Question 1

Wie valt onder NIS2 in Nederland?

Accepted Answer

De NIS2-richtlijn is van toepassing op entiteiten die actief zijn in 18 gedefinieerde sectoren (energie, transport, gezondheid, bankwezen, digitale infrastructuur, water, voedsel, industrie, enz.) die bepaalde drempelwaarden voor omvang overschrijden. Essentiële entiteiten zijn grote ondernemingen (meer dan 250 werknemers of meer dan 50 miljoen euro omzet) in de sterk kritieke sectoren van Bijlage I. Belangrijke entiteiten omvatten middelgrote ondernemingen (meer dan 50 werknemers of meer dan 10 miljoen euro omzet) in alle betrokken sectoren. Nederland implementeert NIS2 via de Cyberbeveiligingswet, die in 2024 in werking is getreden. Het Nationaal Cyber Security Centrum (NCSC-NL), onderdeel van het ministerie van Justitie en Veiligheid, is de nationale bevoegde autoriteit voor de identificatie en toezicht op de betrokken entiteiten.

Question 2

Wanneer is NIS2 in werking getreden?

Accepted Answer

Richtlijn (EU) 2022/2555, bekend als NIS2, werd op 27 december 2022 gepubliceerd in het Publicatieblad van de Europese Unie. De lidstaten hadden tot 17 oktober 2024 om de richtlijn in nationaal recht om te zetten. Nederland heeft NIS2 geïmplementeerd via de Cyberbeveiligingswet, die op 17 oktober 2024 in werking is getreden. Organisaties die onder de reikwijdte vallen, dienen zich te registreren bij het NCSC-NL en de vereiste beveiligingsmaatregelen te implementeren. Het wordt sterk aangeraden om te beginnen met complianceactiviteiten zonder te wachten op een officiële kennisgeving van de bevoegde autoriteiten.

Question 3

Wat zijn de NIS2-sancties?

Accepted Answer

NIS2 voorziet in twee niveaus van bestuurlijke sancties afhankelijk van de categorie van de entiteit. Voor essentiële entiteiten bedraagt de maximale boete 10.000.000 € of 2% van de totale wereldwijde jaaromzet van het voorgaande boekjaar, waarbij het hoogste bedrag wordt gehanteerd. Voor belangrijke entiteiten geldt een maximum van 7.000.000 € of 1,4% van de wereldwijde jaaromzet. Naast financiële sancties kunnen bevoegde autoriteiten nalevingsbevelen uitvaardigen, certificeringen of vergunningen tijdelijk schorsen en vastgestelde overtredingen openbaar maken. Bestuurders kunnen ook persoonlijk aansprakelijk worden gesteld bij ernstige nalatigheid.

Question 4

Is NIS2 van toepassing op onderaannemers?

Accepted Answer

Ja, NIS2 heeft een uitgebreide reikwijdte over de toeleveringsketen. Betrokken entiteiten (essentieel en belangrijk) zijn verplicht ervoor te zorgen dat hun leveranciers en dienstverleners die toegang hebben tot hun informatiesystemen of kritieke gegevens verwerken, een adequaat beveiligingsniveau handhaven. In de praktijk betekent dit dat IT-onderaannemers en leveranciers van NIS2-entiteiten beveiligingseisen opgelegd krijgen via contractuele clausules, beveiligingsvragenlijsten en mogelijk audits. Zelfs als een bedrijf niet rechtstreeks onder NIS2 valt, kan het bepaalde beveiligingseisen moeten nakomen om zijn gereguleerde klanten te behouden.

Question 5

Hoe een incident melden aan het NCSC-NL?

Accepted Answer

NIS2 schrijft een meerstaps meldingsproces voor. Binnen 24 uur na het ontdekken van een significant incident moet de entiteit een vroegtijdige waarschuwing aan het NCSC-NL versturen, met vermelding of het incident lijkt voort te komen uit een kwaadwillige handeling en of het grensoverschrijdende gevolgen heeft. Binnen 72 uur moet een volledige melding volgen met een eerste beoordeling van het incident, de ernst en de waarschijnlijke gevolgen. Binnen een maand na oplossing moet een eindrapport worden ingediend met een oorzaakanalyse en genomen corrigerende maatregelen. Het NCSC-NL biedt een beveiligd meldportaal aan voor het rapporteren van cybersecurity-incidenten.

Question 6

Wat is het verschil tussen essentiële en belangrijke entiteiten?

Accepted Answer

Het onderscheid tussen essentiële entiteiten (EE) en belangrijke entiteiten (BE) berust hoofdzakelijk op twee criteria: de activiteitssector en de omvang van de organisatie. Essentiële entiteiten zijn actief in de sterk kritieke sectoren opgesomd in Bijlage I van de richtlijn (energie, transport, gezondheid, water, digitale infrastructuur, enz.) en overschrijden de drempelwaarden voor grote ondernemingen. Belangrijke entiteiten omvatten zowel middelgrote organisaties in Bijlage I-sectoren als ondernemingen in de aanvullende sectoren van Bijlage II (voedsel, chemie, industrie, enz.). Het voornaamste praktische verschil betreft het toezichtregime: EE's zijn onderworpen aan regelmatige proactieve controles, terwijl BE's onderworpen zijn aan reactief toezicht dat wordt geactiveerd door een incident of klacht.

Question 7

Vervangt NIS2 de AVG?

Accepted Answer

Nee, NIS2 vervangt de AVG niet. Beide regelgevingen zijn complementair en bestaan naast elkaar. De AVG (Algemene Verordening Gegevensbescherming) betreft de bescherming van persoonsgegevens en is van toepassing op elke organisatie die gegevens van Europese ingezetenen verwerkt, ongeacht omvang of sector. NIS2 betreft de beveiliging van netwerk- en informatiesystemen van entiteiten die actief zijn in kritieke sectoren. Beide teksten versterken elkaar: goede NIS2-cyberbeveiligingspraktijken dragen bij aan de beveiliging van persoonsgegevens die door de AVG wordt vereist. Bij een cyberincident dat resulteert in een datalek kan een bedrijf gelijktijdig onderworpen zijn aan NIS2-meldverplichtingen (aan het NCSC-NL) en AVG-meldverplichtingen (aan de Autoriteit Persoonsgegevens).

Question 8

Is mijn hostingprovider verantwoordelijk voor mijn NIS2-compliance?

Accepted Answer

Nee, uw hostingprovider kan niet verantwoordelijk worden gesteld voor uw NIS2-compliance. De verantwoordelijkheid voor naleving ligt bij de betrokken entiteit zelf, dat wil zeggen bij uw organisatie. Het is een gedeelde verantwoordelijkheid: als u cloud- of hostingdiensten gebruikt, moet u ervoor zorgen dat uw leveranciers adequate beveiligingsniveaus handhaven (dit is de verplichting inzake beveiliging van de toeleveringsketen), maar de algehele compliance blijft uw verantwoordelijkheid. Dit omvat governance, risicobeheer, incidentmelding en bedrijfscontinuïteit. In de praktijk moet u uw contractuele relaties met IT-dienstverleners zo structureren dat er beveiligingsclausules in overeenstemming met de NIS2-vereisten in zijn opgenomen.

Question 9

Is NIS2 van toepassing op micro-ondernemingen?

Accepted Answer

Als algemene regel geldt dat NIS2 niet van toepassing is op micro-ondernemingen en kleine ondernemingen (minder dan 50 werknemers en minder dan 10 miljoen euro omzet). De richtlijn was bedoeld om entiteiten te treffen waarvan het falen een significante impact op de samenleving of economie zou hebben. Er zijn echter belangrijke uitzonderingen: bepaalde typen entiteiten vallen onder NIS2 ongeacht hun omvang, waaronder exploitanten van openbare elektronische communicatienetwerken, DNS-dienstverleners, beheerders van topniveaudomeinnamenregisters (TLD) en gekwalificeerde verleners van vertrouwensdiensten. Bovendien kan zelfs een micro-onderneming indirect worden getroffen als zij onderaannemer is van een betrokken entiteit.

Question 10

Wat is de deadline voor NIS2-compliance?

Accepted Answer

De Cyberbeveiligingswet is op 17 oktober 2024 in werking getreden; verplichtingen zijn dus theoretisch van toepassing sinds die datum. Het NCSC-NL zal betrokken entiteiten progressief identificeren en registreren. Het wordt sterk aanbevolen om te beginnen met complianceactiviteiten zonder te wachten op een officiële kennisgeving, aangezien volledige compliance meerdere maanden werk vereist: assetkartografie, risicoanalyse, implementatie van technische en organisatorische maatregelen en opleiding van personeel. Organisaties die te lang wachten, lopen het risico op sancties zodra het NCSC-NL zijn toezichtsactiviteiten volledig ontplooit.

Question 11

Hoe NIS2-compliance aantonen?

Accepted Answer

NIS2 voorziet niet in één verplichte certificering, maar het bewijs van compliance berust op uitgebreide documentatie en regelmatige audits. Een conforme entiteit moet beschikken over een door het management goedgekeurd en gedocumenteerd beveiligingsbeleid, een bijgewerkte risicoanalyse, een incidentenregister, een getest bedrijfscontinuïteitsplan, bewijs van opleidingen, leverancierscontracten met beveiligingsclausules en interne of externe auditrapporten. Het NCSC-NL kan deze documenten opvragen in het kader van zijn toezichtsactiviteiten. Het gebruik van erkende kaders zoals ISO 27001 of het Nederlandse Baseline Informatiebeveiliging Overheid (BIO) kan het aantonen van compliance vergemakkelijken.

Question 12

Heeft NIS2 betrekking op verenigingen en non-profitorganisaties?

Accepted Answer

Verenigingen en non-profitorganisaties kunnen onder NIS2 vallen als zij activiteiten uitvoeren in een van de 18 gedekte sectoren en de omvangsdrempels overschrijden (50 werknemers of 10 miljoen euro budget). Bijvoorbeeld een vereniging die een waterdistributienetwerk beheert, een zorginstelling in verenigingsvorm of een wetenschappelijke onderzoeksstichting zou onder de richtlijn kunnen vallen. De rechtsvorm (vereniging, stichting, enz.) is niet het bepalende criterium: het gaat om de aard van de activiteit en de omvangsdrempels. Kleine verenigingen die buiten kritieke sectoren opereren, worden over het algemeen niet getroffen. Bij twijfel is het raadzaam het NCSC-NL of een gespecialiseerde juridisch adviseur te raadplegen.

Question 13

Wat is de NIS2-toeleveringsketen?

Accepted Answer

Beveiliging van de toeleveringsketen is een van de kernverplichtingen van NIS2. Het verplicht betrokken entiteiten om cyberbeveiligingsrisico's te beoordelen en te beheren die voortvloeien uit hun relaties met leveranciers en dienstverleners, met name degenen die toegang hebben tot hun informatiesystemen, kritieke gegevens verwerken of softwarecomponenten leveren die in hun producten zijn geïntegreerd. In de praktijk vertaalt dit zich in het in kaart brengen van kritieke leveranciers, beveiligingsvragenlijsten, contractuele clausules die minimale beveiligingsniveaus opleggen en auditrechten. Deze verplichting is een reactie op de toename van aanvallen op de toeleveringsketen (zoals SolarWinds) die de verdediging van een organisatie omzeilen door haar leveranciers aan te vallen.

Question 14

Controleert het NCSC-NL al bedrijven?

Accepted Answer

Ja, het NCSC-NL oefent al toezichtsbevoegdheden uit, geërfd van de NIS1-richtlijn, die het uitoefent op exploitanten van essentiële diensten en relevante digitale dienstverleners. Met NIS2, geïmplementeerd via de Cyberbeveiligingswet, zijn deze bevoegdheden aanzienlijk uitgebreid. Het NCSC-NL kan nu documentaire inspecties en inspecties ter plaatse uitvoeren, beveiligingsaudits door gekwalificeerde aanbieders eisen, nalevingsbevelen met deadlines uitvaardigen en bestuurlijke sancties opleggen. Voor essentiële entiteiten kunnen controles proactief worden gestart, zonder te wachten tot een incident zich voordoet. De volledige inzet van deze controlebevoegdheden zal geleidelijk plaatsvinden naarmate het NCSC-NL de betrokken entiteiten in Nederland identificeert.

Question 15

Is NIS2 van toepassing in heel Europa?

Accepted Answer

Ja, NIS2 is een Europese richtlijn die van toepassing is op alle 27 EU-lidstaten. Omdat het een richtlijn is (en geen verordening), vereist het omzetting in het nationale recht van elke lidstaat. Dit betekent dat de praktische uitvoeringsmodaliteiten (identificatie van entiteiten, meldingsprocessen, effectieve sancties) van land tot land kunnen variëren, ook al zijn de inhoudelijke vereisten geharmoniseerd. Voor internationale groepen betekent dit het volgen van de omzetting in elk betrokken land. Het toezichtsmechanisme is georganiseerd rond het principe van de hoofdvestiging: een entiteit die in meerdere lidstaten actief is, wordt voor grensoverschrijdende diensten over het algemeen onder toezicht gesteld door de autoriteit van het land waar haar hoofdvestiging zich bevindt.

Veelgestelde vragen over NIS2

Veelgestelde vragen over NIS2