NIS2-omzetting in Europa: welke landen NIS2 hebben omgezet
De termijn voor de omzetting was 17 oktober 2024. Vandaag geldt in 24 van de 27 EU-landen een nationale wet. Nog zonder wet: Frankrijk, Spanje en Ierland. Uw bedrijf valt onder de wet van het land waar het gevestigd is; daar registreert u zich.
Instantie, portaal en termijn per land
De tabellen zijn ingedeeld naar de stand van de registratie. Bij elk land staan de wet en de termijn.
22
In bedrijf
1
Voorregistratie
0
Gepland
4
Nog niet beschikbaar
| Land | Bevoegde autoriteit | Registratieportaal | Registratietermijn | Nationale wetgeving |
|---|---|---|---|---|
| Duitsland | BSI (Bundesamt für Sicherheit in der Informationstechnik) | BSI-Portal | 2026-03-06 | NIS2UmsuCG / BSIG |
| België | CCB (Centre for Cybersecurity Belgium) | Safeonweb@Work | 2025-03-18 | NIS2 Law (Loi NIS2) |
| Italië | ACN (Agenzia per la Cybersicurezza Nazionale) | ACN NIS Portal | 2027-02-28 | D.Lgs. 138/2024 |
| Oostenrijk | Bundesamt für Cybersicherheit | NIS2 Services (Unternehmensserviceportal) | 2027-01-04 | NISG 2026 (BGBl. I Nr. 94/2025); NISV 2026 (BGBl. II Nr. 290/2026) |
| Tsjechië | NÚKIB (Národní úřad pro kybernetickou a informační bezpečnost) | Portál NUKIB | 2025-12-31 | Zákon č. 264/2025 Sb. o kybernetické bezpečnosti |
| Denemarken | SAMSIK (Styrelsen for Samfundssikkerhed) | Virk | 2025-10-01 | LOV nr 434 af 06/05/2025 (NIS 2-loven) |
| Nederland | NCSC-NL (since 1 Jan 2026 merged with DTC and CSIRT-DSP into "versterkt NCSC", SPOC + national CSIRT) + RDI (Rijksinspectie Digitale Infrastructuur, horizontal supervisor) | MijnNCSC / Entiteitenregister | 2026-08-15 | Cyberbeveiligingswet (Cbw), Stb. 2026, 187; Cyberbeveiligingsbesluit, Stb. 2026, 189 |
| Polen | Ministry of Digital Affairs / CSIRTs | System S46 | 2026-10-03 | Amended KSC Act (ustawa o KSC) |
| Zweden | NCSC (Nationellt cybersäkerhetscenter, at the FRA) + CERT-SE | Nog niet beschikbaar | Nog te bepalen | Cybersäkerhetslagen (SFS 2025:1506) |
| Kroatië | NHCSC-HR (National Cybersecurity Center) | Nog niet beschikbaar | Nog te bepalen | Zakon o kibernetičkoj sigurnosti |
| Litouwen | NKSC (National Cybersecurity Center) | Nog niet beschikbaar | Nog te bepalen | Kibernetinio saugumo įstatymas |
| Letland | NCSC (Nacionālais kiberdrošības centrs, Ministry of Defence) / CERT.LV | Nog niet beschikbaar | 2025-04-01 | Nacionālās kiberdrošības likums |
| Griekenland | NCSA (National Cyber Security Authority) | NIS2 Register (Εγγραφή Οντοτήτων ν. 5160/2024) | 2025-09-30 | Law No. 5160/2024 |
| Slowakije | NBÚ (Národný bezpečnostný úrad) | NBÚ NIS2 portal (nis2.nbu.gov.sk) | Nog te bepalen | Zákon o kybernetickej bezpečnosti |
| Roemenië | DNSC (Directoratul Național de Securitate Cibernetică) | NIS2@RO Platform | 2025-09-19 | Emergency Ordinance No. 155/2024; Laws No. 52/2025 & No. 124/2025 |
| Finland | Traficom + sector authorities (NCSC-FI as national CSIRT) | Nog niet beschikbaar | 2025-05-08 | Kyberturvallisuuslaki (124/2025) |
| Estland | RIA (Riigi Infosüsteemi Amet) | Nog niet beschikbaar | 2026-03-31 | Küberturvalisuse seadus |
| Portugal | CNCS (Centro Nacional de Cibersegurança) + CERT.PT | MyCiber | 2026-09-15 | Decreto-Lei n.º 125/2025 |
| Hongarije | SZTFH (Szabályozott Tevékenységek Felügyeleti Hatósága) | Nog niet beschikbaar | Nog te bepalen | Act LXIX of 2024 (Hungarian Cybersecurity Act) |
| Luxemburg | ILR (Institut Luxembourgeois de Régulation) | ILR Guichet (NISS_EE231) | 2026-07-10 | Loi du 5 mai 2026 relative à des mesures visant à assurer un niveau élevé de cybersécurité |
| Malta | CIPD (Critical Infrastructure Protection Department) | Nog niet beschikbaar | Nog te bepalen | Legal Notice 71/2025, amended by Legal Notice 89/2026 (S.L. 460.41) |
| Slovenië | URSIV (Information Security Agency) | Nog niet beschikbaar | 2025-12-19 | ZInfV-1 (Information Security Act) |
| Land | Bevoegde autoriteit | Registratieportaal | Registratietermijn | Nationale wetgeving |
|---|---|---|---|---|
| Frankrijk | ANSSI (Agence nationale de la sécurité des systèmes d'information) | MonEspaceNIS2 | Nog te bepalen | Loi Résilience (bundles NIS2 + DORA + CER) |
| Land | Bevoegde autoriteit | Registratieportaal | Registratietermijn | Nationale wetgeving |
|---|---|---|---|---|
| Spanje | CCN-CERT / INCIBE | Nog niet beschikbaar | Nog te bepalen | Nog niet aangenomen |
| Bulgarije | Ministry of Innovation and Digital Transformation (formerly Ministry of e-Government) / State e-Government Agency | Nog niet beschikbaar | Nog te bepalen | Cybersecurity Act (amended) |
| Cyprus | DSA (Digital Security Authority) | NIS2 Self-Assessment Tool | Nog te bepalen | Law on Security of Networks and Information Systems (Amendment) 2025 |
| Ierland | NCSC (National Cyber Security Centre) | Nog niet beschikbaar | Nog te bepalen | National Cyber Security Bill (draft) |
Welk land bevoegd is voor uw bedrijf
Bevoegd is de EU-lidstaat waar uw bedrijf gevestigd is. Daar registreert u zich en daar meldt u incidenten.
Leveren in een land maakt dat land niet bevoegd. Een dochteronderneming in een ander EU-land is daar gevestigd; voor haar geldt de wet van dat land.
Uitzonderingen gelden voor telecommunicatie, die valt onder het land waar zij haar diensten levert, en voor bepaalde digitale aanbieders zoals cloud, datacenters en beheerde diensten. Voor hen telt de hoofdvestiging in de EU: het land waar de beslissingen over cyberbeveiliging hoofdzakelijk worden genomen.
Art. 26(1) en (2) NIS 2
Wat overal gelijk is, en wat niet
De minimumlijst van beveiligingsmaatregelen en de meldtermijnen, 24 uur, 72 uur en een maand, staan in de richtlijn zelf. Elk land moet ze overnemen.
Wat verschilt, zijn de instantie, het portaal, de registratietermijn en enkele details. Een land mag strengere regels vaststellen.
Art. 5, 21 en 23 NIS 2
Wat dit betekent bij 50 tot 150 medewerkers
Is uw bedrijf alleen in Duitsland gevestigd, dan geldt voor u de BSI-wet, ook als u aan andere landen levert.
Heeft het dochterondernemingen in andere EU-landen, ga dan voor elke dochter na of zij volgens de wet van dat land eronder valt. Voor de omvang tellen verbonden en partnerondernemingen mee volgens Aanbeveling 2003/361/EG.
De maatregelen kunt u gezamenlijk opzetten. Elk bedrijf moet zich in zijn eigen land registreren en daar melden.
Een voorbeeld
Een verzonnen bedrijf: een maker van meettechniek met 130 medewerkers in Duitsland en een verkoopdochter in Oostenrijk met 12 medewerkers.
De vervaardiging van elektronische en optische producten staat in bijlage 2 van de BSIG. De Duitse GmbH is een belangrijke entiteit en registreert zich bij het BSI.
Het Oostenrijkse bedrijf is een eigen bedrijf. Of het volgens de Oostenrijkse wet eronder valt, hangt af van zijn sector en omvang, met het moederbedrijf meegeteld.
Het bedrijf levert vanuit Duitsland aan klanten in Frankrijk en Italië. Daarvoor hoeft het zich daar niet te registreren.
Zo gaat het in de doorloop
De doorloop op nisd2.eu vraagt waar uw bedrijf gevestigd is en gaat daarvan uit.
De registratiestap toont de bevoegde instantie voor uw land en haar portaal.
Hij legt uit in welk EU-land u zich registreert, met de uitzonderingen voor telecommunicatie en digitale aanbieders.
De beveiligingsmaatregelen volgen de minimumlijst van de richtlijn, die in elk EU-land geldt.
De uitleg in de doorloop is beschikbaar in het Duits en het Engels.
Veelgestelde vragen
Welke landen hebben NIS2 omgezet?
In 24 van de 27 EU-landen geldt een nationale wet. Nog zonder wet: Frankrijk, Spanje en Ierland. De tabellen hierboven tonen per land de wet, de instantie, het portaal en de termijn.
Moet ik me registreren in elk land waaraan ik lever?
Nee. Bevoegd is het land waar uw bedrijf gevestigd is (art. 26(1) NIS 2). Een dochteronderneming in een ander land registreert zich daar als zij daar eronder valt.
Is er een register voor de hele EU?
Nee. Elk land houdt een eigen register bij. Voor bepaalde digitale aanbieders zoals cloud en datacenters houdt ook ENISA een register bij (art. 27 NIS 2).
Wat geldt in een land dat NIS2 nog niet heeft omgezet?
De richtlijn richt zich tot de lidstaten. Plichten voor bedrijven ontstaan pas met de nationale wet. Tot dan kunnen daar nog oudere regels uit de eerste NIS-richtlijn gelden.
Bronnen
- Richtlijn (EU) 2022/2555 (NIS 2), art. 5, 21, 23, 26, 27 en 41, EUR-Lex
- Aanbeveling 2003/361/EG van de Commissie, EUR-Lex
- Wetten, instanties en portalen per land: de eigen informatie van de nationale instanties, gelinkt in de tabellen
In de praktijk
Wat de nationale wet verandert, en wat niet
De nationale wet bepaalt onder meer waar u zich registreert en aan wie u incidenten meldt. De maatregelen zelf gaan in elke lidstaat uit van dezelfde minimumlijst (art. 21 NIS 2). De begeleide doorloop neemt u er stap voor stap doorheen:
De doorloop zelf is in het Duits en het Engels.
Risk Management
Write down what your company has
A list of the processes, software and devices you work with.
Incident Handling
Plan what happens in an incident
Who decides, whom you call, how you reach each other.
Effectiveness Assessment
Record the management review
Management checks whether the measures work and approves your documents.
Wat de doorloop kost
€ 4.800 netto per jaar, excl. btw
30 dagen geld terugOp factuur, betaling binnen 30 dagen. Opzeggen in de eerste 30 dagen: factuur geannuleerd of geld terug.
Begeleide NIS 2 implementatie, stap voor stap
Een geschiedenis van wijzigingen en goedkeuringen, om aan uw toezichthouder te tonen
Deadlines en herinneringen per vereiste
Beveiligingsvragenlijst voor uw leveranciers
Export naar PDF of CSV, op elk moment
Moet u zich met NIS2 bezighouden?
We begeleiden u stap voor stap. U vult in, wij leggen elk punt in eenvoudige woorden uit, en aan het eind tekent de directie.
