De NIS2-richtlijn

Het juridisch kader

Richtlijn (EU) 2022/2555 (NIS2) verving de eerste NIS-richtlijn en legt cyberbeveiligingsverplichtingen op aan een veel bredere groep organisaties. De lidstaten moesten ze tegen 17 oktober 2024 omzetten in nationaal recht, en elk land bepaalt zelf wie toezicht houdt en hoe de details werken. In België gebeurt dat bijvoorbeeld met de wet van 26 april 2024 (van kracht sinds 18 oktober 2024), met het Centrum voor Cybersecurity België (CCB) als nationale autoriteit. Werk je in meerdere landen, dan krijg je te maken met meerdere nationale wetten die op dezelfde richtlijn gebouwd zijn.

Wie valt eronder

NIS2 geldt voor middelgrote en grote entiteiten in de sectoren van twee bijlagen. Bijlage I (sectoren met hoge kritikaliteit) omvat energie, vervoer, bankwezen, infrastructuur voor de financiële markt, gezondheidszorg, drinkwater, afvalwater, digitale infrastructuur, beheer van ICT-diensten (business-to-business), overheidsdiensten en ruimtevaart. Bijlage II (andere kritieke sectoren) omvat post- en koeriersdiensten, afvalbeheer, chemie, voeding, vervaardiging van bepaalde producten, digitale aanbieders (zoals online marktplaatsen, zoekmachines en sociale netwerken) en onderzoek. De omvang beoordeel je volgens de kmo-aanbeveling van de Commissie: grosso modo betekent middelgroot ten minste 50 werknemers of een jaaromzet of balanstotaal van meer dan 10 miljoen euro. Sommige entiteiten, zoals aanbieders van DNS en topleveldomeinen, vallen eronder ongeacht hun omvang.

Entiteiten worden ingedeeld als essentieel of belangrijk. Die indeling bepaalt het toezicht: essentiële entiteiten krijgen proactief toezicht, belangrijke entiteiten vooral toezicht na een incident of een aanwijzing van niet-naleving.

Entiteiten binnen het toepassingsgebied moeten zich meestal registreren bij hun nationale autoriteit, maar hoe en tegen wanneer verschilt per land. In België loopt de registratie bij het CCB bijvoorbeeld via het platform Safeonweb@Work, met een uiterste datum van 18 maart 2025.

Wat is vereist

• Maatregelen voor risicobeheer (artikel 21). Passende en evenredige technische, operationele en organisatorische maatregelen vanuit een benadering die alle gevaren omvat. De richtlijn somt domeinen op: risicoanalyse en beveiligingsbeleid, incidentafhandeling, bedrijfscontinuïteit en back-ups, beveiliging van de toeleveringsketen, veilige aanschaf en ontwikkeling, behandeling van kwetsbaarheden, gebruik van cryptografie, toegangscontrole en meerfactorauthenticatie, en basis-cyberhygiëne en opleiding.
• Bestuur (artikel 20). Bestuursorganen keuren de maatregelen goed, houden toezicht op de uitvoering, volgen opleidingen en kunnen aansprakelijk worden gesteld voor inbreuken.
• Melding van incidenten (artikel 23). Significante incidenten meld je gefaseerd: een vroegtijdige waarschuwing binnen 24 uur na kennisname, een incidentmelding binnen 72 uur en een eindverslag binnen één maand. De melding gaat naar het nationale CSIRT of de bevoegde autoriteit (in België het CCB).
• Toeleveringsketen. Entiteiten moeten de cyberbeveiliging van hun directe leveranciers aanpakken. Dat komt terug in je contracten en in je register van verwerkers.
• Bewijs van naleving. Lidstaten kunnen van entiteiten vragen dat ze hun naleving aantonen, bijvoorbeeld met een certificering. Dat verschilt per land. In België laten essentiële entiteiten hun naleving bijvoorbeeld beoordelen via het CyberFundamentals-referentiekader van het CCB, een ISO/IEC 27001-certificering of een inspectie. Check de nationale regels die voor jou gelden.

Sancties

De richtlijn voorziet administratieve geldboeten tot 10 miljoen euro of 2% van de wereldwijde jaaromzet voor essentiële entiteiten, en tot 7 miljoen euro of 1,4% voor belangrijke entiteiten, naargelang wat het hoogste is. Ook toezichtsmaatregelen, zoals bindende instructies en tijdelijke maatregelen ten aanzien van bestuurders, zijn mogelijk.

Verhouding tot de AVG

NIS2 beschermt netwerk- en informatiesystemen. De AVG beschermt persoonsgegevens. Eén incident kan allebei activeren: een ransomware-aanval op een ziekenhuis is een significant incident voor de NIS2-autoriteit en, als persoonsgegevens in het gedrang kwamen, een inbreuk op persoonsgegevens voor de gegevensbeschermingsautoriteit. De geadresseerden, de inhoud en de termijnen verschillen, dus normaal doe je twee meldingen, voorbereid vanuit één set feiten.

In de praktijk

Een middelgroot logistiek bedrijf met 180 werknemers is actief in vervoer, dat onder bijlage I valt. Het registreert zich bij zijn nationale autoriteit (in België het CCB), deelt zichzelf na analyse in als essentieel of belangrijk en start een gapanalyse ten opzichte van artikel 21. Het ziet dat back-ups niet worden getest, beheerdersaccounts geen meerfactorauthenticatie hebben en softwareleveranciers niet onder beveiligingsclausules vallen. Het bestuur keurt een plan goed.

Acht maanden later neemt een phishingaanval het account van een dispatcher over en versleutelen de aanvallers een bestandsserver. De NIS2-contactpersoon van het bedrijf meldt binnen 24 uur aan die autoriteit dat er een significant incident loopt dat waarschijnlijk door een kwaadwillige handeling werd veroorzaakt. Omdat de server gegevens van chauffeurs bevatte, behandelt het bedrijf het ook als een inbreuk op persoonsgegevens en meldt het binnen 72 uur aan de gegevensbeschermingsautoriteit. Binnen een maand dient het het eindverslag in.

Een klein webbureau met 12 werknemers valt onder de drempels. Het kan toch leverancier zijn van een entiteit die wel onder de regels valt, en krijgt dan beveiligingsvereisten in zijn contracten.

Veelgestelde vragen

Valt mijn bedrijf eronder?

Toets de sector, de omvang en de activiteit aan de bijlagen en aan de nationale wet van elk land waar je actief bent. Diensten aan klanten die wel onder de regels vallen, brengen je niet zelf binnen het toepassingsgebied, maar leiden wel tot contractuele vereisten.

Vervangt NIS2 de melding van datalekken onder de AVG?

Nee. Ze gelden naast elkaar, met andere autoriteiten en termijnen.

Wie is persoonlijk blootgesteld?

Leden van bestuursorganen kunnen aansprakelijk worden gesteld voor inbreuken op grond van de bestuursregels van de richtlijn en moeten opleidingen cyberbeveiliging volgen.

Is NIS2 in elk land hetzelfde?

De richtlijn harmoniseert de basis, maar de nationale wetten verschillen, bijvoorbeeld voor registratie, bewijs van naleving en meldplatformen. Een groep met entiteiten in meerdere landen moet elke nationale wet nagaan.

Hoe dit samenhangt

Onze dienstverlening bij datalekken behandelt de AVG-kant en coördineert de meldingen die ernaast lopen. De workflow voor datalekken houdt de tijdlijn van een incident bij in één dossier, en verzoeken van getroffen personen handel je af via verzoeken van betrokkenen. Zie ook de 72-urenregel.