Wat Betekent NIS2 Voor Gemeenten En Overheidsorganisaties?

Een gemeente die haar burgerzaken niet kan draaien, levert geen paspoorten, geen uittreksels en geen uitkeringen. Voor inwoners is er geen alternatief: zij kunnen niet naar de gemeente ernaast. Dat maakt digitale weerbaarheid bij de overheid een publiek belang, en precies daarom is NIS2 voor gemeenten en overheidsorganisaties relevant.

Sinds 15 augustus 2026 geldt de Cyberbeveiligingswet, de Nederlandse omzetting van de NIS2-richtlijn. Overheid staat daarin genoemd als sector. Voor bestuurders en CISO’s bij gemeenten, provincies, waterschappen en uitvoeringsorganisaties komt daar een lastige vraag bij: hoe verhoudt deze wet zich tot de normenkaders waarmee de overheid al jaren werkt?

Wat betekent NIS2 voor gemeenten en overheidsorganisaties?

De kern is dat digitale weerbaarheid van een interne afspraak verandert in een wettelijke verplichting met toezicht erachter. Overheid is opgenomen in de lijst van zeer kritieke sectoren, samen met onder meer energie, vervoer, drinkwater, gezondheidszorg en digitale infrastructuur.

Dat betekent niet dat elke overheidsorganisatie automatisch onder alle verplichtingen valt. Naast de sector telt de omvang mee: vanaf 50 medewerkers, of een jaaromzet en balanstotaal boven 10 miljoen euro. Voor de meeste gemeenten en uitvoeringsorganisaties is die drempel geen belemmering. Controleer wel per organisatieonderdeel en per verbonden partij hoe dit uitpakt, en gebruik daarbij het overzicht van sectoren die onder NIS2 vallen.

Waarom is de overheid als sector aangewezen?

Omdat uitval van overheidsdienstverlening de samenleving direct raakt en er geen marktalternatief is. Een inwoner die zijn identiteitsbewijs nodig heeft, een ondernemer die een vergunning aanvraagt en een gezin dat afhankelijk is van een uitkering: zij kunnen niet uitwijken naar een andere aanbieder.

Daar komt bij dat overheden knooppunten zijn in ketens. Gemeenten wisselen gegevens uit met de Belastingdienst, het UWV, de SVB, zorgaanbieders en regionale samenwerkingsverbanden. Een verstoring bij één partij verspreidt zich snel door die keten. NIS2 kijkt daarom uitdrukkelijk naar ketenafhankelijkheden en niet alleen naar de eigen muren.

Welke verplichtingen gelden concreet?

De Cyberbeveiligingswet kent drie verplichtingen die elkaar aanvullen. Ze gelden ongeacht hoe volwassen uw informatiebeveiliging al is.

Onthoud daarbij dat NIS2 geen certificering is. Er bestaat geen NIS2-certificaat waarmee u naleving afvinkt. U toont naleving aan met beleid, risicoanalyses, besluiten en bewijs dat maatregelen werken. Meer over de rol van de Rijksinspectie Digitale Infrastructuur als toezichthouder leest u in het aparte artikel daarover.

Hoe verhoudt NIS2 zich tot de normenkaders die u al hanteert?

NIS2 is een aanvulling, geen vervanging. Overheidsorganisaties werken al met een baseline voor informatiebeveiliging die is gebaseerd op de internationale ISO-normen, en veel gemeenten leggen daarnaast periodiek verantwoording af over specifieke voorzieningen. Die basis kunt u grotendeels hergebruiken.

Het verschil zit in drie punten. NIS2 voegt een wettelijke meldplicht toe met harde termijnen, legt de verantwoordelijkheid expliciet bij het bestuur, en brengt een toezichthouder in beeld die kan handhaven met boetes. Wie een managementsysteem heeft ingericht, herkent de systematiek meteen: het gebruik van ISO 27001 als basis voor NIS2 scheelt aanzienlijk werk, ook bij de overheid.

Waar begint u als gemeente?

Begin met vaststellen wat er al ligt in plaats van opnieuw te beginnen. In de praktijk is een groot deel van de vereiste onderwerpen bij overheidsorganisaties al ergens belegd, alleen niet altijd vindbaar, actueel of aantoonbaar. Een gestructureerde nulmeting maakt dat zichtbaar.

• Scope vaststellen. Welke organisatieonderdelen, verbonden partijen en gemeenschappelijke regelingen vallen onder de wet?
• Bestaand materiaal ophalen. Beleid, risicoanalyses, continuïteitsplannen en auditrapportages die er al zijn.
• Gaten benoemen. Leg per maatregelgebied vast wat ontbreekt, verouderd is of niet aantoonbaar is.
• Verantwoordelijkheden beleggen. Per maatregel één eigenaar, bij de proceseigenaar en niet standaard bij ICT.
• Bestuur betrekken. Plan besluitvorming en scholing in de agenda van college of directie.

Een gap-analyse tegen de tien maatregelgebieden is hiervoor het meest praktische startpunt, omdat u dan meteen weet welke stappen wel en niet nodig zijn.

Wat vraagt NIS2 van uw leveranciers en ketenpartners?

Overheden besteden veel uit: hosting, applicatiebeheer, zaaksystemen, koppelvlakken en soms hele processen. Beveiliging van de toeleveringsketen is een van de tien maatregelgebieden, en de verantwoordelijkheid voor die risico’s blijft bij uw organisatie liggen.

Breng daarom in kaart welke leveranciers kritiek zijn voor uw dienstverlening aan inwoners, welke eisen u stelt en hoe u naleving toetst. Neem die eisen op bij aanbestedingen en contractverlengingen, want dat zijn de natuurlijke momenten om iets te veranderen. Werk dit uit in een leveranciersbeleid met concrete beveiligingseisen.

Hoe regelt u de registratie en de meldketen?

De registratieplicht is administratief eenvoudig maar wordt vaak vergeten. U meldt uw organisatie aan met de gevraagde gegevens en houdt die actueel, ook wanneer contactpersonen wisselen. Zie het artikel over de registratieplicht onder NIS2 voor de details.

De meldketen vraagt meer aandacht. Een significant incident meldt u binnen 24 uur als vroege waarschuwing, binnen 72 uur volgt de volledige incidentmelding en binnen een maand het eindrapport. Meldingen gaan naar het CSIRT en de bevoegde toezichthouder. Regel vooraf wie in het weekend mag besluiten dat er gemeld wordt, en oefen dat pad minimaal één keer per jaar.

Veelgestelde vragen over NIS2 voor gemeenten en overheid

1. Vallen alle gemeenten onder NIS2?

Overheid is aangewezen als sector in de Cyberbeveiligingswet, maar naast de sector telt ook de omvang mee. Organisaties vanaf 50 medewerkers, of met een jaaromzet en balanstotaal boven 10 miljoen euro, komen in beeld. De meeste gemeenten voldoen daaraan. Beoordeel verbonden partijen en gemeenschappelijke regelingen apart, want die kunnen zelfstandig onder de wet vallen.

2. Vervangt NIS2 de bestaande baseline voor informatiebeveiliging?

Nee. NIS2 is een wettelijke verplichting die naast bestaande normenkaders staat. De maatregelen die u al hebt getroffen blijven bruikbaar als bewijs. Wat NIS2 toevoegt zijn wettelijke meldtermijnen, een registratieplicht, expliciete bestuurlijke verantwoordelijkheid en toezicht met sanctiemogelijkheden.

3. Wie houdt toezicht op NIS2 bij overheidsorganisaties?

De Rijksinspectie Digitale Infrastructuur is de algemene toezichthouder onder de Cyberbeveiligingswet. Voor bepaalde sectoren zijn aparte toezichthouders aangewezen, zoals de ACM voor energie en telecom en de IGJ voor de zorg. Incidentmeldingen gaan naar het CSIRT en de bevoegde toezichthouder, waarbij het NCSC een centrale rol vervult.

4. Moet het college van B en W zich met NIS2 bemoeien?

Ja. Artikel 20 legt vast dat het bestuur de maatregelen goedkeurt, toezicht houdt op de uitvoering en aantoonbaar scholing volgt over cyberrisico’s. Dat kan niet volledig worden gedelegeerd aan de CISO of de ICT-afdeling. Leg besluitvorming en gevolgde scholing schriftelijk vast, zodat u het kunt aantonen.

5. Kan een gemeente een boete krijgen onder NIS2?

De wet kent bestuursrechtelijke sancties, met maxima van 10 miljoen euro of 2 procent van de wereldwijde jaaromzet voor essentiële entiteiten en 7 miljoen euro of 1,4 procent voor belangrijke entiteiten. Belangrijker dan het bedrag is dat toezicht leidt tot aanwijzingen en verplichte verbetermaatregelen die tijd en capaciteit kosten.

Conclusie

Voor gemeenten en overheidsorganisaties is NIS2 geen breuk met het verleden, maar een verzwaring van wat er al lag. De onderwerpen zijn herkenbaar, de systematiek sluit aan bij bestaande normenkaders, en veel bewijsmateriaal is al aanwezig. Wat verandert, is de wettelijke status: harde meldtermijnen, een geregistreerde organisatie en een bestuur dat aantoonbaar aan het stuur zit.

Behandel NIS2 daarom als aanvulling en niet als nieuw project. Begin met een nulmeting, hergebruik wat er is en vul alleen aan wat ontbreekt. Het NIS2 compliance pakket geeft die volgorde, de 176 NIS2 document templates leveren de beleidsstukken en registraties die u nodig heeft, en voor organisaties die al met een managementsysteem werken sluit het ISO 27001 pakket daar direct op aan.