NIS2 kennisbank: alle onderwerpen op een rij

Laatst bijgewerkt: 23 september 2026

NIS2 is de Europese richtlijn voor cyberbeveiliging die eisen stelt aan de digitale weerbaarheid van organisaties in vitale en belangrijke sectoren. In Nederland wordt NIS2 omgezet in de Cyberbeveiligingswet (Cbw). Waar de AVG gaat over de bescherming van persoonsgegevens, gaat NIS2 over de continuïteit en de beveiliging van uw netwerk- en informatiesystemen als geheel.

De kern bestaat uit drie verplichtingen: een zorgplicht (u neemt passende maatregelen op basis van een risicoanalyse), een meldplicht (u meldt significante incidenten binnen strakke termijnen) en een registratieplicht (u meldt zich aan bij de toezichthouder). Daarbovenop komt iets wat in eerdere regelgeving ontbrak: het bestuur is zelf verantwoordelijk en kan persoonlijk aansprakelijk zijn.

Deze kennisbank legt NIS2 uit in losse, korte stukken. Hieronder staan alle onderwerpen gegroepeerd, van de vraag of u er überhaupt onder valt tot de techniek en de audit.

Sleutelfeiten NIS2

Richtlijn (EU) 2022/2555, in Nederland omgezet in de Cyberbeveiligingswet
Twee categorieën: essentiële en belangrijke entiteiten, met verschillend toezicht
18 sectoren, van energie en zorg tot digitale infrastructuur en post
Drie meldtermijnen: 24 uur, 72 uur en één maand
Geen certificaat: NIS2 is wetgeving, geen norm waarvoor u zich laat certificeren
Bestuurlijke aansprakelijkheid: de leiding moet de maatregelen goedkeuren en erop toezien

Valt u onder NIS2?

De eerste vraag is bijna altijd de belangrijkste, en het antwoord hangt af van uw sector, uw omvang en soms van uw klanten.

De zorgplicht: welke maatregelen

Artikel 21 noemt tien categorieën maatregelen. Ze zijn bewust globaal geformuleerd: wat passend is, hangt af van uw risico.

De meldplicht: wat en wanneer

Bestuur, toezicht en boetes

Techniek en maatregelen in de praktijk

Aan de slag: van nul naar aantoonbaar

NIS2 naast andere kaders

NIS2 staat niet op zichzelf. Veel organisaties hebben al een ISO 27001-systeem of werken onder de AVG, en financiële instellingen vallen onder DORA in plaats van NIS2.

Veelgestelde vragen over NIS2

Moet ik me laten certificeren voor NIS2?

Nee. NIS2 is wetgeving en kent geen certificaat. U moet kunnen aantonen dat u passende maatregelen heeft getroffen en dat het bestuur daarop toeziet. Een ISO 27001-certificaat is geen verplichting, maar het levert wel een groot deel van het bewijs dat een toezichthouder wil zien. Zie helpt ISO 27001 bij NIS2.

Wat is het verschil tussen een essentiële en een belangrijke entiteit?

De verplichtingen zijn grotendeels gelijk, het toezicht niet. Bij essentiële entiteiten houdt de toezichthouder actief toezicht en kan hij uit zichzelf controleren. Bij belangrijke entiteiten gebeurt dat in beginsel pas als er aanleiding toe is, bijvoorbeeld na een incident of een melding. Ook de maximale boetes verschillen. Zie het verschil tussen beide categorieën.

Binnen hoeveel tijd moet ik een incident melden?

Er zijn drie momenten: een eerste melding binnen 24 uur na constatering, een tussentijdse melding met meer detail binnen 72 uur, en een eindrapport binnen één maand. Die eerste melding mag kort zijn; het gaat erom dat de toezichthouder op de hoogte is. Zie de meldtermijnen.

Geldt NIS2 ook voor kleine bedrijven?

In de regel geldt NIS2 vanaf 50 medewerkers of 10 miljoen euro omzet, maar er zijn uitzonderingen waarbij ook kleinere organisaties eronder vallen, bijvoorbeeld als u de enige aanbieder van een dienst bent. Daarnaast raakt NIS2 kleine bedrijven indirect, via de eisen die hun grotere klanten in contracten opnemen. Zie NIS2 en het mkb.

Wat kost het om aan NIS2 te voldoen?

Dat hangt af van wat er al staat. Heeft u al een informatiebeveiligingssysteem, dan is het vooral aanvullen en aantoonbaar maken. Begint u bij nul, dan zit het zwaartepunt in de risicoanalyse, de documentatie en de technische maatregelen. Zie wat NIS2 kost.