De herziene NIS2-richtlijn stelt nieuwe eisen aan de digitale weerbaarheid van duizenden organisaties in Europa. In deze whitepaper lees je wat er verandert, wie onder de wet valt en hoe je organisatie zich strategisch kan voorbereiden – juridisch, organisatorisch én technologisch.
📌 Belangrijkste inzichten in 1 minuut
-
NIS2 geldt voor middelgrote en grote organisaties in 15 sectoren, waaronder energie, zorg en digitale infrastructuur.
-
Organisaties worden geclassificeerd als ‘essentieel’ of ‘belangrijk’, met bijbehorende toezicht- en meldplichten.
-
De meldplicht vereist binnen 24 uur een eerste melding van cyberincidenten, gevolgd door een eindrapport binnen een maand.
-
Bestuurders worden persoonlijk verantwoordelijk gehouden voor compliance en kunnen gesanctioneerd worden.
-
ESET en Eversheds Sutherland bieden concrete ondersteuning bij technische en juridische implementatie van NIS2.
Een breder wettelijk kader voor digitale weerbaarheid
De NIS2-richtlijn is de opvolger van de oorspronkelijke NIS-richtlijn uit 2016 en vormt een belangrijk onderdeel van de Europese strategie voor cyberveiligheid. Waar de oude richtlijn alleen vitale aanbieders betrof, geldt NIS2 voor een veel grotere groep organisaties. Naar schatting vallen ruim 160.000 entiteiten in de EU onder deze aangescherpte wetgeving. Voor C-level beslissers betekent dit: cybersecurity is niet langer een IT-issue, maar een strategische complianceplicht die raakt aan risicomanagement, governance en reputatie.
Essentieel of belangrijk: wie valt onder NIS2?
NIS2 maakt onderscheid tussen ‘essentiële’ en ‘belangrijke’ entiteiten. Dit onderscheid is gebaseerd op sector (kritiek of zeer kritiek) en bedrijfsgrootte. Grote bedrijven in zeer kritieke sectoren – zoals energie, drinkwater en financiële infrastructuur – vallen onder de strengste eisen en krijgen te maken met proactief toezicht. Middelgrote organisaties of bedrijven in minder kritieke sectoren vallen in de categorie ‘belangrijk’, met reactief toezicht. Dit verschil is meer dan semantiek: het bepaalt hoe vaak je gecontroleerd wordt, hoe streng de meldverplichtingen zijn en welke boetes er gelden bij non-compliance.
Van compliance naar strategische meerwaarde
Hoewel de focus ligt op wet- en regelgeving, biedt NIS2 ook kansen. Organisaties die hun cyberweerbaarheid structureel verbeteren, versterken daarmee hun concurrentiepositie, beperken financiële risico’s en vergroten het vertrouwen van klanten en partners. Denk aan maatregelen zoals supply chain security, encryptie, risicobeoordelingen en crisismanagement. Door NIS2 als hefboom te gebruiken voor bredere securityverbetering, kunnen bedrijven hun digitale veerkracht versterken op een manier die verder gaat dan alleen voldoen aan de wet.
Ondersteuning bij implementatie: juridisch én technisch
De implementatie van NIS2 vraagt om samenwerking tussen juridische, technische en strategische disciplines. ESET Nederland ondersteunt organisaties met kennisdeling, praktische workshops en geavanceerde securityoplossingen die helpen bij het voldoen aan de richtlijn. Eversheds Sutherland levert juridisch maatwerk, zoals compliancebegeleiding, advies over aansprakelijkheid en vertegenwoordiging bij toezichthouders. Samen helpen zij organisaties bij het maken van de vertaalslag van wetstekst naar werkbare maatregelen die aansluiten bij de eigen bedrijfsvoering.