Wat is NIS2?

Voor wie geldt NIS2?

De Cyberbeveiligingswet geldt voor organisaties in sectoren die belangrijk zijn voor de samenleving en economie, zoals energie, vervoer, zorg, drinkwater, digitale infrastructuur, overheid, afvalbeheer, voedsel, productie van onder meer machines en elektronica, en digitale diensten. Afhankelijk van sector en omvang is een organisatie een essentiële of een belangrijke entiteit. In de meeste sectoren vallen kleine bedrijven erbuiten, maar voor sommige soorten organisaties, zoals overheden en aanbieders van DNS-diensten, geldt de wet ongeacht hun omvang. Veel organisaties vallen er van rechtswege onder en moeten dat zelf nagaan.

Welke plichten horen erbij?

• Registratieplicht: sinds 15 augustus 2026 registreren organisaties zich via MijnNCSC.
• Zorgplicht: risico's in kaart brengen en passende technische en organisatorische maatregelen nemen, zoals toegangsbeheer, tweestapsverificatie, back-ups, beveiliging van de toeleveringsketen en een plan voor incidenten.
• Meldplicht: een ernstig incident meld je binnen 24 uur met een vroege waarschuwing, binnen 72 uur met een incidentmelding en binnen een maand met een eindrapport.
• Bestuurders keuren de maatregelen goed, zien toe op de uitvoering en moeten een opleiding hebben gevolgd.

Essentiële entiteiten krijgen actief toezicht, belangrijke entiteiten pas bij aanwijzingen dat iets niet in orde is.

Wat als je er niet onder valt?

Ook dan merk je NIS2: organisaties die eronder vallen, moeten hun leveranciers beoordelen en stellen eisen aan de beveiliging van software en diensten. Een certificaat als ISO 27001 of, in de zorg, NEN 7510 helpt om dat aan te tonen.