Wanneer treedt NIS2 in Nederland in werking?
De Europese NIS2-richtlijn (2022/2555) is van kracht sinds 16 januari 2023, met implementatie-deadline 17 oktober 2024. Nederland was te laat en implementeerde de richtlijn via de Cyberbeveiligingswet (wetsvoorstel 36764). De Tweede Kamer nam het wetsvoorstel aan op 15 april 2026. De Cyberbeveiligingswet en het Cyberbeveiligingsbesluit zijn op 15 augustus 2026 in werking getreden (Staatsblad 2026, 189). Volgens het NCSC gelden de verplichtingen vanaf die datum voor organisaties die onder de wet vallen.
Val ik onder NIS2?
Volgens het NCSC vallen ruim 8.000 organisaties onder de Cyberbeveiligingswet, verdeeld over 18 sectoren (11 essentiëel + 7 belangrijk). Vuistregel grootte-drempel:
- Essentiële entiteit (Annex I, large): ≥250 medewerkers OF (omzet >€50M EN balans >€43M)
- Belangrijke entiteit (medium): ≥50 medewerkers OF omzet >€10M
- SME-uitsluiting: bedrijven onder de medium-drempel vallen in principe niet onder scope
- Named entities (DNS-providers, TLD-registries, vertrouwensdiensten, openbare telecom, kritieke entiteiten onder CER): vallen ongeacht grootte
Sectoren raken o.a. digitale infrastructuur, gezondheidszorg, drinkwater, vervoer, levensmiddelen, chemie, afval, post, ICT-managed-services en digitale aanbieders.
Wat zijn de 10 maatregelen van Art. 21 lid 2?
Samenvatting van artikel 21, lid 2 (de volledige tekst staat in Richtlijn (EU) 2022/2555):
- beleid inzake risicoanalyse en beveiliging van informatiesystemen
- incidentenbehandeling
- bedrijfscontinuïteit, zoals back-upbeheer en noodvoorzieningenplannen, en crisisbeheer
- beveiliging van de toeleveringsketen, met inbegrip van rechtstreekse leveranciers en dienstverleners
- beveiliging bij verwerven, ontwikkelen en onderhouden, inclusief respons op en bekendmaking van kwetsbaarheden
- beleid en procedures om effectiviteit van risicobeheer te beoordelen
- basispraktijken cyberhygiëne en opleiding cyberbeveiliging
- beleid en procedures inzake cryptografie en, in voorkomend geval, encryptie
- personeel, toegangsbeleid en beheer van activa
- multifactor-authenticatie of continue authenticatie, beveiligde spraak/video/tekst-communicatie en beveiligde noodcommunicatie
Wat zijn de boetes bij niet-naleving?
Artikel 34 NIS2 stelt maximum-boetes vast:
- Essentiële entiteiten: minimaal €10 miljoen OF 2% van de wereldwijde jaaromzet — het hoogste bedrag geldt
- Belangrijke entiteiten: minimaal €7 miljoen OF 1,4% van de wereldwijde jaaromzet — het hoogste bedrag geldt
Daarnaast: bestuursorganen kunnen persoonlijk aansprakelijk worden gesteld voor inbreuken op Art. 21 (Art. 20 lid 1). Bestuursleden moeten zelf een verplichte cyber-opleiding volgen (Art. 20 lid 2).
Wat zijn de meldplicht-termijnen bij een significant incident?
Artikel 23 lid 4 schrijft opeenvolgende fases voor naar CSIRT/bevoegde autoriteit:
- 24 uur — vroegtijdige waarschuwing (early warning)
- 72 uur — incidentmelding met initiële beoordeling (24u voor vertrouwensdiensten)
- Op verzoek CSIRT — tussentijds verslag
- 1 maand na incidentmelding — eindverslag met oorzaak en mitigatie
De termijnen tel je niet bij elkaar op: volgens het NCSC tellen de vroegtijdige waarschuwing (24 uur) en de melding (72 uur) allebei vanaf het moment dat je kennis krijgt van een significant incident. Duurt het incident langer dan een maand, dan stuur je op dat moment een voortgangsverslag en volgt het eindverslag binnen een maand nadat je het incident hebt afgehandeld.
Mag ik leveranciers scannen zonder toestemming?
De Cobytes NIS2 Quickscan kijkt uitsluitend naar publiek toegankelijke informatie (DNS-records, email-config, publieke webendpoints). Voor passieve scans op eigen domeinen of domeinen waarvoor jij verantwoordelijke bent is geen aparte toestemming nodig. Voor diepere scans (Full Report) regelen we dit altijd in afstemming.
Vervangt deze scan een formele audit?
Nee. De NIS2 Quickscan is een technische readiness-indicator. Voor volledige conformiteit zijn ook organisatorische maatregelen nodig (beleid, training, governance, incident-procedures, bestuurders-opleiding ex Art. 20.2). Wij leveren het technische bewijslast-deel dat onderdeel is van elke serieuze NIS2-toets.
Hoeveel kost een Full Report?
Het NIS2 Full Report is €495 eenmalig (excl. btw) en wordt binnen 5 werkdagen opgeleverd. Continuous Monitoring (maandelijkse herscans + alerts) start vanaf €149 per maand (excl. btw). Voor managed hosting-klanten zijn er kortingstarieven.
