NIS2 is de Europese richtlijn voor cyberweerbaarheid van organisaties binnen aangewezen sectoren. Nederland voert de richtlijn uit via de Cyberbeveiligingswet (Cbw). Het NCSC vermeldt 15 augustus 2026 als inwerkingtredingsdatum. Gebruik deze hub om toepasselijkheid, uitvoering en bewijs uit elkaar te houden.
Begin bij de toepasselijkheid
Beoordeel sector, dienstverlening en omvang voordat je een maatregelenlijst overneemt. Het algemene omvangscriterium is volgens het NCSC ten minste 50 fte, of bij minder fte zowel omzet als balanstotaal boven € 10 miljoen. Bijzondere categorieën en aanwijzingen kunnen daarvan afwijken. Een klant die onder NIS2 valt kan daarnaast contractuele eisen stellen, zonder dat die relatie op zichzelf jouw registratieplicht bepaalt.
Drie werkstromen
| Werkstroom | Praktisch resultaat |
|---|---|
| Registratie | Een onderbouwde toepasselijkheidsbeslissing en actuele registratie waar verplicht. |
| Risicobeheersing | Passende maatregelen, verantwoordelijkheden en controle op de werking. |
| Incidentmelding | Een uitvoerbare meldroute met tijdlijn en bevoegde contactpersonen. |
Meldtermijnen die in het draaiboek horen
De gebruikelijke volgorde bij een significant incident is een waarschuwing binnen 24 uur na kennisname, een incidentmelding binnen 72 uur en een eindverslag binnen een maand na de melding. Voor vertrouwensdiensten geldt een specifieke 24-uursuitzondering voor de incidentmelding; ook significantiecriteria verschillen per sector. De registratie- en meldgids werkt die verschillen en de officiële bronnen uit.
Verbind de plichten met je ISMS
Gebruik bestaande risico-, leveranciers- en incidentprocessen als vertrekpunt. Leg per wettelijke eis vast wat al wordt afgedekt en welke aanvullende actie nodig is. Een ISO 27001-certificaat is geen vervanging voor deze analyse. Benoem ook wie besluiten neemt, wie meldingen uitvoert en wie de rol overneemt bij afwezigheid.
Wat leg je deze week vast?
- De scopebeslissing met peildatum en gebruikte bron.
- Een eigenaar voor registratie en het actueel houden van gegevens.
- De meldroute en sectorale uitzonderingen voor je eigen situatie.
- De belangrijkste gaten tussen de bestaande werkwijze en toepasselijke eisen.
Gecontroleerd op 8 september 2026. Verplichtingen volgen uit toepasselijke regels, niet uit het moment waarop je het registratieformulier invult.