Uw dossier voor
NIS2-naleving in 5 dagen

Multifactorauthenticatie (MFA)

“ Voor welke diensten verplicht u MFA? E-mail, VPN, RDP, beheer van netwerk en cloud, bevoorrechte accounts. ”

E-mailbeveiliging

“ Welke maatregelen gebruikt u tegen vervalsing van e-mailadressen (SPF, DKIM, DMARC)? Hebt u verouderde protocollen (IMAP, POP3, onbeveiligd SMTP) uitgeschakeld? ”

Incidentresponseplan

“ Wat is uw incidentresponseplan, en binnen welke termijn zou u ons op de hoogte stellen van een cyberbeveiligingsincident? ”

Uitbesteding en toeleveringsketen

“ Maakt u gebruik van onderaannemers van de vierde schakel? Gaat u akkoord met contractuele bepalingen die NIS2-naleving opleggen (controles, melding van inbreuken, recht op audit)? ”

Back-ups en continuïteit

“ Worden er back-ups gemaakt? Worden de integriteit en de herstelprocedures ten minste eenmaal per jaar getest? ”

Beveiligingsgovernance

“ Is uw informatiebeveiligingsbeleid gebaseerd op een erkend referentiekader (NIST, ISO 27001)? ”

Wie is betrokken?

De richtlijn richt zich op „middelgrote” of „grote” ondernemingen (in de zin van het Europese recht) die actief zijn in een lijst van als kritiek aangemerkte sectoren: energie, vervoer, gezondheidszorg, banken, water, digitaal, openbaar bestuur enerzijds; post, afval, chemie, agrovoeding, productie, onderzoek anderzijds. Een lidstaat kan er ook kleinere structuren in opnemen als zij een sleutelrol spelen.

Wat NIS2 u echt oplegt

Kort gezegd: „evenredige” beveiligingsmaatregelen nemen, uw risico's kunnen identificeren, uw gegevens beschermen, een aanval detecteren, erop reageren en daarna weer opstarten. Daar komen de fysieke beveiliging van de lokalen, de controle van toegangen en bevoegdheden, en de controle van de beveiliging van uw dienstverleners en leveranciers bij.

Bij een incident: een nauwkeurige timing

Als zich een „significant” incident voordoet, moet de autoriteit in drie stappen worden gewaarschuwd: een vroegtijdige waarschuwing binnen 24 uur, een uitgebreidere melding binnen 72 uur, en vervolgens een eindverslag binnen een maand. De getroffen klanten moeten ook onverwijld worden geïnformeerd over de maatregelen die zij zelf moeten nemen.

De sancties, zonder dramatiseren

Het maximum van de boetes is vastgelegd in de richtlijn: tot 10 M€ of 2 % van de wereldwijde omzet (het hoogste bedrag) voor „essentiële” entiteiten; tot 7 M€ of 1,4 % van de wereldwijde omzet voor „belangrijke” entiteiten. Dit zijn wettelijke maxima, geen automatische rekening, en de boete komt pas na een reeks corrigerende maatregelen - zie de details verderop.

De data om te onthouden

De richtlijn is sinds 16 januari 2023 van kracht. Elke lidstaat moest zijn verplichtingen uiterlijk op 17 oktober 2024 in zijn nationale wet hebben omgezet, voor een daadwerkelijke toepassing sinds 18 oktober 2024, de datum waarop de oude NIS1-tekst is ingetrokken.

In Frankrijk: wie trekt het dossier

De ANSSI is de aangewezen autoriteit voor de begeleiding bij NIS2-naleving. Zij heeft een „Référentiel Cyber France” (ReCyF, beschikbaar sinds 17 maart 2026) gepubliceerd en biedt een platform „MonEspaceNIS2” en een „ClubSSI” aan om bedrijven wegwijs te maken.

Wat er al gebeurt bij onze buren

In Duitsland geeft de autoriteit BSI aan dat de wettelijke registratietermijn van de betrokken bedrijven al is verstreken: wie dat nog niet heeft gedaan, moet dit zonder uitstel doen. Een concreet signaal dat de Europese beweging al op gang is, ver voorbij de teksten.

Een vereenvoudiging wordt onderzocht

De Europese Commissie heeft in 2026 een voorstel („omnibuspakket”) gepresenteerd om de NIS2-naleving te verlichten, met name voor de kleinste structuren: ongeveer 28 700 bedrijven zouden onder deze verlichting vallen, waaronder 6 200 micro- en kleine ondernemingen.

Een particuliere kliniek of een medisch laboratorium

Valt onder de sector „Gezondheidszorg” van Bijlage I zodra het gaat om een zorginstelling in de zin van het Europese recht, als zij de drempel van de middelgrote omvang overschrijdt.

Een automobielonderaannemer of een machinebouwer

Valt onder de sector „Vervaardiging” van Bijlage II (voertuigen, elektrische apparatuur, machines, elektronica) boven de omvangsdrempel.

Een cloudaanbieder of een beheerder van uitbestede IT (MSP/MSSP)

Maakt deel uit van de „Digitale infrastructuur” of het „Beheer van ICT-diensten” van Bijlage I: betrokken vanaf de middelgrote omvang (belangrijke entiteit), essentiële entiteit als zij groot is. Enige uitzondering qua omvang: als zij ook gekwalificeerd verlener van vertrouwensdiensten, register voor domeinnamen of DNS-aanbieder is.

Een gemeente of een regionale overheidsinstelling

Valt onder de sector „Overheid” van Bijlage I als de lidstaat haar aanwijst, in het bijzonder wanneer de uitval van haar diensten een aanzienlijke impact zou hebben op kritieke maatschappelijke of economische activiteiten.

Een levensmiddelenverwerker of een groothandelaar

Valt onder „Productie, verwerking en distributie van levensmiddelen” van Bijlage II zodra hij groothandelsactiviteiten of industriële productie/ verwerking uitoefent.

Een onderneming „buiten de 18 sectoren”, maar leverancier van een betrokken entiteit

Valt niet rechtstreeks onder NIS2, maar kan er via een contract toe worden aangezet: zie de sectie „Keteneffect” eerder op deze pagina.

V. Wat is de NIS2-richtlijn, in één zin?

Het is de Europese tekst die sinds 18 oktober 2024 de oude wet van 2016 over cyberbeveiliging heeft vervangen: de Europese Commissie beschrijft haar als een tekst die „het gemeenschappelijke ambitieniveau van de EU op het gebied van cyberbeveiliging verhoogt, via een ruimer toepassingsgebied, duidelijkere regels en versterkte toezichtsinstrumenten”.

V. Ik ben een kmo, val ik echt onder de omvangsdrempels?

De tekst richt zich in de eerste plaats op „middelgrote” of „grote” ondernemingen in Europese zin, een nauwkeurig wettelijk criterium dat verwijst naar Aanbeveling 2003/361/EG (in de praktijk: vanaf 50 werknemers, of meer dan 10 M EUR omzet en balanstotaal tegelijk), actief in een van de 18 opgesomde sectoren. Daaronder valt u in beginsel niet rechtstreeks onder de richtlijn, tenzij uw staat kleinere structuren opneemt die als essentieel worden beschouwd, of u een entiteit bevoorraadt die dat is (keteneffect, zie hoger op deze pagina).

V. Kan ik als bestuurder persoonlijk aansprakelijk worden gesteld?

Ja, en dat is het minst bekende punt van de tekst: de officiële wettelijke samenvatting van de richtlijn preciseert dat het leidinggevend orgaan de maatregelen voor risicobeheer moet goedkeuren en toezicht moet houden op de uitvoering ervan, en dat het aansprakelijk kan worden gesteld bij tekortkomingen. Cyberbeveiliging is dus niet alleen een IT-onderwerp: het is een governancekwestie die tot op het niveau van de bestuurder reikt.

V. Hoe weet ik concreet of mijn onderneming zich moet registreren?

Elke lidstaat moet een officiële lijst van essentiële en belangrijke entiteiten bijhouden, om de twee jaar herzien (eerste Europese termijn: 17 april 2025). In Frankrijk biedt de ANSSI een gratis online zelfevaluatietool aan, „MonEspaceNIS2”, die rechtstreeks de vraag „ben ik betrokken?” beantwoordt.

V. Loopt Frankrijk achter? Wat verandert dat voor mij vandaag?

Ja: de Franse omzettingswet is nog steeds niet gepubliceerd, ruim na de Europese deadline. In juli 2026 heeft de Europese Commissie Frankrijk bovendien gedaagd voor het Hof van Justitie van de EU omdat het zijn omzettingsmaatregelen niet had meegedeeld (zie de gedetailleerde kalender hoger op de pagina). Concreet: er is nog geen enkele „Franse NIS2”-sanctie mogelijk zolang het decreet niet is verschenen, maar op de dag dat het verschijnt, hebben bedrijven die al klaar zijn niets in te halen.

V. Wat verandert er echt ten opzichte van de oude NIS1-wet?

NIS1 (2016) beperkte zich tot energie, vervoer, gezondheidszorg, financiën, water en digitaal. NIS2 verruimt dit toepassingsgebied sterk: daar komen nu bij de elektronische communicatie voor het grote publiek, sociale netwerken en digitale platforms, afvalbeheer, de vervaardiging van kritieke producten, postdiensten en het openbaar bestuur. Veel ondernemingen die tot nu toe buiten beeld bleven, vallen nu binnen het toepassingsgebied.

V. Is er een verlichting gepland voor kleine structuren?

Ja, in onderzoek: de Europese Commissie heeft in 2026 een vereenvoudigingspakket gepresenteerd om de administratieve lasten van NIS2 te verminderen, met name voor de kleinste entiteiten. Ongeveer 28 700 bedrijven zouden onder deze verlichting vallen, waaronder 6 200 micro- en kleine ondernemingen. De tekst is nog niet definitief aangenomen: in de gaten houden, zonder te wachten met voorbereiden.

Maximale administratieve geldboete: ten minste 10 000 000 EUR OF ten minste 2 % van de totale wereldwijde jaaromzet van het voorgaande boekjaar - het hoogste van de twee bedragen is van toepassing.

Maximale administratieve geldboete: ten minste 7 000 000 EUR OF ten minste 1,4 % van de totale wereldwijde jaaromzet van het voorgaande boekjaar - dezelfde logica, het hoogste bedrag wordt aangehouden.

Wie legt de sancties op?

Elke lidstaat wijst een of meer „bevoegde autoriteiten” aan die belast zijn met het toezicht op en de handhaving van de richtlijn. In Frankrijk is deze rol toegewezen aan de ANSSI.

Het uiterste middel - alleen voor essentiële entiteiten

Als de voorgaande maatregelen zonder effect blijven, kan de autoriteit een rechtbank vragen een certificering of een vergunning tijdelijk op te schorten, of zelfs een bestuurder (algemeen directeur of wettelijk vertegenwoordiger) tijdelijk uit zijn functie te zetten, tot de naleving is hersteld. Deze uiterste escalatie geldt ALLEEN voor essentiële entiteiten, niet voor belangrijke entiteiten.

Het bedrag is niet automatisch

De wet verplicht om per geval rekening te houden met: ernst en duur van de inbreuk, herhaling, veroorzaakte schade, opzet of nalatigheid, maatregelen om de schade te beperken, naleving van gedragscodes of certificeringen, mate van medewerking met de autoriteit. Twee bedrijven in dezelfde situatie krijgen niet automatisch dezelfde boete.

Bestuurders, persoonlijk aansprakelijk

De tekst bepaalt uitdrukkelijk dat de natuurlijke personen die de entiteit leiden (algemeen directeur, wettelijk vertegenwoordiger) aansprakelijk kunnen worden gesteld bij tekortkomingen in hun nalevingsverplichtingen - zowel voor essentiële als voor belangrijke entiteiten.

En als het ook een datalek is?

Als het incident ook een inbreuk op persoonsgegevens vormt, moet de NIS2-autoriteit de bevoegde AVG-autoriteit (in Frankrijk de CNIL) onverwijld informeren. De twee stelsels worden op elkaar afgestemd - het is geen automatische cumulatie van sancties, maar een uitwisseling van informatie tussen autoriteiten.

Cijfervoorbeelden? Nog niet, eerlijk gezegd

Op de datum van deze monitor is op geen enkele officiële bron een openbaar gemaakte NIS2-sanctiebeslissing gevonden. Het stelsel hangt af van de omzettingswet van elke lidstaat, die nog wordt afgerond. Teken dat de beweging op gang is: in Duitsland geeft de autoriteit BSI aan dat de wettelijke registratietermijn van de betrokken entiteiten al is verstreken.