NIS2 voor bestuurders: val je eronder en waar sta je voor?

Je zit in het bestuur van een zorginstelling of een middelgroot bedrijf. De IT-manager noemt NIS2 in een bijzin. Je vraagt of dat iets voor de directie is. Het antwoord is ja, en eigenlijk vooral voor de directie.

Sinds 15 augustus 2026 is de Cyberbeveiligingswet van kracht, de Nederlandse uitwerking van de Europese NIS2-richtlijn (rijksoverheid.nl, 15 augustus 2026). De wet vervangt de oude Wbni. Na dit stuk weet je of je eronder valt en wat je deze maand regelt. Ben je zelf IT-verantwoordelijke, lees dan ook onze gids voor de eerste 30 dagen.

Wat is er veranderd?

De eerste NIS-richtlijn uit 2016 gold voor een kleine groep vitale aanbieders. NIS2 (Richtlijn (EU) 2022/2555) trok de kring een stuk wijder:

• Van 7 naar 18 sectoren, van energie en zorg tot afvalbeheer, voedsel en digitale diensten.
• Het bestuur keurt de maatregelen goed, houdt toezicht en volgt zelf een training.
• Een meldplicht met vaste termijnen, te beginnen met een waarschuwing binnen 24 uur.
• Eisen aan de beveiliging van je leveranciers.
• Hogere boetes.

Val je eronder?

De wet onderscheidt essentiële en belangrijke entiteiten. Welke je bent, hangt af van je sector en je omvang.

• In sectoren als energie, vervoer, bankwezen, gezondheidszorg, drinkwater, afvalwater, digitale infrastructuur, overheid en ruimtevaart is een grote organisatie meestal een essentiële entiteit en een middelgrote meestal een belangrijke.
• In sectoren als post en koeriers, afvalbeheer, chemie, voedsel, maakindustrie, digitale aanbieders en onderzoek is een middelgrote of grote organisatie een belangrijke entiteit.

Als vuistregel geldt de wet vanaf middelgroot: 50 medewerkers of meer, of een jaaromzet en balanstotaal boven 10 miljoen euro. Kleinere organisaties kunnen eronder vallen als ze een bijzondere rol hebben, bijvoorbeeld als enige aanbieder van een dienst.

Let op: je bepaalt zelf of je eronder valt. Niemand stuurt je een brief. Val je eronder, dan registreer je je in het entiteitenregister van het NCSC.

Waar ben je zelf verantwoordelijk voor?

Het bestuur keurt de beveiligingsmaatregelen goed en houdt toezicht op de uitvoering. Je kunt het werk delegeren aan IT, de verantwoordelijkheid niet. In de praktijk betekent dat: cyberveiligheid staat vast op de bestuursagenda, met een rapportage van IT, net als de cijfers. Bij essentiële entiteiten kan een toezichthouder in het uiterste geval zelfs een bestuurder tijdelijk schorsen (artikel 32 van de richtlijn).

De maatregelen zelf gaan over risicobeheer: een risicoanalyse, incidentafhandeling, back-ups en herstel, de beveiliging van je leveranciers, versleuteling en toegangsbeheer. Niets hiervan is exotisch. Het verschil is dat je het nu moet kunnen laten zien.

Wat als het misgaat?

Een significant incident meld je in drie stappen. Eerst een vroege waarschuwing binnen 24 uur, dan een melding binnen 72 uur en als laatste een eindverslag binnen een maand. Je meldt bij je CSIRT en je toezichthouder, via het meldportaal van het NCSC.

De boetes volgen artikel 34 van de richtlijn. Voor essentiële entiteiten gaat het om maximaal 10 miljoen euro of 2 procent van de wereldwijde jaaromzet. Voor belangrijke entiteiten is dat 7 miljoen euro of 1,4 procent. Het hoogste bedrag telt.

Wat je deze maand regelt

1. Laat vaststellen of je eronder valt, en als wat. Leg de redenering vast.
2. Registreer je bij het NCSC als je eronder valt.
3. Vraag om een nulmeting: waar staat de organisatie ten opzichte van de zorgplicht?
4. Zet de bestuurderstraining in je eigen agenda, niet alleen in die van IT.
5. Spreek af wie een incident meldt, ook midden in de nacht en in het weekend.

Veel maatregelen sluiten aan op wat je misschien al doet voor ISO 27001 of de BIO. Begin daar en vul aan wat ontbreekt. En vraag je belangrijkste leveranciers hoe zij met NIS2 omgaan. Hun antwoord zegt veel.

Hoe Noveu die maatregelen in de techniek invult, met per kader de status, lees je op onze compliancepagina.