NIS2

De NIS2-richtlijn stelt strengere eisen aan digitale weerbaarheid, risicobeheersing en cybersecurity. In Nederland wordt NIS2 ingevoerd via de Cyberbeveiligingswet.

NIS2: van cybersecurityrichtlijn naar aantoonbare digitale weerbaarheid

De NIS2-richtlijn is de Europese richtlijn voor netwerk- en informatiebeveiliging. De richtlijn is bedoeld om de cyberbeveiliging en digitale weerbaarheid van essentiële en belangrijke organisaties in Europa te versterken. In Nederland wordt NIS2 omgezet in nationale wetgeving via de Cyberbeveiligingswet. Wanneer deze wet in werking treedt, vervangt zij de huidige Wet beveiliging netwerk- en informatiesystemen, de Wbni.

NIS2 vraagt organisaties om risico’s rond netwerk- en informatiesystemen structureel te beheersen. Het gaat dus niet alleen om techniek, maar ook om bestuur, eigenaarschap, risicomanagement, leveranciers, incidentmelding, registratie en aantoonbaarheid.

Voor Cilde is NIS2 daarom geen losstaand securityvraagstuk. De richtlijn raakt direct aan het digitale landschap van organisaties: websites, webapps, applicaties, domeinen, portalen, leveranciers, cloudoplossingen en beheerprocessen.

Actuele status van NIS2 in Nederland

De NIS2-richtlijn is al op 16 januari 2023 in werking getreden op Europees niveau, maar werkt niet rechtstreeks voor individuele organisaties in Nederland. Daarvoor is omzetting naar nationale wetgeving nodig. Nederland doet dat met de Cyberbeveiligingswet.

De Tweede Kamer heeft het wetsvoorstel voor de Cyberbeveiligingswet op 15 april 2026 aangenomen. Daarna is het voorstel doorgestuurd naar de Eerste Kamer. Volgens de Eerste Kamer stond de plenaire behandeling gezamenlijk met de Wet weerbaarheid kritieke entiteiten gepland voor 6 of 7 juli 2026.

De planning is dus nog afhankelijk van de afronding van de parlementaire behandeling en publicatie. De Rijksoverheid gaf eerder aan te streven naar inwerkingtreding in het tweede kwartaal van 2026, afhankelijk van de voortgang in de Kamers. Het NCSC spreekt inmiddels over een verwachte inwerkingtreding rond 15 augustus 2026.

Voor organisaties is de boodschap duidelijk: wacht niet tot de wet formeel in werking is getreden. De Rijksoverheid adviseert organisaties om nu al te starten, omdat de digitale risico’s waarvoor NIS2 bedoeld is vandaag al bestaan.

Voor wie geldt NIS2?

NIS2 geldt voor organisaties in sectoren die als essentieel of belangrijk worden gezien voor de samenleving en economie. Denk aan sectoren zoals energie, transport, zorg, digitale infrastructuur, overheid en andere vitale of belangrijke diensten.

Voor de overheid is relevant dat de sector overheid expliciet onder de Cyberbeveiligingswet valt. Ministeries, inclusief diensten en agentschappen, provincies, gemeenten en waterschappen vallen onder de wet. Voor zelfstandige bestuursorganen en gemeenschappelijke regelingen moet per geval worden bepaald of zij onder de criteria vallen.

Voor organisaties buiten de overheid hangt de reikwijdte af van onder meer sector, omvang en activiteiten. Organisaties zijn zelf verantwoordelijk om te bepalen of zij onder de Cyberbeveiligingswet vallen.

Wat verplicht NIS2?

De Cyberbeveiligingswet werkt NIS2 in Nederland uit. De wet kent drie kernverplichtingen: zorgplicht, meldplicht en registratieplicht. Het NCSC benoemt deze drie verplichtingen als basis: organisaties moeten zich registreren, incidenten melden en passende maatregelen nemen op basis van risicoanalyse

Zorgplicht

Organisaties moeten risico’s voor hun netwerk- en informatiesystemen analyseren en passende, evenredige maatregelen nemen. Het gaat daarbij om risicogestuurde beveiliging: welke systemen zijn kritisch, welke risico’s zijn relevant en welke maatregelen zijn nodig om die risico’s te beheersen?

Meldplicht

Significante cyberincidenten moeten worden gemeld bij het Computer Security Incident Response Team en de toezichthouder. Om dubbele meldingen te voorkomen, verloopt dit via het NCSC-portaal, dat de melding doorstuurt naar de juiste partijen.

Registratieplicht 

Organisaties die onder de Cyberbeveiligingswet vallen, moeten gegevens aanleveren voor het entiteitenregister. In Nederland vindt registratie plaats bij het NCSC via mijn.ncsc.nl.

 

Bestuurlijke verantwoordelijkheid en training

NIS2 legt verantwoordelijkheid voor digitale weerbaarheid nadrukkelijk bij het bestuur. Bestuurders moeten voldoende kennis hebben om risico’s en maatregelen te kunnen beoordelen. De Cyberbeveiligingswet verplicht bestuurders bovendien om een training te volgen; vanaf inwerkingtreding hebben zij maximaal twee jaar om aan deze verplichting te voldoen.

 

NIS2 en BIO2

Voor overheidsorganisaties is de relatie tussen NIS2 en BIO2 belangrijk. De Cyberbeveiligingswet wordt verder uitgewerkt in het Cyberbeveiligingsbesluit en in ministeriële regelingen per sector. Voor de sector overheid wordt de BIO2 gebruikt als nadere invulling van de zorgplicht.

Dat betekent dat NIS2 voor overheidsorganisaties niet losstaat van bestaande informatiebeveiligingskaders. BIO2 wordt juist belangrijker als praktisch kader om invulling te geven aan risicomanagement, maatregelen, aantoonbaarheid en verantwoording.

Voor Cilde betekent dit dat NIS2, BIO2 en ITGC in samenhang moeten worden bekeken. Veel vragen komen terug in meerdere kaders:

  • Welke digitale voorzieningen zijn kritisch?
  • Wie is eigenaar?
  • Welke risico’s zijn bekend?
  • Welke maatregelen zijn ingericht?
  • Welke leveranciers zijn betrokken?
  • Waar staat het bewijs?
  • Hoe wordt werking aangetoond?
  • Welke incidenten moeten worden gemeld?

Wat betekent NIS2 voor digitale portfolio’s?

NIS2 gaat over netwerk- en informatiesystemen. In de praktijk betekent dit dat organisaties zicht moeten hebben op hun digitale voorzieningen: websites, applicaties, webapps, portalen, domeinen, koppelingen, SaaS-diensten, leveranciers en infrastructuur.

Zonder centraal overzicht is het lastig om de zorgplicht goed in te vullen. Je kunt immers moeilijk risico’s beheersen van systemen die niet volledig in beeld zijn.

Daarom begint een praktische NIS2-aanpak met vragen als:

  • Welke digitale voorzieningen hebben we?
  • Welke daarvan zijn kritisch voor dienstverlening of bedrijfsvoering?
  • Wie is eigenaar van beheer, inhoud en techniek
  • Welke leveranciers en hostingpartijen zijn betrokken?
  • Welke systemen verwerken gevoelige gegevens?
  • Welke voorzieningen zijn afhankelijk van externe scripts, tools of koppelingen?
  • Welke maatregelen zijn al ingericht?
  • Waar ontbreken bewijsstukken, controles of afspraken?

NIS2 vraagt daarmee om meer dan beleid. Het vraagt om actueel inzicht in het digitale landschap en om aantoonbare sturing op risico’s.

Hoe Cilde helpt bij NIS2

Cilde helpt organisaties om NIS2 praktisch toepasbaar te maken. Niet door de richtlijn als losse checklist te behandelen, maar door NIS2 te verbinden aan digitale governance, assetregistratie, normenkaders, leveranciersmanagement en lifecyclemanagement.

Met KEA ontstaat één centraal beeld van websites, webapps, applicaties, domeinen, leveranciers en risico’s. Per digitale voorziening wordt vastgelegd wat het is, wie verantwoordelijk is, welke techniek wordt gebruikt, welke normenkaders van toepassing zijn en welke acties of bewijsstukken nodig zijn.

De modules van KEA versterken elkaar daarbij:

Centraal register
Brengt digitale voorzieningen, eigenaarschap, leveranciers, techniek, lifecyclefase en normenkaders samen.

Uitvraag assistent
Haalt ontbrekende informatie op bij teams, eigenaren, leveranciers en beheerders.

Worker module
Controleert technische signalen zoals SSL/TLS, scripts, uptime, Internet.nl-resultaten, webarchivering en toegankelijkheidsverklaringen.

Compliancy module
Koppelt NIS2 aan andere normenkaders zoals BIO2, ITGC, DigiD, Archiefwet en verplichte webrichtlijnen.

LCM module
Maakt zichtbaar in welke lifecyclefase een voorziening zit en waar afspraken met leveranciers afwijken van de werkelijkheid.

Zo wordt NIS2 onderdeel van een doorlopende werkwijze voor grip, verbetering en verantwoording.