NIS2-tracker: waar elk EU-land staat met de omzetting
Stand 16 oktober 2026: in 24 van de 27 EU-landen is een nationale NIS2-wet van kracht. Nog zonder wet van kracht: Frankrijk, Ierland en Spanje. De EU-termijn voor de omzetting was 17 oktober 2024. De tabel toont per land de wet, de instantie, het CSIRT en de stand.
De stand in elk EU-land
Per land de nationale wet, de leidende instantie, het nationale CSIRT en de stand. Heeft een land een eigen pagina, dan linkt de naam ernaar.
| Land | Nationale wet | Bevoegde instantie | Nationaal CSIRT | Stand |
|---|---|---|---|---|
BEBelgië | NIS2 Law (Loi NIS2) One of the first Member States to transpose. Entered into force 18 October 2024. | CCB (Centre for Cybersecurity Belgium) | CERT.be (under CCB) | Van kracht |
Cybersecurity Act (amended) | Ministry of Innovation and Digital Transformation (formerly Ministry of e-Government) / State e-Government Agency | CERT Bulgaria | Van kracht | |
CYCyprus | Law on Security of Networks and Information Systems (Amendment) 2025 | DSA (Digital Security Authority) | CSIRT-CY | Van kracht |
LOV nr 434 af 06/05/2025 (NIS 2-loven) Denmark uses a sectoral supervision model. CFCS, which runs the national CSIRT, has been part of SAMSIK since 29 January 2025. | SAMSIK (Styrelsen for Samfundssikkerhed) | CFCS (Centre for Cyber Security) | Van kracht | |
DEDuitsland | NIS2UmsuCG / BSIG Germany missed the 17 October 2024 EU deadline. Commission opened infringement proceedings May 2025. | BSI (Bundesamt für Sicherheit in der Informationstechnik) | CERT-Bund (BSI) | Van kracht |
EEEstland | Küberturvalisuse seadus Estonia transposed quickly via amendment to its existing 2018 Cybersecurity Act. | RIA (Riigi Infosüsteemi Amet) | CERT-EE (within RIA) | Van kracht |
FIFinland | Kyberturvallisuuslaki (124/2025) Transposition act Kyberturvallisuuslaki (124/2025) in force since 8 April 2025. | Traficom + sector authorities (NCSC-FI as national CSIRT) | NCSC-FI (Kyberturvallisuuskeskus, within Traficom) | Van kracht |
Loi Résilience (bundles NIS2 + DORA + CER) Layered on top of existing OIV / OSE regime under the Code de la défense. Registration via MonEspaceNIS2. The Assemblée nationale withdrew the transposition bill from its 7 and 9 October 2026 floor sessions; no new date is set (next Conférence des présidents on 20 October 2026). | ANSSI (Agence nationale de la sécurité des systèmes d'information) | CERT-FR (ANSSI) | Aangenomen of in het wetgevingsproces | |
Law No. 5160/2024 | NCSA (National Cyber Security Authority) | GR-CERT (within NCA) | Van kracht | |
Act LXIX of 2024 (Hungarian Cybersecurity Act) Hungary transposed early via Act XXIII of 2023. Layered with SZTFH as cybersecurity supervisor. | SZTFH (Szabályozott Tevékenységek Felügyeleti Hatósága) | National Cyber Defence Institute (NBSZ) | Van kracht | |
IEIerland | National Cyber Security Bill (draft) Bill in legislative process at the Houses of the Oireachtas; referred to the CJEU on 8 July 2026. | NCSC (National Cyber Security Centre) | NCSC-IE | In voorbereiding |
ITItalië | D.Lgs. 138/2024 Entered into force 16 October 2024. One of the few Member States that met the EU deadline. | ACN (Agenzia per la Cybersicurezza Nazionale) | CSIRT Italia (within ACN) | Van kracht |
HRKroatië | Zakon o kibernetičkoj sigurnosti Adopted in 2024. Sectoral supervision model. | NHCSC-HR (National Cybersecurity Center) | CERT.hr (CARNet) | Van kracht |
LVLetland | Nacionālās kiberdrošības likums Latvia adopted the National Cyber Security Law in 2024, transposing NIS 2. | NCSC (Nacionālais kiberdrošības centrs, Ministry of Defence) / CERT.LV | CERT.LV | Van kracht |
LTLitouwen | Kibernetinio saugumo įstatymas Lithuania adopted the transposition act in late 2024. | NKSC (National Cybersecurity Center) | CERT-LT (within NKSC) | Van kracht |
Loi du 5 mai 2026 relative à des mesures visant à assurer un niveau élevé de cybersécurité | ILR (Institut Luxembourgeois de Régulation) | CIRCL (Computer Incident Response Center Luxembourg) | Van kracht | |
MTMalta | Legal Notice 71/2025, amended by Legal Notice 89/2026 (S.L. 460.41) | CIPD (Critical Infrastructure Protection Department) | CSIRTMalta | Van kracht |
Cyberbeveiligingswet (Cbw), Stb. 2026, 187; Cyberbeveiligingsbesluit, Stb. 2026, 189 Cbw published 10 July 2026 (Stb. 2026, 187), in force 15 August 2026. Replaces the Wbni (NIS 1 transposition). | NCSC-NL (since 1 Jan 2026 merged with DTC and CSIRT-DSP into "versterkt NCSC", SPOC + national CSIRT) + RDI (Rijksinspectie Digitale Infrastructuur, horizontal supervisor) | NCSC-NL | Van kracht | |
NISG 2026 (BGBl. I Nr. 94/2025); NISV 2026 (BGBl. II Nr. 290/2026) Original NISG (BGBl. I Nr. 111/2018) transposed NIS 1; replaced by NISG 2026 (BGBl. I Nr. 94/2025), in force 1 October 2026. | Bundesamt für Cybersicherheit | GovCERT (public administration, run by the Bundesamt für Cybersicherheit), HealthCERT (health sector), national CSIRT (all other sectors), under §§ 8 to 11 NISG 2026 | Van kracht | |
PLPolen | Amended KSC Act (ustawa o KSC) Amendment to the Act on the National Cybersecurity System (Ustawa o KSC) in force since 3 April 2026. Self-registration in the register closed on 3 October 2026. | Ministry of Digital Affairs / CSIRTs | CSIRT NASK, CSIRT GOV, CSIRT MON | Van kracht |
PTPortugal | Decreto-Lei n.º 125/2025 | CNCS (Centro Nacional de Cibersegurança) + CERT.PT | CERT.PT (within CNCS) | Van kracht |
RORoemenië | Emergency Ordinance No. 155/2024; Laws No. 52/2025 & No. 124/2025 Romania transposed via OUG 155/2024 in December 2024. | DNSC (Directoratul Național de Securitate Cibernetică) | DNSC CSIRT | Van kracht |
SISlovenië | ZInfV-1 (Information Security Act) | URSIV (Information Security Agency) | SI-CERT | Van kracht |
Zákon o kybernetickej bezpečnosti | NBÚ (Národný bezpečnostný úrad) | SK-CERT (within NBÚ) | Van kracht | |
ESSpanje | - No transposition law in the BOE as of August 2026; referred to the CJEU on 8 July 2026. Spain operates a two-CSIRT model, with sectoral supervisors under the existing Royal Decree 43/2021 (NIS 1). | CCN-CERT / INCIBE | CCN-CERT (public sector), INCIBE-CERT (private sector) | In voorbereiding |
CZTsjechië | Zákon č. 264/2025 Sb. o kybernetické bezpečnosti The earlier Cybersecurity Act (Zákon č. 181/2014 Sb.) transposed NIS 1. It was replaced by Act 264/2025 Sb., in force since 1 November 2025. | NÚKIB (Národní úřad pro kybernetickou a informační bezpečnost) | GovCERT.CZ (NÚKIB), CSIRT.CZ | Van kracht |
SEZweden | Cybersäkerhetslagen (SFS 2025:1506) | NCSC (Nationellt cybersäkerhetscenter, at the FRA) + CERT-SE | CERT-SE (within the NCSC at the FRA since 1 July 2026) | Van kracht |
Het laatst in werking getreden
De landen waarvan de wet het laatst in werking trad, de nieuwste eerst.
- Oostenrijk: van kracht sinds 1 oktober 2026
- Nederland: van kracht sinds 15 augustus 2026
- Luxemburg: van kracht sinds 10 mei 2026
- Polen: van kracht sinds 3 april 2026
- Portugal: van kracht sinds 3 april 2026
Waarom landen in verschillende fasen zitten
NIS2 is een richtlijn. Zij richt zich tot de lidstaten. Elk EU-land moet haar omzetten in eigen recht.
De termijn daarvoor was 17 oktober 2024. Veel landen waren later. De Europese Commissie heeft daarom procedures tegen verschillende landen geopend en enkele voor het Hof van Justitie van de EU gebracht.
Plichten voor bedrijven ontstaan pas met de nationale wet. Tot dan kunnen in een land nog oudere regels uit de eerste NIS-richtlijn gelden.
Art. 41(1) NIS 2
Wat dit betekent bij 50 tot 150 medewerkers
Voor uw bedrijf telt vooral het land waar het gevestigd is. Is het alleen in Duitsland gevestigd, dan geldt voor u de BSI-wet, sinds 6 december 2025.
De tracker helpt als u dochterondernemingen of fabrieken in andere EU-landen hebt. Daar beslist de wet van dat land of en vanaf wanneer plichten gelden.
Een wet die van kracht is, betekent niet dat elke termijn al verstreken is. Elk land legt zijn eigen registratietermijn vast.
Welk land bevoegd is voor uw bedrijfEen voorbeeld
Een verzonnen bedrijf: een maker van verpakkingsmachines met 110 medewerkers in Duitsland, een eigen fabriek in Polen en een verkoopdochter in Ierland.
De Duitse GmbH: machinebouw staat in bijlage 2 van de BSIG, en met 110 medewerkers is zij een belangrijke entiteit. Zij registreert zich bij het BSI.
De fabriek in Polen is een eigen bedrijf. Toont de tracker voor Polen een wet die van kracht is, dan gaat het bedrijf na of de fabriek volgens de Poolse wet eronder valt en tot wanneer zij zich daar moet registreren.
De verkoopdochter in Ierland maakt zelf niets. Of zij onder NIS2 valt, hangt af van wat zij doet. Toont de tracker voor Ierland nog geen wet die van kracht is, dan ontstaan daar nog geen plichten uit een Ierse NIS2-wet.
Het bedrijf bekijkt de tracker eens per kwartaal. Dat ritme heeft het zelf gekozen.
Zo gaat het in de doorloop
De doorloop op nisd2.eu gebruikt dezelfde gegevens als deze tabel.
De registratiestap toont de bevoegde instantie voor uw land en haar portaal, uit dezelfde lijst als deze pagina.
Hij legt uit in welk EU-land u zich registreert, met de uitzonderingen voor telecommunicatie en digitale aanbieders.
De beveiligingsmaatregelen volgen de minimumlijst van de richtlijn, die in elk EU-land geldt.
De uitleg in de doorloop is beschikbaar in het Duits en het Engels.
Pagina's over afzonderlijke landen
CCB (Centre for Cybersecurity Belgium)
Ministry of Innovation and Digital Transformation (formerly Ministry of e-Government) / State e-Government Agency
DSA (Digital Security Authority)
SAMSIK (Styrelsen for Samfundssikkerhed)
RIA (Riigi Infosüsteemi Amet)
Traficom + sector authorities (NCSC-FI as national CSIRT)
ANSSI (Agence nationale de la sécurité des systèmes d'information)
NCSA (National Cyber Security Authority)
SZTFH (Szabályozott Tevékenységek Felügyeleti Hatósága)
NCSC (National Cyber Security Centre)
ACN (Agenzia per la Cybersicurezza Nazionale)
NHCSC-HR (National Cybersecurity Center)
NCSC (Nacionālais kiberdrošības centrs, Ministry of Defence) / CERT.LV
NKSC (National Cybersecurity Center)
ILR (Institut Luxembourgeois de Régulation)
CIPD (Critical Infrastructure Protection Department)
NCSC-NL (since 1 Jan 2026 merged with DTC and CSIRT-DSP into "versterkt NCSC", SPOC + national CSIRT) + RDI (Rijksinspectie Digitale Infrastructuur, horizontal supervisor)
Bundesamt für Cybersicherheit
Ministry of Digital Affairs / CSIRTs
CNCS (Centro Nacional de Cibersegurança) + CERT.PT
DNSC (Directoratul Național de Securitate Cibernetică)
URSIV (Information Security Agency)
NBÚ (Národný bezpečnostný úrad)
CCN-CERT / INCIBE
NÚKIB (Národní úřad pro kybernetickou a informační bezpečnost)
NCSC (Nationellt cybersäkerhetscenter, at the FRA) + CERT-SE
Veelgestelde vragen
Welke landen hebben NIS2 omgezet?
Stand 16 oktober 2026: in 24 van de 27 EU-landen is een nationale NIS2-wet van kracht. De tabel hierboven toont per land de wet, de instantie en de stand.
Welke landen hebben NIS2 nog niet omgezet?
Stand 16 oktober 2026: nog geen nationale wet van kracht in: Frankrijk, Ierland en Spanje.
Wat is een CSIRT?
Een CSIRT (computer security incident response team) is een team dat in een land meldingen van beveiligingsincidenten ontvangt en helpt ze af te handelen. Elk EU-land wijst er minstens één aan (art. 10 NIS 2). In Duitsland is dat CERT-Bund bij het BSI.
Hoe actueel is de tracker?
De tabel is van 16 oktober 2026. De gezaghebbende bronnen zijn het officiële publicatieblad van elk land en het overzicht van de Europese Commissie, hieronder vermeld.
Bronnen
- Richtlijn (EU) 2022/2555 (NIS 2), art. 10 en 41, EUR-Lex
- Europese Commissie, stand van de omzetting van NIS 2: digital-strategy.ec.europa.eu/en/policies/nis-transposition
- Europese Commissie, inbreukprocedures wegens niet-mededeling van de omzetting (ingebrekestellingen 28 november 2024, met redenen omklede adviezen 7 mei 2025, verwijzingen naar het Hof van Justitie van de EU 8 juli 2026, IP/26/1499)
- Nationale publicatiebladen, zoals BGBl (DE), Moniteur belge / Belgisch Staatsblad (BE), Gazzetta Ufficiale (IT), BOE (ES), JORF (FR), Sbírka zákonů (CZ)
In de praktijk
Wat de nationale wet verandert, en wat niet
De nationale wet bepaalt onder meer waar u zich registreert en aan wie u incidenten meldt. De maatregelen zelf gaan in elke lidstaat uit van dezelfde minimumlijst (art. 21 NIS 2). De begeleide doorloop neemt u er stap voor stap doorheen:
De doorloop zelf is in het Duits en het Engels.
Risk Management
Write down what your company has
A list of the processes, software and devices you work with.
Incident Handling
Plan what happens in an incident
Who decides, whom you call, how you reach each other.
Effectiveness Assessment
Record the management review
Management checks whether the measures work and approves your documents.
Wat de doorloop kost
€ 4.800 netto per jaar, excl. btw
30 dagen geld terugOp factuur, betaling binnen 30 dagen. Opzeggen in de eerste 30 dagen: factuur geannuleerd of geld terug.
Begeleide NIS 2 implementatie, stap voor stap
Een geschiedenis van wijzigingen en goedkeuringen, om aan uw toezichthouder te tonen
Deadlines en herinneringen per vereiste
Beveiligingsvragenlijst voor uw leveranciers
Export naar PDF of CSV, op elk moment
Moet u zich met NIS2 bezighouden?
We begeleiden u stap voor stap. U vult in, wij leggen elk punt in eenvoudige woorden uit, en aan het eind tekent de directie.
