijn onder meer:
- Beleid voor risicoanalyse en beveiliging van informatiesystemen
- Maatregelen voor bedrijfscontinuïteit en crisisbeheer
- Beveiliging van de toeleveringsketen (supply chain security)
- Beleid voor gebruik van cryptografie en encryptie
- Toegangsbeveiliging en multi-factorauthenticatie
- Beveiliging bij verwerving, ontwikkeling en onderhoud van systemen
Registratieplicht en meldplicht
Organisaties moeten zich registreren in het entiteitenregister via het NCSC-portaal. Daarnaast geldt een meldplicht voor significante cyberincidenten: een vroegtijdige waarschuwing binnen 24 uur na ontdekking, een vervolgmelding binnen 72 uur en een eindverslag uiterlijk één maand na het incident. Meldingen verlopen via het NCSC-portaal, dat ze automatisch doorstuurt naar het relevante CSIRT en de toezichthouder.
Naast deze drie verplichtingen legt de wet ook bestuurlijke verantwoordelijkheid neer bij de politieke of bestuurlijke leiding. Bestuurders zijn verplicht een training te volgen om beveiligingsrisico’s te kunnen beoordelen en weloverwogen keuzes te maken. Voor overheidsorganisaties is als bestuur in de zin van de wet de politieke leiding aangewezen, zoals ministers en wethouders.
Wat zijn de gevolgen als je als NIS2-sector niet voldoet?
Niet-naleving van de NIS2-richtlijn kan leiden tot aanzienlijke financiële sancties en reputatieschade. Essentiële entiteiten riskeren boetes tot maximaal 10 miljoen euro of 2% van de wereldwijde jaaromzet, afhankelijk van welk bedrag hoger is. Voor belangrijke entiteiten liggen de maximale boetes op 7 miljoen euro of 1,4% van de wereldwijde jaaromzet.
Naast financiële sancties kan de toezichthouder ook operationele maatregelen opleggen, zoals het tijdelijk beperken van activiteiten. Senior management kan bovendien persoonlijk aansprakelijk worden gesteld bij ernstige overtredingen, wat cybersecurity tot een directe boardroomverantwoordelijkheid maakt. Voor overheidsinstanties geldt overigens dat de specifieke aansprakelijkheidsbepaling voor bestuurders bij niet-naleving uitdrukkelijk niet van toepassing is, maar de bestuurlijke verantwoordelijkheid blijft wel volledig overeind.
De toezichthouder maakt bij overheidsorganisaties maximaal gebruik van bestaande verantwoordingsstructuren, zoals de ENSIA-methodiek voor gemeenten, om de administratieve lasten te beperken. De verwachting is bovendien dat minder intensief toezicht nodig is naarmate organisaties aantoonbaar volwassener zijn in hun informatiebeveiligingspraktijk. Wie nu investeert in een solide beveiligingsaanpak, bouwt dus niet alleen aan compliance maar ook aan minder toezichtdruk op termijn.
Hoe Q-Cyber helpt met NIS2-compliance
NIS2 is complex, maar het hoeft niet overweldigend te zijn. Wij begeleiden organisaties door het volledige NIS2-traject: van het bepalen of jouw organisatie in scope valt tot het implementeren van de juiste maatregelen en het trainen van bestuurders. Onze aanpak is pragmatisch, onafhankelijk en volledig afgestemd op jouw specifieke risicoprofiel.
Wat wij voor jouw organisatie doen:
- Gap-analyse: we brengen in kaart waar jouw organisatie staat ten opzichte van de NIS2-vereisten
- Beleidsschrijving op maat: we vertalen de wettelijke vereisten naar concrete, werkbare beleidsdocumenten
- Bestuurderstrainingen: we verzorgen trainingen zodat jouw leiding de beveiligingsrisico’s begrijpt en weloverwogen keuzes kan maken
- Technische maatregelen: via Continuous-Q bieden we virtuele CISO-diensten die cybersecurity structureel inbedden in jouw organisatie
- Onafhankelijk advies: zonder binding aan softwarepartijen of toeleveranciers adviseren we altijd in jouw belang
De Rijksoverheid adviseert organisaties om niet af te wachten totdat de wet volledig van kracht is. De risico’s zijn er immers nu al. Wil je weten waar jouw organisatie staat en welke stappen als eerste gezet moeten worden? Neem contact met ons op en we helpen je direct verder.
Gerelateerde artikelen
- Wat is end-to-end encryptie?
- Wat moet er in een acceptable use policy staan?
- Hoe beveilig je jouw cloudoplossingen voor NIS2?
- Wat eist NIS2 op het gebied van back-ups?
- Wat is een Security Operations Center (SOC)?
- Hoe voer je een risicoanalyse uit voor informatiebeveiliging?
- Hoe bereid je je voor op een pentest?
- Hoe meet je de effectiviteit van pentesten?
- Wie voert een pentest uit?
- Welke remediation stappen volgen na pentesten?