NIS2: voor wie geldt het?

Veel organisaties denken "dat zal voor ons wel niet gelden", en hebben het mis. NIS2 raakt veel meer sectoren dan de eerste Europese richtlijn uit 2016. In Nederland is NIS2 omgezet in de Cyberbeveiligingswet, die op 15 augustus 2026 in werking is getreden, zonder overgangsperiode. Met deze drie vragen weet je waar je staat.

1. Zit jouw sector erin?

NIS2 dekt onder meer deze sectoren:

• energie, transport, bankwezen en financiële markten
• gezondheidszorg
• drinkwater en afvalwater, afvalbeheer
• digitale infrastructuur, ICT-dienstverlening en digitale aanbieders, zoals online platforms en clouddiensten
• overheid, ruimtevaart en onderzoek
• post- en koeriersdiensten
• chemie, levensmiddelen en productie of maakindustrie

2. Ben je groot genoeg?

NIS2 geldt in beginsel voor middelgrote en grote organisaties. De vuistregel:

• 50 of meer medewerkers, óf
• meer dan €10 miljoen jaaromzet én balanstotaal.

3. Geldt er een uitzondering?

Sommige organisaties vallen er ongeacht hun omvang onder, omdat ze cruciaal zijn. Denk aan bepaalde aanbieders van digitale infrastructuur, of de enige aanbieder van een dienst in een regio. Twijfel je? Ga dan uit van "waarschijnlijk wel" en laat het toetsen.

Essentieel of belangrijk?

NIS2 kent twee categorieën. Essentiële entiteiten zijn de zwaarste categorie: meestal grote organisaties in bijvoorbeeld energie, drinkwater, gezondheidszorg en digitale infrastructuur. Belangrijke entiteiten vallen er ook onder, maar met iets lichter toezicht: middelgrote organisaties in die sectoren, en organisaties in bijvoorbeeld post, afvalbeheer, levensmiddelen en bepaalde productie. Beide moeten aan dezelfde zorgplicht en meldplicht voldoen; het verschil zit in de zwaarte van het toezicht en de sancties.

Val je er net buiten? Let dan op de keten

Organisaties die wél onder NIS2 vallen, moeten ook de veiligheid van hun toeleveranciers waarborgen. Grote kans dus dat je klanten eisen aan jou gaan stellen: over je beveiliging, je afspraken en hoe je incidenten afhandelt. NIS2 werkt door in de hele keten.

Val je eronder? Registreer je

Organisaties die onder NIS2 vallen, moeten zichzelf registreren bij de toezichthouder. Wachten tot je "ontdekt" wordt is geen strategie: de plicht ligt bij jou. Daarna gelden de zorgplicht (passende maatregelen), de meldplicht (binnen 24 uur een eerste melding van een significant incident) en de verantwoordelijkheid van het bestuur.

Mitchel Verweij · Medeoprichter van Leasa IT

Bestuurlijke ervaring in de zorg. Weet hoe governance, wet- en regelgeving en kwaliteit in de praktijk werken, en wat een bestuur nodig heeft om te sturen. LinkedIn