Wat is NIS2? De EU-richtlijn voor cyberbeveiliging in eenvoudige woorden

Een EU-richtlijn

NIS2 staat voor de tweede richtlijn over de beveiliging van netwerk- en informatiesystemen. Zij werd op 27 december 2022 gepubliceerd in het Publicatieblad van de EU en trad op 16 januari 2023 in werking.

Haar doel is een hoog gezamenlijk niveau van cyberbeveiliging in de hele EU. Zij vervangt de eerste NIS-richtlijn (EU) 2016/1148, die op 18 oktober 2024 werd ingetrokken.

Een richtlijn geldt niet rechtstreeks voor bedrijven. Elk EU-land zet haar om in eigen recht. De termijn daarvoor was 17 oktober 2024. Plichten voor uw bedrijf ontstaan pas met die nationale wet.

Art. 1, 41, 44 en 45 NIS 2

Wie eronder valt

Een bedrijf valt eronder als het werkt in een van de 18 sectoren uit bijlagen I en II en minstens middelgroot is: vanaf 50 medewerkers, of met een jaaromzet en een balanstotaal van elk meer dan 10 miljoen EUR.

Sommige aanbieders vallen eronder ongeacht hun omvang, zoals aanbieders van telecommunicatie, vertrouwensdiensten, topleveldomeinen en DNS. De lidstaten kunnen verdere entiteiten aanwijzen.

Art. 2 en 3 NIS 2 · Aanbeveling 2003/361/EG

Essentiële en belangrijke entiteiten

De richtlijn deelt bedrijven die eronder vallen in twee groepen in. De omvang wordt geteld volgens Aanbeveling 2003/361/EG; verbonden en partnerondernemingen kunnen meetellen.

De plichten zijn voor beide groepen gelijk. Het toezicht verschilt: de instantie kan essentiële entiteiten zonder specifieke aanleiding controleren, belangrijke entiteiten achteraf als er aanwijzingen zijn voor een schending (art. 32 en 33 NIS 2).

Wat bij schendingen geldt

De richtlijn verplicht elk land om te voorzien in boetes met een maximum van minstens 10 miljoen EUR of 2 procent van de wereldwijde omzet (essentiële entiteiten), en 7 miljoen EUR of 1,4 procent voor belangrijke entiteiten, afhankelijk van welk bedrag hoger is.

De Duitse wet legt de bovengrenzen vast op 10 en 7 miljoen EUR. Een percentage van de omzet speelt daar pas mee boven 500 miljoen EUR omzet (§ 65 BSIG).

Bij essentiële entiteiten kan een persoon in de directie als laatste middel tijdelijk worden verboden leidinggevende taken uit te oefenen. Voor belangrijke entiteiten voorziet de richtlijn hier niet in.

Bij onze laatste controle in augustus 2026 had het BSI nog geen boete volgens de nieuwe BSIG gepubliceerd.

Art. 32(5) en art. 34 NIS 2 · § 65 BSIG

Wat er veranderde ten opzichte van NIS 1

Onder de eerste NIS-richtlijn besloten de lidstaten grotendeels zelf welke exploitanten eronder vielen. Onder NIS2 beslissen sector en omvang, en gaan bedrijven zelf na of zij eronder vallen.

Nieuw zijn onder meer extra sectoren, vaste meldtermijnen in drie fasen, de plichten van de directie en een minimumlijst van tien gebieden waartoe de toeleveringsketen behoort.

Art. 2, 20, 21, 23 en 44 NIS 2

In Duitsland en de andere EU-landen

In Duitsland geldt NIS2 via de NIS2UmsuCG, die de BSI-wet heeft herschreven. Zij trad op 6 december 2025 in werking. De bevoegde instantie is het BSI. Daar heet de essentiële entiteit “besonders wichtige Einrichtung” (bijzonder belangrijke entiteit).

In de andere EU-landen geldt de nationale wet, in Nederland bijvoorbeeld de Cyberbeveiligingswet. Bevoegd is het land waar uw bedrijf gevestigd is.

Art. 26 NIS 2 · BGBl. 2025 I nr. 301

Wat dit betekent bij 50 tot 150 medewerkers

In een van de 18 sectoren is zo'n bedrijf meestal een belangrijke entiteit. Bij deze omvang is het alleen bij uitzondering essentieel: in een sector uit bijlage I met meer dan 50 miljoen EUR omzet en meer dan 43 miljoen EUR balanstotaal, als aanbieder van telecommunicatie, of als het land het als zodanig aanwijst.

Het heeft dezelfde vier plichten als een groot bedrijf. Maar de maatregelen hoeven maar zo grondig te zijn als risico, omvang en kosten vragen.

De instantie controleert een belangrijke entiteit alleen als er aanwijzingen zijn voor een schending.

Art. 3, 21(1) en 33 NIS 2