NIS2 richtlijn: de complete gids (2026)

NIS2 is niet langer iets om je op voor te bereiden. In Nederland is de richtlijn sinds 15 augustus 2026 afdwingbaar nationaal recht, toen de Cyberbeveiligingswet (Cbw) zonder overgangstermijn in werking trad. Zo’n 8.000 Nederlandse organisaties moeten zich nu registreren, hun cyberrisico's beheersen, hun bestuur trainen en ernstige incidenten melden.

De NIS2-richtlijn (ook wel NIS-2 of NIS 2.0 genoemd) verplicht organisaties in 18 sectoren om robuuste cybersecuritymaatregelen te implementeren, waaronder Security Awareness Training voor alle medewerkers.

Wat NIS2 in de praktijk vraagt, en hoe de Cyberbeveiligingswet dat vertaalt naar Nederlandse verplichtingen, blijft lastig te overzien. De wet werkt in drie lagen, het toezicht is verdeeld over sectoren en de Europese Commissie werkt alweer aan wijzigingen.

In deze gids zetten we alles op een rijtje wat je moet weten: wat NIS2 precies inhoudt, voor wie het geldt, de volledige NIS2-checklist voor 2026 en hoe je je organisatie klaar kunt maken voor een audit.

Wat is de NIS2 richtlijn?

De NIS2-richtlijn (Richtlijn (EU) 2022/2555) is het vernieuwde kader van de Europese Unie voor netwerk- en informatiebeveiliging. Deze richtlijn vervangt de oorspronkelijke NIS-richtlijn (NIS1) uit 2016, die de eerste cyberbeveiligingswetgeving van de EU was.

NIS2 is op 16 januari 2023 in werking getreden en de EU-lidstaten moesten de verordening uiterlijk op 17 oktober 2024 in nationaal recht omzetten. De meeste lidstaten, waaronder Nederland, hebben deze deadline echter niet gehaald.

De richtlijn heeft tot doel een hoog gemeenschappelijk niveau van cyberbeveiliging in de hele EU te bereiken door organisaties in kritieke sectoren te verplichten om:

• Implementeer risicogebaseerde cyberbeveiligingsmaatregelen
• Meld belangrijke incidenten binnen de gestelde termijnen aan de autoriteiten
• Zorg ervoor dat bestuursorganen goed zijn opgeleid en verantwoording afleggen
• Geef regelmatig awareness training aan alle medewerkers
• Beheer de veiligheidsrisico’s in de toeleveringsketen

Naar schatting vallen er in de hele EU zo’n 160.000 organisaties onder het toepassingsgebied van NIS2. Dat is een vertienvoudiging ten opzichte van NIS1.

NIS2 versus NIS1: wat is er veranderd?

De oorspronkelijke NIS-richtlijn was een goed uitgangspunt, maar er zaten nogal wat hiaten in. NIS2 pakt deze over de hele linie aan. Hier volgt een korte samenvatting van de belangrijkste veranderingen:

Wil je meer weten over de verschillen? Lees dan onze volledige vergelijking: Wat is het verschil tussen NIS1 en NIS2?

De NIS2-wetgeving in Europa

NIS2 is een EU-richtlijn, wat betekent dat deze niet rechtstreeks van toepassing is op organisaties. Elke lidstaat moet de richtlijn omzetten in nationale wetgeving. Dit is hoe de stand van zaken er in 2026 uitziet.

Stand van zaken bij de uitvoering in de EU

De voortgang bij de uitvoering loopt sterk uiteen. Landen als België, Kroatië en Italië behoorden tot de eersten die nationale wetgeving hebben aangenomen. Andere landen, waaronder Nederland en Duitsland, hadden daar meer tijd voor nodig.

Het EU-cyberbeveiligingspakket van januari 2026

Op 20 januari 2026 heeft de Europese Commissie een voorstel gepubliceerd om de NIS2-richtlijn aan te passen, als onderdeel van een breder pakket maatregelen op het gebied van cyberbeveiliging. De belangrijkste wijzigingen zijn:

• Vereenvoudigde bevoegdheidsregels voor organisaties die in meerdere EU-landen actief zijn
• Op certificering gebaseerde nalevingstrajecten, waarmee organisaties kunnen aantonen dat ze aan de regels voldoen via erkende certificeringen
• Verbeterde rapportage over ransomware met strengere eisen aan de gedetailleerdheid van incidentgegevens
• Uitbreiding van het toepassingsgebied naar aanbieders van Europese digitale identiteitsportefeuilles en onderzeese data-infrastructuur
• Herindeling van zo’n 22.500 entiteiten om de administratieve lasten voor kleinere organisaties te verlichten
• Een grotere rol voor ENISA bij de coördinatie van grensoverschrijdend toezicht

NIS2 in Nederland: de Cyberbeveiligingswet (Cwb)

In Nederland wordt de NIS2-richtlijn omgezet in de Cyberbeveiligingswet (Cwb). Deze wet vervangt de huidige Wbni (Wet beveiliging netwerk- en informatiesystemen).

Huidige stand van zaken (maart 2026)

• De Tweede Kamer heeft het wetsvoorstel op15 april 2026 aangenomen, de Eerste Kamer volgde op7 juli 2026
• De Cyberbeveiligingswet is op15 augustus 2026 in werking getreden, samen met de Wet weerbaarheid kritieke entiteiten (Wwke)
• Er is geen overgangsperiode: elke verplichting, registratie inbegrepen, geldt vanaf dag een
• Zo'n 8.000 organisatiesvallen onder de Cbw, en nog eens ongeveer 500 onder de Wwke
• De Cbw vervangt de Wbni, dus organisaties die onder de oude wet al meldden, worden nu aan de bredere NIS2-eisen gehouden

Drie regelgevende onderdelen

De Nederlandse implementatie bestaat uit drie lagen:

1. De Cyberbeveiligingswet, de belangrijkste wet ter uitvoering van NIS2
2. Het Cyberbeveiligingsbesluit (AMvB), een Algemeen Bestuursbesluit waarin specifieke verplichtingen zijn vastgelegd
3. Sectorspecifieke ministeriële regelgeving met op maat gemaakte eisen per sector

Valt je organisatie eronder, dan is de vraag niet langer of je iets moet doen, maar wat als eerste. Deze vijf stappen dekken de verplichtingen die direct zijn ingegaan.

1. Stel vast of je onder de wet valt. Toets je sector en omvang aan de criteria hieronder. Dat bepaal je zelf, er komt geen brief die je vertelt dat je eronder valt.
2. Registreer je organisatie. Registratie in het landelijke entiteitenregister loopt via het NCSC, op mijn.ncsc.nl. Dat is sinds 15 augustus 2026 verplicht en organisaties zijn zelf verantwoordelijk voor een tijdige registratie.
3. Laat je bestuur trainen. Bestuurders moeten cybersecuritytraining volgen en kunnen persoonlijk aansprakelijk worden gesteld. Onze NIS2 training voor bestuurders dekt precies deze verplichting.
4. Zet je proces voor het melden van incidenten op. Bepaal nu wie wat aan wie meldt, want de klok tikt snel: een vroegtijdige waarschuwing binnen 24 uur, een volledige melding binnen 72 uur en een eindrapport binnen een maand.
5. Begin met awareness-training. De zorgplicht gaat net zo goed over je mensen als over je systemen. Korte, herhaalde security awareness training met vastgelegde resultaten maakt van een eis een bewijsstuk.

Toezichthouders hebben aangegeven het eerste jaar vooral te gebruiken om de nieuwe sectoren te leren kennen, met vragenlijsten en kennismakingsgesprekken. Een zachte start van het toezicht is niet hetzelfde als een latere start van de verplichtingen, en organisaties die een systematische aanpak kunnen laten zien, komen een stuk beter uit dat eerste gesprek.

Belangrijkste Nederlandse verplichtingen

Organisaties die onder de Cyberbeveiligingswet vallen, moeten aan vier kernverplichtingen voldoen:

• Zorgplicht: zorg voor passende technische en organisatorische maatregelen om cyberbeveiligingsrisico’s te beheersen
• Registratieplicht: registreer je organisatie in het landelijke entiteitenregister via het NCSC, op mijn.ncsc.nl
• Verplichte training voor bestuurders: bestuursleden en het management moeten een training op het gebied van cyberbeveiliging volgen
• Meldplicht: meld belangrijke incidenten binnen de gestelde termijnen aan het NCSC

Toezichthoudende autoriteiten

Voor organisaties in de gezondheidszorg is het regelgevingslandschap bijzonder complex, omdat de NIS2-vereisten samengaan met bestaande, voor de gezondheidszorg specifieke regelgeving rond de bescherming van patiëntgegevens.

Voor wie geldt NIS2?

NIS2 is van toepassing op organisaties op basis van twee criteria: sector en omvang.

Essentiële entiteiten (zeer kritieke sectoren)

• Energie (elektriciteit, olie, gas, waterstof, stadsverwarming)
• Vervoer (lucht, spoor, water, weg)
• Bank- en financiële marktinfrastructuren
• Gezondheidszorg (ziekenhuizen, laboratoria, fabrikanten van medische hulpmiddelen, apotheken)
• Drinkwater en afvalwater
• Digitale infrastructuur (DNS, TLD-registers, cloudproviders, datacenters, CDN’s)
• ICT-servicemanagement (Managed Service Providers, Managed Security Service Providers)
• Overheid
• Ruimte

Belangrijke entiteiten (andere cruciale sectoren)

• Post- en koeriersdiensten
• Afvalbeheer
• Productie (medische hulpmiddelen, elektronica, machines, motorvoertuigen)
• Voedselproductie, -verwerking en -distributie
• Productie en distributie van chemicaliën
• Digitale aanbieders (online marktplaatsen, zoekmachines, sociale mediaplatforms)
• Onderzoeksinstellingen

Groottedrempels

Organisaties in deze sectoren vallen onder het toepassingsgebied als ze aan de volgende omvangcriteria voldoen:

• Middelgrote ondernemingen: 50+ werknemers of een jaaromzet van € 10 miljoen of meer
• Grote ondernemingen: 250+ werknemers of een jaaromzet van € 50 miljoen of meer

Sommige entiteiten vallen onder het toepassingsgebied, ongeacht hun omvang, zoals DNS-providers, TLD-registers en (volgens de voorgestelde wijzigingen voor 2026) aanbieders van Europese digitale identiteitsportefeuilles.

Het verschil in toezicht

Essentiële entiteiten vallen onder proactief toezicht, wat betekent dat er regelmatig audits en inspecties plaatsvinden, in combinatie met hogere boetes. Belangrijke entiteiten vallen onder reactief toezicht: er wordt pas onderzoek gedaan na incidenten of meldingen van niet-naleving, en de boetes zijn lager.

NIS2-checklist (2026)

Gebruik deze uitgebreide checklist om te controleren of je organisatie voldoet aan alle NIS2-vereisten. Dit gaat verder dan alleen awareness training en omvat het volledige spectrum van NIS2-verplichtingen om je te helpen voor te bereiden op compliance en audits.

1. Bestuur en verantwoordingsplicht van het management

• Het bestuur heeft de maatregelen voor cyberbeveiligingsrisicobeheer van de organisatie officieel goedgekeurd
• De bestuursleden en het topmanagement hebben een training op het gebied van cyberbeveiliging gevolgd
• Een aangewezen persoon of team is verantwoordelijk voor de naleving van NIS2 (bijv. CISO, compliance officer)
• Cyberbeveiliging staat altijd op de agenda van bestuurs- en managementvergaderingen
• Het management is zich bewust van zijn persoonlijke aansprakelijkheid bij niet-naleving
• Er wordt geld uitgetrokken voor cyberbeveiligingsmaatregelen en training
• De structuur voor cyberbeveiligingsbeheer is vastgelegd en bekendgemaakt

2. Risicobeheer en beveiligingsmaatregelen

Artikel 21 van de NIS2 verplicht organisaties om passende en evenredige maatregelen te nemen. Je checklist moet het volgende bevatten:

• Er is een formele risicobeoordeling uitgevoerd en deze wordt regelmatig geëvalueerd
• Het risicobeheerbeleid wordt vastgelegd, goedgekeurd en gecommuniceerd
• Er zijn technische maatregelen getroffen: firewalls, inbraakdetectie, versleuteling, toegangscontroles
• Er zijn organisatorische maatregelen getroffen: beleid, procedures, rollen en verantwoordelijkheden
• Er zijn plannen voor bedrijfscontinuïteit en noodherstel, en die worden getest
• De procedures voor back-ups en herstel worden gedocumenteerd en regelmatig getest
• Waar nodig wordt netwerksegmentatie toegepast
• Meervoudige authenticatie (MFA) wordt ingezet voor kritieke systemen en toegang op afstand
• Er is een programma voor kwetsbaarheidsbeheer opgezet (regelmatige scans, patches)
• Voor onze eigen software hanteren we veilige ontwikkelingsmethoden

3. Melding van incidenten en reactie daarop

• Er is een plan voor incidentrespons opgesteld en getest
• Er zijn criteria voor de classificatie van incidenten vastgesteld (wat een „ernstig incident“ precies inhoudt)
• Het 24-uurs vroegtijdige waarschuwingssysteem is opgezet en het personeel weet hoe het in werking moet worden gesteld
• De procedure voor het melden van incidenten binnen 72 uur is vastgelegd
• Het sjabloon en het proces voor het eindrapport na 1 maand zijn klaar
• De contactgegevens van het nationale CSIRT (bijvoorbeeld het NCSC in Nederland) zijn gemakkelijk te vinden
• De rollen voor incidentrespons zijn verdeeld en de teamleden zijn getraind
• Er worden evaluaties na incidenten uitgevoerd en de geleerde lessen worden vastgelegd
• De incidentrespons wordt minstens één keer per jaar getest via simulatieoefeningen

4. Beveiliging van de toeleveringsketen

• Er is een overzicht van cruciale leveranciers en dienstverleners
• In contracten met leveranciers zijn vereisten op het gebied van cyberbeveiliging opgenomen
• Leveranciers worden beoordeeld op hun cyberbeveiliging (due diligence)
• Risico’s als gevolg van afhankelijkheden van derden worden in kaart gebracht en beperkt
• Er is een procedure om de beveiliging van leveranciers in de loop van de tijd te controleren en te evalueren
• In leveranciersovereenkomsten zijn bepalingen opgenomen over het melden van incidenten
• De toegang van cruciale leveranciers tot je systemen wordt gemonitord en gecontroleerd

5. Security awareness training

• Alle medewerkers krijgen regelmatig trainingen over veiligheidsbewustzijn
• Het management en de bestuursleden krijgen een speciale training op het gebied van cyberbeveiliging
• Training is een doorlopend proces, niet zomaar een eenmalige gebeurtenis (maandelijks of wekelijks aanbevolen)
• De trainingsinhoud gaat over phishing, social engineering, wachtwoordbeveiliging, omgang met gegevens en het melden van incidenten
• De training behandelt sectorspecifieke bedreigingen die relevant zijn voor jouw branche
• Nieuwe medewerkers krijgen awareness training tijdens onboarding
• Aannemers en extern personeel met toegang krijgen de nodige training
• Er worden regelmatig phishing simulaties gehouden om te kijken of medewerkers erop voorbereid zijn
• De slagingspercentages van trainingen en de beoordelingsscores worden bijgehouden
• De trainingsinhoud wordt bijgewerkt op basis van de meest recente informatie over bedreigingen
• Bewijzen van het voltooien van trainingen worden bewaard voor nalevingscontroles

6. Registratie en kennisgeving

• Je organisatie heeft vastgesteld of ze in aanmerking komt als essentiële of belangrijke entiteit
• De registratie in het entiteitenregister bij het NCSC is afgerond (in Nederland verplicht sinds 15 augustus 2026)
• De contactgegevens voor het melden van incidenten (CSIRT/toezichthoudende instantie) zijn up-to-date
• De meldingsprocedures zijn vastgelegd en toegewezen aan specifieke functies
• De NIS2-toepassingsgebiedsdocumentatie van je organisatie wordt bijgehouden (welke systemen, diensten en processen vallen hieronder)

7. Beleid en documentatie inzake informatiebeveiliging

• Het beleid inzake informatiebeveiliging is vastgelegd en goedgekeurd door het management
• Er is een beleid voor verantwoord gebruik opgesteld en dit is aan alle medewerkers meegedeeld
• Het toegangsbeheerbeleid bepaalt wie toegang heeft tot welke systemen en gegevens
• De procedures voor het classificeren en verwerken van gegevens zijn vastgelegd
• Het wachtwoordbeleid voldoet aan de huidige best practices (complexiteit, MFA, geen hergebruik)
• Er zijn beleidsregels voor werken op afstand en BYOD van kracht
• Er zijn fysieke beveiligingsmaatregelen vastgelegd voor gebouwen waarin kritieke systemen zijn ondergebracht
• Cryptografische maatregelen en versleutelingsbeleidsregels zijn vastgelegd
• Alle beleidsregels worden minstens één keer per jaar herzien en bijgewerkt

8. Monitoring, controle en voortdurende verbetering

• Er is beveiligingsmonitoring geïmplementeerd (logboekbeheer, SIEM, waarschuwingssysteem)
• Er worden regelmatig beveiligingsaudits of -beoordelingen uitgevoerd (intern of extern)
• Er worden minstens één keer per jaar penetratietests uitgevoerd
• De KPI’s voor cyberbeveiliging worden vastgesteld en aan het management gerapporteerd
• Bevindingen uit audits en incidenten leiden tot gedocumenteerde corrigerende maatregelen
• Het cyberbeveiligingsprogramma wordt elk jaar geëvalueerd en verbeterd
• Bedreigingsinformatie wordt gemonitord en verwerkt in beveiligingsmaatregelen
• Voor elke auditcyclus wordt gecontroleerd of aan de NIS2-vereisten wordt voldaan

NIS2-certificering

Een veelgestelde vraag: bestaat er een officiële NIS2-certificering? Het korte antwoord is: nee, nog niet.

In tegenstelling tot ISO 27001, waarvoor een vastomlijnd certificeringsproces bestaat, is NIS2 een wettelijke verplichting die door nationale toezichthouders wordt gehandhaafd. Er is geen specifiek ‘NIS2-gecertificeerd’-keurmerk dat je kunt behalen.

Er zijn echter belangrijke ontwikkelingen.

Naleving op basis van certificering (voorgesteld voor 2026)

In het cyberbeveiligingspakket van de Europese Commissie van januari 2026 worden op certificering gebaseerde trajecten voor naleving voorgesteld. Dit betekent dat organisaties die over bepaalde erkende certificeringen beschikken, via deze certificeringen kunnen aantonen dat ze aan de NIS2-richtlijn voldoen, of in ieder geval gedeeltelijk voldoen.

ISO 27001 als basis

ISO 27001 wordt algemeen erkend als de norm die het dichtst in de buurt komt van de NIS2-eisen. Organisaties met een ISO 27001-certificering zullen merken dat aan veel NIS2-eisen al wordt voldaan. NIS2 stelt echter aanvullende eisen die verder gaan dan ISO 27001, waaronder:

• Termijnen voor het melden van specifieke incidenten (24 uur, 72 uur, 1 maand)
• Aansprakelijkheid van bestuurders en verplichte training voor bestuursleden
• Beoordelingen van de beveiliging van de toeleveringsketen
• Sectorspecifieke vereisten

NIS2-kwaliteitskeurmerken en gereedheidsbeoordelingen

Er zijn verschillende externe organisaties die NIS2-gereedheidsbeoordelingen, maturiteitsscans of kwaliteitskeurmerken aanbieden. Hoewel dit geen officiële certificeringen zijn, kunnen ze organisaties helpen hun naleving te toetsen en hun inzet aan belanghebbenden te laten zien.

NIS2 en security awareness training

Security awareness training is een van de meest expliciete vereisten binnen de NIS2 directive. Artikel 20 stelt dat bestuursorganen training moeten ondergaan en dat organisaties hun medewerkers regelmatig vergelijkbare training moeten aanbieden.

Waarom NIS2 security awareness training benadrukt

De cijfers spreken voor zich. Volgens het rapport ‘ENISA Threat Landscape 2025’:

• Phishing is verantwoordelijk voor 60% van alle toegangspunten voor inbraken
• Meer dan 80% van de social engineering-aanvallen maakt tegenwoordig gebruik van door AI gegenereerde inhoud
• 53,7% van de cyberincidenten was gericht tegen organisaties die volgens NIS2 als essentiële entiteiten zijn aangemerkt
• Alleen al de overheidssector was goed voor 38,2% van de gerichte aanvallen

De menselijke factor blijft de grootste kwetsbaarheid. Zonder getrainde medewerkers die bedreigingen kunnen herkennen en melden, kunnen zelfs de meest geavanceerde technische beveiligingsmaatregelen worden omzeild.

Wat NIS2 verwacht van je awareness training programma

• Regelmatige training, niet één keer per jaar. Er wordt verwacht dat je je voortdurend bijschoolt.
• Betrokkenheid van het management. Bestuursleden en het topmanagement moeten meewerken.
• Relevantie. De training moet ingaan op huidige en opkomende bedreigingen, waaronder aanvallen op basis van kunstmatige intelligentie.
• Bewijs. Je moet kunnen aantonen dat er training plaatsvindt en dat deze effectief is.
• Toepassingsgebied. Alle medewerkers die toegang hebben tot systemen en gegevens, inclusief ingehuurde krachten.

Hoe Guardey je helpt om te voldoen aan de NIS2-bewustmakingsvereisten

Met Guardey gaan je medewerkers wekelijks cyberbeveiligingsuitdagingen aan die niet meer dan drie minuten in beslag nemen. Onderwerpen zijn onder andere het herkennen van phishing, wachtwoordbeveiliging, omgaan met gegevens, social engineering en nog veel meer, allemaal afgestemd op de NIS2-vereisten.

De gamified aanpak zorgt voor een hoge betrokkenheid en een hoog voltooiingspercentage. En via het rapportagedashboard van Guardey kun je aan auditors aantonen dat je aan de regels voldoet, met bewijs van:

• Percentage voltooide trainingen per medewerker en afdeling
• Beoordelingsscores en kennisontwikkelingen
• Resultaten van de phishing-simulatie en verbeteringen in de loop van de tijd
• Onderwerpen die aansluiten bij de NIS2-vereisten

Veelgemaakte fouten bij NIS2-naleving

Veel organisaties onderschatten de inspanningen die nodig zijn om aan de NIS2-voorschriften te voldoen. Dit zijn de valkuilen die we het vaakst tegenkomen.

1. Het eerste jaar zien als een gewenningsperiode

2. NIS2 alleen als een IT-probleem zien

NIS2 stelt expliciet dat het management verantwoordelijk is. Dit is niet iets wat je volledig aan je IT-afdeling kunt overlaten. Bestuursleden moeten worden getraind, moeten cyberbeveiligingsmaatregelen goedkeuren en kunnen persoonlijk aansprakelijk worden gesteld.

3. Het negeren van de eisen van de toeleveringsketen

Veel organisaties richten zich op hun eigen beveiliging, maar vergeten hun leveranciers. NIS2 verplicht je om de cyberbeveiligingsrisico’s in je hele toeleveringsketen te beoordelen en te beheren.

4. Alleen jaarlijkse awareness training

Eén enkele jaarlijkse trainingssessie voldoet niet aan de eis van „regelmatige“ training. Auditors verwachten dat er voortdurend aandacht aan wordt besteed: maandelijkse korte leermomenten, regelmatige phishingsimulaties en voortdurende evaluatie.

5. Je weet niet of NIS2 op jou van toepassing is

Verrassend genoeg hebben veel organisaties nog niet eens nagegaan of ze onder het toepassingsgebied van NIS2 vallen. Ga er niet zomaar vanuit dat je erbuiten valt. Bekijk de criteria voor sector en omvang goed.

6. Geen tests voor incidentrespons

Het is niet genoeg om alleen een incidentresponsplan op papier te hebben. NIS2 verwacht dat je het ook test. Voer tabletop-oefeningen uit, simuleer incidenten en zorg ervoor dat je team de deadline van 24 uur voor vroegtijdige waarschuwing kan halen.

7. Niet voldoen aan de registratieverplichting

NIS2 versus ISO 27001 versus DORA: hoe verhouden ze zich tot elkaar?

Veel organisaties moeten aan meerdere regelgevingskaders voldoen. Hier zie je hoe NIS2 zich verhoudt tot ISO 27001 en DORA (Digital Operational Resilience Act).

Het goede nieuws is dat organisaties met een ISO 27001-certificering een flinke voorsprong hebben op NIS2-compliance. De risicomanagementaanpak, documentatievereisten en verplichtingen rondom awareness training overlappen namelijk aanzienlijk.

Veelgestelde vragen over de NIS2 richtlijn

Waar staat NIS2 voor?

NIS2 staat voor de Richtlijn inzake netwerk- en informatiebeveiliging 2. Je ziet het ook vaak geschreven als NIS-2 of NIS 2.0. Het is de tweede versie van de EU-richtlijn inzake cyberbeveiliging, die de oorspronkelijke NIS-richtlijn uit 2016 vervangt.

Wanneer treedt NIS2 in Nederland in werking?

Is Security Awareness Training verplicht onder NIS2?

Ja. Artikel 20 van de NIS2-richtlijn vereist expliciet dat het management cybersecurity training volgt en vergelijkbare training regelmatig aan werknemers aanbiedt. Dit maakt awareness training een wettelijke verplichting, geen optie.

Geldt NIS2 ook voor kleine en middelgrote ondernemingen?

Dat kan. Organisaties met 50 of meer werknemers of een jaaromzet van € 10 miljoen of meer die actief zijn in een van de 18 betrokken sectoren vallen onder de regeling. Sommige entiteiten vallen er altijd onder, ongeacht hun omvang (bijv. DNS-providers, TLD-registers).

Wat zijn de sancties bij niet-naleving van NIS2?

Essentiële entiteiten riskeren boetes tot € 10 miljoen of 2% van de wereldwijde jaaromzet. Belangrijke entiteiten riskeren boetes tot € 7 miljoen of 1,4% van de wereldwijde omzet. Bovendien kan het management persoonlijk aansprakelijk worden gesteld.

Kan ik een NIS2-certificaat halen?

Op dit moment niet. Er bestaat geen officiële NIS2-certificering. In het cyberbeveiligingspakket van de Europese Commissie voor 2026 worden echter certificeringsgebaseerde trajecten voor naleving voorgesteld. De ISO 27001-certificering voldoet aan veel NIS2-eisen en wordt door auditors gezien als een solide basis.

Waarin verschilt NIS2 van de AVG?

De AVG richt zich op de bescherming van persoonsgegevens. NIS2 richt zich breder op de beveiliging van netwerk- en informatiesystemen. Ze vullen elkaar aan: NIS2-maatregelen helpen de systemen te beschermen die persoonsgegevens verwerken, en ondersteunen zo ook de naleving van de AVG.

Wat is het verband tussen NIS2 en de Cyberbeveiligingswet?

Wat je nu moet doen nu de Cyberbeveiligingswet geldt

Met Guardey Security Awareness Training ontvangen je medewerkers wekelijkse 3-minuten micro-learnings over phishing, dataverwerking, incidentrapportage en meer. Alles afgestemd op de NIS2-vereisten, met volledige rapportage voor compliance-audits.