Cybercrime in de EU
Hoe speelt uw organisatie een rol in het versterken van de digitale veerkracht van de EU? In deze whitepaper bespreken we de impact van cybercriminaliteit.
Whitepaper aanvragen
NIS2-richtlijn
Steeds meer digitale ontwikkelingen zetten de veiligheid van onze maatschappij en economie onder druk. Om de cyberbeveiliging en weerbaarheid van essentiële diensten in EU-lidstaten te verbeteren is de NIS2 cyberwetgeving ontworpen. Deze volgt de oude NIS-richtlijn op die niet langer voldoende beschermde. De NIS2-richtlijn geldt voor meer sectoren en stelt strengere beveiligingsnormen en melding vereisten voor incidenten. Als cybersecurity-expert biedt DEKRA certificeringen aan waarmee u kunt demonstreren dat u aan de NIS2-richtlijnen voldoet. De NIS2 scope bestaat uit (delen van) ISO 27001, IEC 62443 en NIST Cybersecurity Framework (CSF) in combinatie met extra documentatie, afhankelijk van uw situatie.
Wat is de NIS2-richtlijn?
De NIS2-richtlijn is een Europese richtlijn en staat voor Network and Information Security directive. NIS2 is opvolger van de oorspronkelijke NIS wetgeving, die in 2016 werd ingevoerd. Het doel van de NIS2-richtlijn is dat organisaties die essentiële diensten leveren, zoals zorginstellingen en energiebedrijven, hun risico’s op het gebied van cybersecurity in kaart brengen en aanpakken. Daarbij zijn er ook toezichts- en handhavingsmaatregelen opgenomen in de NIS2-richtlijn. NIS2 is een wetgeving. Europese landen zijn sinds de zomer van 2025 verplicht om aan de NIS2-richtlijn te voldoen. Sinds de zomer van 2026 is de Nederlandse versie van NIS2 in werking getreden via de Cyberbeveiligingswet.
Harmonisatie van de NIS2-richtlijn
ENISA is het Europees Agentschap voor netwerk- en informatiebeveiliging en verantwoordelijk voor het verbeteren van de cyberveilig binnen Europa. Zij hebben laten weten dat er in de toekomst geen geharmoniseerde standaard van de NIS2 scope komt.
Wat valt er onder de NIS2 scope?
Er wordt bij de NIS2-richtlijn onderscheid gemaakt tussen essentiële entiteiten en belangrijke entiteiten.
Essentiële entiteiten
Essentiële entiteiten kunnen steekproefsgewijs gecontroleerd worden. Deze organisaties kunnen geaudit worden zonder dat er een incident heeft plaatsgevonden. Controles kunnen onder andere plaatsvinden door beveiligingsscans en inspecties ter plaatse. Deze organisaties vallen als het ware onder een vergrootglas. Een essentiële organisatie móét, met alle bewijslast, kunnen aantonen dat het aan de NIS2-richtlijn voldoet.
Belangrijke entiteiten
Belangrijke entiteiten daarentegen zullen alleen bij bewijs, aanwijzingen of informatie dat deze niet voldoen aan de NIS2-richtlijn, gecontroleerd worden door middel van een audit. Dit gebeurt na een cyberhack. Maar ook voor hen is het natuurlijk verplicht en erg belangrijk om te voldoen aan NIS2 wetgeving. Men moet kunnen aantonen dat de organisatie voldeed aan cyberregelgeving op het moment van de cyberhack.
De NIS2-richtlijn is van toepassing op middelgrote en grote bedrijven (50+ medewerkers of met een jaarlijkse omzet van 10 miljoen euro) in verschillende sectoren. Micro en kleine bedrijven vallen in principe niet onder de NIS2-richtlijn. Uitgezonderd op deze regel zijn aanbieders van vertrouwensdiensten, zij vallen wel binnen de NIS2 scope. Daarnaast kan de minister van een bepaalde sector ervoor kiezen om een micro- of klein bedrijf alsnog te laten verplichten aan de NIS2-richtlijn als dat essentieel blijkt uit de risicobeoordeling.
Sectoren en de NIS2-richtlijn
Onder de NIS2-richtlijn vallen alle organisaties die ook onder de eerste NIS-richtlijn vallen. Daarnaast zijn er een paar nieuwe sectoren toegevoegd die ook tot de NIS2 scope behoren. Hieronder vindt u een overzicht van alle sectoren, verdeeld over essentiële en belangrijke entiteiten.
Zeer kritieke sectoren (essentiele entiteiten):
- Energie: elektriciteit, stadsverwarming en -koeling, olie, aardgas en waterstof
- Vervoer: luchtvaart, spoorvervoer, wegvervoer en vervoer over water
- Bankwezen: kredietinstellingen
- Infrastructuur voor de financiële markt: handelsplatformen en centrale tegenpartijen
- Gezondheidszorg: onder andere ziekenhuizen, medische laboratoria, farmaceutisch onderzoek en bepaalde fabrikanten van medische hulpmiddelen
- Drinkwater: productie en distributie van drinkwater
- Afvalwater: inzameling en behandeling van afvalwater
- Digitale infrastructuur: onder andere cloudproviders, datacenters, DNS-dienstverleners, registers voor topleveldomeinen en elektronische communicatienetwerken
- Beheer van ICT-diensten: Managed Service Providers (MSP's) en Managed Security Service Providers (MSSP's)
- Overheid: centrale en regionale overheidsinstanties
- Ruimtevaart: beheerders van infrastructuur op aarde die ruimtediensten ondersteunt
Andere kritieke sectoren (Belangrijke entiteiten)
- Vervaardiging (manufacturing)
- Post- en koeriersdiensten
- Afvalstoffenbeheer
- Levensmiddelen
- Chemische stoffen
- Onderzoek
- Digitale aanbieders
- onderzoeksorganisaties
Nieuw: ook leveranciersketen wordt gecontroleerd
Een belangrijk aspect van de NIS2 scope is de nadruk op de verantwoordelijkheid van organisaties om ook cybersecurityrisico’s binnen hun leveranciersketen in kaart te brengen en aan te pakken. Dit betekent dat bedrijven niet alleen hun eigen systemen moeten beveiligen, maar ook die van hun partners en leveranciers, de volledige keten. Want ook de leveranciers beschikken vaak over cybergevoelige informatie. Het uiteindelijke doel is om gegevens te beschermen en een veerkrachtiger digitaal ecosysteem te creëren, waarin de kans op verstoringen door cyberaanvallen aanzienlijk wordt verkleind.
Het kan voorkomen dat uw toeleveranciers of dienstverlenende partners niet actief zijn in een van de genoemde sectoren of minder dan 50 medewerkers hebben, waardoor zij niet het label 'essentieel' of 'belangrijk' krijgen. Toch moeten zij nog steeds voldoen aan de richtlijn NIS2. Bovendien kan de EU deze organisaties in de toekomst alsnog labelen als essentieel of belangrijk.
Met deze tool van de Rijksoverheid kunt u snel checken of de NIS2-richtlijn van toepassing is op uw organisatie.
Cybersecurity wetgeving overzicht
Deze whitepaper biedt een helder overzicht van de NIS2, RED-DA en CRA, en hoe u kunt voldoen aan de strengere eisen.
Whitepaper aanvragen
Is uw organisatie klaar voor NIS2?
Ontdek wat de richtlijn voor uw organisatie betekent, welke cybersecuritymaatregelen nodig zijn en hoe u uw digitale weerbaarheid kunt versterken.
Whitepaper aanvragen
Wat zijn de verplichtingen van de NIS2-richtlijn?
Waarom DEKRA voor NIS2-richtlijn?
U bent zelf verantwoordelijk om conform de NIS2 scope te werken. Echter zal onafhankelijk certificeren door een certificeringsinstantie zoals DEKRA enorm bijdragen aan het voldoen van de NIS2 scope. Wij leveren certificaten waarmee u zelf kunt verklaren dat u voldoet aan de richtlijn van NIS2. Bovendien geeft onafhankelijk testen een veel breder inzicht in het niveau van uw organisatie. Bijvoorbeeld of u volledig voldoet aan de essentiële ISO 27001 norm.
Cybersecurity expertise
DEKRA heeft zich gepositioneerd als een toonaangevende expert op het gebied van cybersecurity. Met een diepgaande kennis en uitgebreide ervaring biedt DEKRA een breed scala aan diensten om organisaties te ondersteunen bij het naleven van de NIS2-richtlijn. Hier zijn enkele redenen waarom DEKRA wordt beschouwd als dé autoriteit op dit gebied:
DEKRA biedt een uitgebreid scala aan cybersecurity diensten, waaronder assessments, audits, en certificeringen. Met betrekking tot de NIS2-richtlijn, denk aan ISO 27001, IEC 62443 en NIST Cybersecurity Framework (CSF). NIST CSF is een reeks vrijwillige cyberrichtlijnen, waarvoor je geen certificering ontvangt. Al deze diensten zijn direct of indirect ontworpen om organisaties te helpen bij het identificeren van kwetsbaarheden, het implementeren van effectieve beveiligingsmaatregelen en het waarborgen van naleving met de NIS2 scope.
Het verschilt per organisatie hoe u aantoont dat u aan de NIS2-richtlijn voldoet. Soms is ISO 27001 + aanvullende documentatie voldoende (lees DEKRA's blog over ISO 27001 en NIS2). Andere bedrijven zullen aan delen van de ISO 27000 en aan delen van de IEC 62443 moeten voldoen (+extra documentatie). Het is niet verplicht om deze normen te laten certificeren, maar dit helpt u zeker om aan te tonen dat u voldoet aan NIS2-richtlijn. En dit laatste is wel verplicht. Aangezien de meeste sectoren onder de essentiële entiteiten vallen – en er vanaf 2025 dus een vergrootglas op het voldoen aan de NIS2-richtlijn ligt – is het zeer waarschijnlijk dat u er goed aandoet om u te laten certificeren tegen bovengenoemde standaarden.
Meer informatie over al onze cybersecuritydiensten is te vinden op onze cybersecurity pagina.
DEKRA beschikt over een breed portfolio op het gebied van onafhankelijke cybersecurity testen en certificeringen. Ontdek hoe wij u ondersteunen bij het beveiligen van uw systemen.
Lees verder
Naast de NIS2-richtlijn heeft DEKRA diepgaande kennis van andere belangrijke normen en regelgevingen op het gebeid van cybersecurity, zoals IEC 62443 en ISO 27001. Dankzij deze expertise helpt DEKRA organisaties bij het integreren van meerdere normen en het ontwikkelen van een complete cybersecurity-strategie.
Lees meer over de relatie tussen de NIS2-richtlijn en IEC 62443 in DEKRA's blog over NIS2 en IEC 62443.
DEKRA heeft jarenlange ervaring in het certificeren van organisaties tegen verschillende beveiligingsnormen. Deze ervaring stelt DEKRA in staat om grondige en betrouwbare audits uit te voeren, wat essentieel is voor het aantonen van het voldoen aan de NIS2-richtlijn. Het certificeringsproces van DEKRA helpt organisaties niet alleen om te voldoen aan de regelgeving, maar ook om hun algehele beveiligingspositie te versterken.
Hoe we u ondersteunen bij het voldoen aan de NIS2-richtlijn
Het naleven van de NIS2-richtlijn kan een uitdagend proces zijn, maar DEKRA biedt een gestructureerde benadering om organisaties door dit proces te leiden. Hier zijn enkele stappen die DEKRA onderneemt om organisaties te helpen bij de NIS2-richtlijn:
- Risicoanalyse: DEKRA begint met een uitgebreide risicoanalyse en gap-analyse om de huidige stand van zaken te evalueren. Dit omvat het identificeren van potentiële zwakke punten en het beoordelen van de effectiviteit van bestaande beveiligingsmaatregelen.
- Implementatie van beveiligingsmaatregelen: Op basis van de bevindingen uit de analyses helpt DEKRA organisaties bij het implementeren van de benodigde beveiligingsmaatregelen. Dit kan variëren van beleidsmatige aanpassingen tot training van personeel.
- Continue monitoring en evaluatie: De NIS2-richtlijn vereist continue monitoring en evaluatie van beveiligingsmaatregelen. DEKRA biedt diensten aan voor regelmatige audits en assessments om ervoor te zorgen dat organisaties blijvend voldoen aan de NIS2-richtlijn en om snel te kunnen reageren op nieuwe dreigingen.
- Incidentrespons en herstel: In het geval van een beveiligingsincident is een snelle en effectieve respons cruciaal. DEKRA helpt organisaties bij het ontwikkelen en evalueren van incidentresponsplannen, evenals herstelstrategieën om de impact van incidenten te minimaliseren en snel weer operationeel te zijn.
Kom eenvoudig met ons in contact over NIS2
DEKRA levert een uitgebreid scala aan test- en certificeringsdiensten op het gebied van cybersecurity. Onze experts komen graag met u in contact om ervoor te zorgen dat u voorop blijft lopen op het gebied van cybersecurity, wettelijke vereisten en nieuwe normen.
Veelgestelde vragen over de NIS2 Richtlijn
NIS2 geldt voor middelgrote en grote organisaties in kritieke en gereguleerde sectoren en voor bepaalde overheidsorganisaties. Ook bedrijven die onderdeel zijn van de toeleveringsketen van een NIS2-organisatie kunnen indirect met de eisen te maken krijgen.
De richtlijn geldt voornamelijk voor publieke en private organisaties binnen de sectoren uit bijlage I en II van NIS2. In veel gevallen gaat het om organisaties met minimaal 50 medewerkers en een jaaromzet van meer dan € 10 miljoen. Voor bepaalde type organisaties gelden de regels ongeacht hun omvang.
Leveranciers vallen niet automatisch onder NIS2, omdat zij aan een NIS2-organisatie leveren. Organisaties die wel onder NIS2 vallen, moeten risico's binnen hun toeleveringsketen beheersen. Daardoor kunnen zij aanvullende cybersecurity-eisen stellen aan hun leveranciers.
Of een organisatie als essentieel of belangrijke entiteit wordt aangemerkt, hangt af van het type organisatie, de sector en de omvang.
Essentiële entiteiten kunnen actiever en preventiever worden gecontroleerd door toezichthouders. Bij belangrijke entiteiten vindt toezicht meestal plaats wanneer er aanwijzingen zijn dat zij niet aan de verplichtingen voldoen.
In Nederland is NIS2 uitgewerkt in de Cyberbeveiligingswet. De uiteindelijke classificatie van een organisatie wordt daarom bepaald op basis van deze Nederlandse wet- en regelgeving.
Organisaties die onder NIS2 vallen, moeten passende en evenredige maatregelen nemen om hun cyberrisico's te beheersen. Denk bijvoorbeeld aan:
- risicoanalyse en informatiebeveiligingsbeleid;
- incidentbeheer;
- bedrijfscontinuïteit en crisismanagement;
- beveiliging van de toeleveringsketen;
- veilige ontwikkeling en onderhoud van netwerk- en informatiesystemen;
- het beoordelen van de effectiviteit van beveiligingsmaatregelen;
- cybersecuritytraining en bewustwording;
- toegangsbeheer;
- waar passend: encryptie en multifactorauthenticatie.
Ook het bestuur krijgt nadrukkelijk verantwoordelijkheid. Bestuurders moeten toezien op de cybersecuritymaatregelen en beschikken over voldoende kennis van cybersecurity.
Voor significante incidenten geldt daarnaast een meldplicht. NIS2 werkt daarbij met verschillende meldmomenten, waaronder een eerste waarschuwing binnen 24 uur en een uitgebreidere melding binnen 72 uur.
NIS2 schrijft voor dat lidstaten stevige sancties moeten kunnen opleggen.
- Voor essentiële entiteiten kunnen maximale boetes gelden van ten minste € 10 miljoen of 2% van de wereldwijde jaaromzet, afhankelijk van welk bedrag hoger is.
- Voor belangrijke entiteiten gaat het om ten minste € 7 miljoen of 1,4% van de wereldwijde jaaromzet.
Daarnaast kunnen toezichthouders bijvoorbeeld bindende aanwijzingen geven, audits laten uitvoeren of organisaties verplichten om tekortkomingen te herstellen.
Ook bestuurders hebben verantwoordelijkheden op het gebied van cybersecurity. De precieze sancties en regels rondom aansprakelijkheid zijn afhankelijk van de nationale wetgeving.
De Europese NIS2-richtlijn is op 16 januari 2023 in werking getreden. EU-lidstaten moesten de richtlijn vervolgens omzetten in nationale wetgeving.
In Nederland is NIS2 geïmplementeerd via de Cyberbeveiligingswet (Cbw). Deze wet is op 15 augustus 2026 in werking getreden. Organisaties die onder de Cyberbeveiligingswet vallen, moeten vanaf die datum aan de wettelijke verplichtingen voldoen.
Ja, in bepaalde gevallen. NIS2 kan ook gelden voor specifieke dienstverleners die buiten de EU zijn gevestigd maar diensten aanbieden binnen de Europese Unie. Denk bijvoorbeeld aan bepaalde aanbieders van DNS-diensten, cloudcomputing, datacenters, content delivery networks, managed services, online marktplaatsen, zoekmachines en sociale netwerken.
In sommige gevallen moet een organisatie buiten de EU een vertegenwoordiger binnen de Europese Unie aanwijzen.
Een leverancier buiten de EU valt niet automatisch onder NIS2 omdat deze aan een Europese klant levert. Wel kan een klant die onder NIS2 valt cybersecurity-eisen opnemen in contracten met leveranciers vanwege de verplichtingen rondom ketenbeveiliging.
De AVG (GDPR) richt zich op de verwerking en bescherming van persoonsgegevens. NIS2 richt zich op cybersecurity, risicobeheersing en de digitale weerbaarheid van organisaties.
Bij een cyberincident kunnen beide regelgevingen tegelijkertijd van toepassing zijn. De voorwaarden voor het melden van een incident, de termijnen en de betrokken toezichthouders verschillen echter.
Een melding volgens NIS2 vervangt daarom niet automatisch een eventuele melding onder de AVG. Andersom betekent voldoen aan de AVG ook niet automatisch dat een organisatie aan NIS2 voldoet.
Ja. De Europese Commissie moet NIS2 uiterlijk op 17 oktober 2027 evalueren en vervolgens minimaal iedere 36 maanden opnieuw beoordelen.
Daarnaast kunnen aanvullende Europese en nationale regels en richtlijnen worden vastgesteld. Organisaties doen er daarom goed aan om ontwikkelingen binnen Europese en Nederlandse wetgeving, aanwijzingen van toezichthouders en sectorspecifieke eisen te blijven volgen.
Ja. DEKRA biedt wereldwijd diensten op het gebied van cybersecurity, waaronder assessments, testen, trainingen en diensten gericht op compliance.
Voor internationaal opererende organisaties kan DEKRA bijvoorbeeld beoordelen welke cybersecurity-eisen vanuit NIS2 relevant zijn en hoe deze zich verhouden tot lokale wetgeving en sectorspecifieke eisen.
4 Resultaten
02 sep 2026
Cyberbeveiligingswet
De Cyberbeveiligingswet is in augustus 2026 in werking getreden en stelt eisen aan de digitale weerbaarheid van organisaties in Nederland.
Bekijk artikel
19 mei 2026Cyber Security
ISO 27001 en NIS2
Wat zijn de verschillen en de overeenkomsten? En kan je NIS2 en ISO 27001 combineren? Leer hier meer over deze cyber-richtlijnen
Bekijk artikel
28 okt 2024Digitale & Productgerichte oplossingen
NIS2 cybersecurity
Wat houdt NIS2 in? En hoe ziet NIS2 cybersecurity compliance eruit? Lees hier alles over de richtlijn
Bekijk artikel
01 okt 2024Digitale & Productgerichte oplossingen / Cyber Security
NIS2 en IEC 62443
NIS2 & IEC 62443: De twee cruciale pijlers voor cybersecurity en cyberweerbaarheid. Ontdek hier meer.
Bekijk artikel