NIS2 is de Europese richtlijn (EU) 2022/2555 die organisaties in kritieke sectoren verplicht hun netwerken en informatiesystemen goed te beveiligen. Nederland heeft NIS2 omgezet in de Cyberbeveiligingswet (Cbw). Die wet is op 15 augustus 2026 in werking getreden (stand op 22 oktober 2026) en vervangt de Wet beveiliging netwerk- en informatiesystemen (Wbni).
Je sector en je omvang bepalen of de wet voor je geldt. De wet noemt achttien sectoren, van energie en zorg tot digitale infrastructuur, waaronder ook cloud- en datacenterdiensten vallen. Meestal geldt de wet vanaf 50 medewerkers, of bij minder medewerkers als zowel de jaaromzet als het balanstotaal boven 10 miljoen euro ligt. DNS-dienstverleners en registers voor topleveldomeinen vallen er altijd onder. Volgens de overheid gaat het om ruim 8.000 organisaties.
Wie eronder valt, moet zich registreren bij het NCSC, een risicoanalyse maken en passende maatregelen nemen. Een significant incident meld je binnen 24 uur met een eerste waarschuwing, binnen 72 uur volgt een melding en binnen een maand een eindverslag. Het bestuur keurt de maatregelen goed en is zelf verantwoordelijk. De richtlijn eist boetes tot minstens 10 miljoen euro of 2 procent van de wereldwijde jaaromzet voor essentiële entiteiten.
Een gewone mkb-website valt meestal niet onder de wet, maar de Cbw kan je toch raken als toeleverancier. Cbw-organisaties moeten ook de risico's bij hun rechtstreekse leveranciers beheersen, dus een webbouwer of IT-dienstverlener van zo'n organisatie kan vragen krijgen over beveiliging en afspraken. Twijfel je of de wet voor je organisatie geldt, doe dan de NIS2-zelfevaluatie van de RDI, waarnaar het NCSC verwijst.
Geschiedenis
NIS2 volgt de eerste NIS-richtlijn uit 2016 op, die in Nederland in de Wbni terechtkwam. Omdat lidstaten die eerste richtlijn heel verschillend toepasten, verbreedde de EU met richtlijn (EU) 2022/2555 het aantal sectoren en maakte ze de regels strenger.
Lidstaten moesten de richtlijn uiterlijk 17 oktober 2024 in nationale wetgeving omzetten. Nederland haalde die datum niet: de Eerste Kamer nam de Cyberbeveiligingswet op 7 juli 2026 aan, en de wet geldt sinds 15 augustus 2026 (Staatsblad 2026, 187).
Belangrijke mijlpalen:
- 2016: de eerste NIS-richtlijn, (EU) 2016/1148
- 14 december 2022: NIS2 wordt vastgesteld; de richtlijn geldt vanaf 16 januari 2023
- 17 oktober 2024: uiterste datum om NIS2 om te zetten
- 15 augustus 2026: de Cyberbeveiligingswet treedt in Nederland in werking
Bronnen
