Onze diensten

De Cyber Beveiligingswet (NIS2) verplicht organisaties tot aantoonbaar risicobeheer, snelle incidentmelding en duidelijke bestuurlijke verantwoordelijkheid voor informatiebeveiliging.

De Cyberbeveiliging Wet (Cbw) is de Nederlandse implementatie van de Europese NIS2-richtlijn. De wet verplicht organisaties in essentiële en belangrijke sectoren om hun digitale weerbaarheid structureel te organiseren en aantoonbaar te maken.

Belangrijke verplichtingen zijn onder andere:

• aantoonbaar risicobeheer voor netwerk- en informatiesystemen
• melding van ernstige incidenten binnen 24 uur
• bestuurlijke verantwoordelijkheid voor informatiebeveiliging

Er bestaat geen officieel Cbw- of NIS2-certificaat. Naleving wordt gecontroleerd via toezicht en handhaving door bevoegde autoriteiten. Wel bestaan er private initiatieven zoals het NIS2 Quality Mark en hanteert de overheid het beveiligingskader BIO v2.

NIS2 is ingevoerd omdat cyberdreigingen in Europa explosief toenemen: recente ENISA-rapporten tonen dat ransomware (55% van de zorgen), supply-chain-aanvallen (47%) en phishing (35%) de belangrijkste risico’s vormen. Tegelijkertijd duurt het bij veel organisaties nog maanden voordat kritieke kwetsbaarheden worden opgelost.

In de praktijk gebruiken veel organisaties een Information Security Management System (ISMS), bijvoorbeeld volgens ISO 27001, om deze verplichtingen structureel in te richten.

Wat is NIS2 en wie moet zich zorgen maken?

NIS2 is een Europese wet die organisaties verplicht hun digitale beveiliging serieus en aantoonbaar te regelen. Het gaat om risicobeheer, snelle incidentmelding en duidelijke verantwoordelijkheid op bestuursniveau.

NIS2 is de herziene Europese cybersecurity richtlijn. In Nederland wordt deze ingevoerd als de Cyberbeveiliging Wet. Het is geen norm waarvoor u een certificaat nodig heeft, maar bindende wetgeving waarop toezicht en handhaving plaatsvinden.

De wet vraagt onder andere om:

• Meldplicht van ernstige incidenten binnen 24 uur
• Structureel en aantoonbaar risicobeheer
• Actieve betrokkenheid en aansprakelijkheid van bestuurders

Organisaties in essentiële en belangrijke sectoren moeten daarom niet alleen hun IT, maar hun volledige organisatie voorbereiden op strengere eisen.

Wie moet voldoen aan NIS2?

NIS2 geldt voor organisaties in essentiële en belangrijke sectoren met maatschappelijke of economische impact.

De richtlijn is van toepassing op onder andere:

• Energie
• Vervoer
• Financiële dienstverlening
• Gezondheidszorg
• Digitale infrastructuur
• Drinkwater en voedselproductie
• Bepaalde digitale aanbieders

Omvang, omzet en ketenpositie spelen een belangrijke rol bij de vraag of een organisatie onder NIS2 valt. De richtlijn maakt onderscheid tussen middelgrote en grote organisaties in essentiële en belangrijke sectoren. Daarbij wordt onder meer gekeken naar het aantal medewerkers, de jaaromzet en de maatschappelijke impact van de dienstverlening.

Daarnaast kan ook de positie in de keten bepalend zijn. Organisaties die zelf niet direct onder NIS2 vallen, kunnen alsnog te maken krijgen met aanvullende beveiligingseisen via klanten of opdrachtgevers die wél onder de wet vallen. Denk aan IT-leveranciers, softwareontwikkelaars of managed service providers die moeten aantonen dat zij passende beveiligingsmaatregelen hebben getroffen om onderdeel te blijven van de keten.

Wanneer treedt de nieuwe Cyberbeveiligingswet in werking?

De Cyberbeveiliging Wet wordt naar verwachting in 2026 van kracht in Nederland. Vanaf dat moment moeten organisaties die onder NIS2 vallen, aantoonbaar voldoen aan de wettelijke eisen.

De Europese NIS2-richtlijn geldt al sinds 2023, maar elke EU-lidstaat moet deze omzetten in nationale wetgeving. In Nederland gebeurt dit via de Cyberbeveiliging Wet. Zodra deze wet officieel in werking treedt, start ook het toezicht en kunnen sancties volgen bij niet-naleving.

Hoe word ik NIS2 compliant?

NIS2-compliance betekent dat uw organisatie haar digitale risico’s structureel beheerst, incidenten tijdig meldt en beveiliging documenteert. U moet kunnen aantonen dat beveiliging geen losse maatregel is, maar een continu proces binnen de organisatie.

Compliant worden vraagt om meer dan alleen technische beveiliging. Organisaties moeten eerst inzicht krijgen in hun belangrijkste risico’s en afhankelijkheden. Vervolgens moeten zij beleid vastleggen, verantwoordelijkheden toewijzen aan bestuur of directie en processen inrichten voor monitoring en incidentmelding.

Hoe vertaal je NIS2-eisen naar dagelijkse operatie?

NIS2 in de praktijk brengen betekent concreet: 

• Risico’s systematisch in kaart brengen en beoordelen
• Beveiligingsmaatregelen kiezen op basis van die risico’s
• Incidenten binnen 24 uur melden
• Duidelijke rollen en bestuurlijke verantwoordelijkheid vastleggen
• Continu monitoren en periodiek evalueren

NIS2 draait daarmee niet alleen om IT, maar om organisatiebrede verantwoordelijkheid voor digitale weerbaarheid.

Wat kost NIS2-implementatie?

NIS2-implementatie vraagt tijd en investering. De uiteindelijke kosten hangen samen met organisatiegrootte, complexiteit en bestaande beveiligingsmaatregelen. Uitstel kan leiden tot reputatieschade en boetes, maar een gefaseerde aanpak zorgt dat inzet en budget beheersbaar blijven.

Zo beheersen we kosten en risico’s:

• Gefaseerde implementatie met vooraf vastgestelde mijlpalen
• Tijdelijke invulling van sleutelrollen om vertraging te voorkomen
• Prioritering op basis van bedrijfsimpact en risico

   

Hoe helpt ISO club bij NIS 2-conformiteit?

We vertalen NIS2 naar uw bestaande ISMS via een nulmeting, risicoanalyse, concrete maatregelen en audit voorbereiding, met focus op aantoonbare en beheersbare naleving.

De aanpak start met een nulmeting en zakelijke risicoanalyse op uw netwerk- en informatiesystemen. Daarna volgt een concreet verbeterplan en implementatie binnen bestaande processen. Interim-ondersteuning waarborgt continuïteit en voorbereiding op toezicht op een audit.

• Nulmeting en gap-analyse: inzicht in huidige beveiligingsmaatregelen, risico’s en afwijkingen ten opzichte van NIS 2-eisen, zodat duidelijk wordt waar actie nodig is.

   

• Praktische behandelplannen en implementatie: prioritering van maatregelen met concrete acties, verantwoordelijken en planning, gevolgd door begeleiding bij invoering in processen en systemen.

   

• Interim security officer of CISO voor beheer: tijdelijke invulling van regie, monitoring en rapportage om continuïteit te waarborgen tijdens implementatie en richting audit of toezicht.