NIS2
NIS2 is de Europese richtlijn over cyberbeveiliging. In België krijgt zij vorm in de wet van 26 april 2024, met het Centrum voor Cybersecurity België als nationale autoriteit. Deze pagina legt uit wie eronder valt, wat art. 21 verlangt en welke termijnen lopen.
Stand: 2 september 2026
Wat is NIS2?
NIS2 is richtlijn 2022/2555 van de Europese Unie over maatregelen voor een hoog gezamenlijk niveau van cyberbeveiliging in de Unie. Zij verplicht organisaties in achttien sectoren tot risicobeheer, tot het melden van incidenten en tot een aantal technische minimummaatregelen. In België is zij omgezet met de wet van 26 april 2024.
De schrijfwijze NIS 2 met een spatie betekent hetzelfde. De naam staat voor de tweede versie van de richtlijn over netwerk- en informatiebeveiliging; zij vervangt de eerste uit 2016 en verruimt het bereik fors. Waar de oude regels enkele aanbieders van essentiële diensten raakten, gaat het nu om ondernemingen uit achttien sectoren zodra zij de drempel voor de omvang halen.
Nieuw is vooral de verantwoordelijkheid aan de top. NIS2 maakt cyberbeveiliging een taak van het bestuur: de bestuurders moeten de maatregelen voor risicobeheer goedkeuren, toezien op de uitvoering en kunnen daarop volgens art. 20 van de richtlijn worden aangesproken. Die taak is niet over te dragen.
NIS2 in cijfers
- 18
- Sectoren uit bijlage I en II van de richtlijn
- 18
- Sectoren binnen het bereik
- 24 uur
- Termijn voor de vroegtijdige waarschuwing bij een incident
- 10 mln. €
- Maximale boete, of 2 % van de jaaromzet
Richtlijn, wet, toezicht
Drie namen, één stelsel. Wie de keten kent, vindt het voorschrift dat werkelijk geldt.
- Europees niveau
De richtlijn NIS2
Richtlijn 2022/2555 van de Europese Unie, in werking sinds januari 2023. Een richtlijn werkt niet rechtstreeks: zij verplicht de lidstaten haar in nationaal recht om te zetten. Voor organisaties is zij daarom vooral leidraad bij de uitleg, niet de grondslag zelf.
- Nationale omzetting
De wet van 26 april 2024
De wet van 26 april 2024 zet NIS2 om in Belgisch recht en vervangt de eerdere NIS-wet van 7 april 2019. Zij legt de zorgplicht, de meldplicht, de registratie en het toezicht vast, met het Centrum voor Cybersecurity België als nationale autoriteit en met het CyberFundamentals Framework als weg om de zorgplicht te tonen.
- Geldend recht
Zorgplicht, meldplicht, toezicht
De wet draagt de plichten. De zorgplicht verlangt passende maatregelen volgens de stand van de techniek, de meldplicht verlangt een vroegtijdige waarschuwing binnen 24 uur, een melding binnen 72 uur en een eindverslag binnen een maand bij het CCB en bij de sectorale toezichthouder, en de registratieplicht verlangt dat de organisatie zich bekendmaakt. Een aanloopjaar kent de zorgplicht niet.
Wie valt eronder?
Twee dingen moeten samenkomen: de sector en de omvang. Klopt allebei, dan geldt NIS2 vanzelf, zonder besluit en zonder aanschrijving.
Essentiële entiteiten
vanaf 250 medewerkers, of meer dan 50 miljoen euro jaaromzet en meer dan 43 miljoen euro balanstotaal
In de sectoren met de hoogste kritikaliteit: energie, vervoer, bankwezen, infrastructuur voor de financiële markt, gezondheidszorg, drinkwater, afvalwater, digitale infrastructuur, het beheer van ICT-diensten, overheid en ruimtevaart. Op deze entiteiten houdt de toezichthouder doorlopend toezicht.
Boete tot 10 miljoen euro of 2 % van de wereldwijde jaaromzet
Belangrijke entiteiten
vanaf 50 medewerkers, of meer dan 10 miljoen euro jaaromzet en balanstotaal
Alle overige sectoren en de kleinere entiteiten uit de sectoren hierboven: post en koeriers, afval, chemie, levensmiddelen, vervaardiging, digitale diensten en onderzoek. Het toezicht is hier op aanleiding, de plichten zelf zijn dezelfde.
Boete tot 7 miljoen euro of 1,4 % van de wereldwijde jaaromzet
Ongeacht de omvang
Aanbieders van gekwalificeerde vertrouwensdiensten, registers voor topniveaudomeinen, aanbieders van DNS-diensten en aanbieders van openbare elektronische communicatienetwerken vallen onder NIS2 zonder dat het aantal medewerkers of de omzet meetelt.
En de keten?
Toeleveranciers vallen er niet vanzelf zelf onder, maar krijgen wel langs de contracten met de eisen te maken: art. 21 lid 2 onder d verlangt van de organisaties die eronder vallen dat zij de beveiliging bij hun directe leveranciers beoordelen. In de praktijk zijn dat vragenlijsten, bewijsstukken en clausules die de norm doorgeven.
De achttien sectoren
Eerst de sectoren met de hoogste kritikaliteit, daarna de overige kritieke sectoren.
- Energie
- Vervoer
- Bankwezen
- Infrastructuur voor de financiële markt
- Gezondheidszorg
- Drinkwater
- Afvalwater
- Digitale infrastructuur
- Beheer van ICT-diensten
- Overheid
- Ruimtevaart
- Post en koeriers
- Afvalbeheer
- Chemie
- Levensmiddelen
- Vervaardiging
- Digitale diensten
- Onderzoek
De tien eisen uit art. 21
Art. 21 lid 2 van de richtlijn noemt tien maatregelen die elke organisatie die eronder valt moet nemen. De wet van 26 april 2024 neemt ze over, en ze gelden voor beide klassen van entiteiten gelijk.
De maatstaf is evenredigheid: gevraagd is de stand van de techniek, afgezet tegen het risico, de omvang van de organisatie en de mogelijke schade. Een vaste lijst met producten bestaat niet.
| Nr. | Maatregel | Wat erachter zit | Verband met e-mail |
|---|---|---|---|
| §30 Abs. 2Nr. 1 | Risicoanalyse en beleid voor beveiliging | Een vastgelegde analyse van de risico's voor de eigen informatiesystemen, met het beleid dat daaruit volgt. | geen rechtstreeks verband |
| §30 Abs. 2Nr. 2 | Afhandeling van incidenten | Herkennen, reageren, herstellen en nabespreken van incidenten als een geregeld proces. | rechtstreeks |
| §30 Abs. 2Nr. 3 | Bedrijfscontinuïteit | Beheer van reservekopieën, herstel na een noodgeval en crisisbeheer. | indirect |
| §30 Abs. 2Nr. 4 | Beveiliging van de toeleveringsketen | Beoordelen van directe leveranciers en dienstverleners, en dat contractueel vastleggen. | rechtstreeks |
| §30 Abs. 2Nr. 5 | Beveiliging bij aanschaf, ontwikkeling en onderhoud | Eisen aan beveiliging over de hele levensduur van systemen, met het beheer van kwetsbaarheden. | geen rechtstreeks verband |
| §30 Abs. 2Nr. 6 | Beoordelen van de doeltreffendheid | Werkwijzen die toetsen of de genomen maatregelen werkelijk werken. | indirect |
| §30 Abs. 2Nr. 7 | Basishygiëne en opleiding | Elementaire werkwijzen voor beveiliging en regelmatige opleiding van alle medewerkers. | indirect |
| §30 Abs. 2Nr. 8 | Cryptografie en versleuteling | Beleid en procedures voor het gebruik van cryptografie, met het beheer van sleutels. | rechtstreeks |
| §30 Abs. 2Nr. 9 | Beveiliging van personeel en toegangsbeheer | Toetsing van personeel, rechten naar behoefte en beheer van bedrijfsmiddelen. | geen rechtstreeks verband |
| §30 Abs. 2Nr. 10 | Meervoudige verificatie en beveiligde communicatie | Meervoudige of doorlopende verificatie, beveiligde communicatie met spraak, video en tekst, en communicatie in noodsituaties. | rechtstreeks |
Vier van de tien maatregelen raken e-mail rechtstreeks
Versleuteling, de afhandeling van incidenten, de communicatie in de keten en beveiligde tekstcommunicatie zijn zonder een gateway voor e-mail nauwelijks aan te tonen. Hoe dat er concreet uitziet, staat op de pagina over e-mailbeveiliging onder NIS2.
Termijnen, meldingen en boetes
Naast de maatregelen uit art. 21 staan drie formele plichten die los van de techniek gelden.
Registratie bij de toezichthouder
Organisaties die onder de wet vallen, moeten zich binnen de termijn die de wet stelt registreren en daarbij hun contactgegevens, hun sector en de betrokken diensten opgeven. Er komt geen aanschrijving: de plicht om na te gaan of u eronder valt, ligt bij de organisatie zelf.
Melden van incidenten
Een incident is significant wanneer het ernstige verstoring van de bedrijfsvoering of financiële verliezen veroorzaakt, of wanneer het andere natuurlijke of rechtspersonen schade kan berokkenen. De melding gaat in drie stappen:
- 1Binnen 24 uur: een vroegtijdige waarschuwing met wat op dat moment bekend is.
- 2Binnen 72 uur: een melding met een eerste beoordeling of een bijstelling daarvan.
- 3Binnen een maand: een eindverslag met de oorzaak, de gevolgen en de genomen maatregelen.
Plichten van het bestuur
Volgens art. 20 van de richtlijn moet het bestuur de maatregelen voor risicobeheer goedkeuren en toezien op de uitvoering. Bestuurders moeten zich regelmatig laten opleiden en kunnen op het nalaten daarvan worden aangesproken. Die verantwoordelijkheid is niet weg te contracteren.
Boetes
Essentiële entiteiten: tot 10 miljoen euro of 2 % van de wereldwijde jaaromzet, waarbij het hoogste bedrag geldt. Belangrijke entiteiten: tot 7 miljoen euro of 1,4 %. Voor het schenden van de meld- en registratieplicht gelden eigen, lagere grenzen.
NIS2 en kritieke entiteiten
De twee worden vaak door elkaar gehaald. Kritieke entiteiten zijn organisaties die de overheid aanwijst omdat zij een essentiële dienst leveren waarvan de uitval de samenleving raakt. Voor hen geldt de wet van 1 juli 2011 over de beveiliging van kritieke infrastructuren zoals aangepast aan richtlijn 2022/2557 van de Europese Unie. Die regels gaan over fysieke weerbaarheid: risicobeoordeling, een weerbaarheidsplan, beveiliging van locaties en betrouwbaarheid van personeel.
NIS2 is het bredere begrip en gaat over digitale weerbaarheid. Een organisatie kan onder NIS2 vallen zonder aangewezen kritieke entiteit te zijn; andersom geldt voor een aangewezen kritieke entiteit doorgaans ook alles wat NIS2 vraagt, en meer. De twee stelsels vullen elkaar aan en staan in aparte wetten.
| Aspect | NIS2 | Kritieke entiteiten |
|---|---|---|
| Aanleiding | Sector en omvang van de organisatie | Aanwijzing door de overheid |
| Omvang | Ondernemingen uit achttien sectoren vanaf de drempel | De aangewezen entiteiten per sector |
| Bewijs | Op verzoek van de toezichthouder | Een verplichte risicobeoordeling en een weerbaarheidsplan |
| Zwaartepunt | Digitale weerbaarheid en incidenten | Fysieke weerbaarheid en continuïteit |
Alle onderwerpen over NIS2
Wat op deze pagina in het kort staat, is elders uitgewerkt. Dertien pagina's, gerangschikt naar vraag.
Grondslag en verantwoordelijkheid
- NIS2 en e-mailbeveiliging: de volledige gidsDe ingang over dertig pagina's: bereik, maatregelen, termijnen en valkuilen.
- Welke plichten voor e-mail nu geldenWat de richtlijn concreet voorschrijft voor het kanaal e-mail, onderdeel voor onderdeel.
- Verantwoordelijkheid van bestuurders onder NIS2Waarom het bestuur zelf aanspreekbaar is en hoe u dat vastlegt.
De maatregelen afzonderlijk
- De tien verplichte maatregelenElke maatregel afzonderlijk uitgelegd, met het verband met e-mail.
- Is versleuteling van e-mail verplicht?Wat de eis aan cryptografie verlangt, waar TLS volstaat en waar S/MIME of PGP nodig is.
- De meldplicht bij een incidentDe termijn van 24 uur in de praktijk: wie meldt wat, en bij wie.
- Beveiliging van de ketenHoe eisen aan toeleveranciers worden doorgegeven en aangetoond.
- Het noodplan voor e-mailContinuïteit voor het kanaal e-mail: uitval, herstart en een weg terug.
- Vastleggen en koppelen met SIEMWelk bewijs de toezichthouder wil zien en hoe gebeurtenissen uit e-mail daar komen.
Invoeren met Conbool
- NIS2 en e-mailbeveiligingDe vier maatregelen die e-mail raken en hoe Conbool ze afdekt.
- Versleuteling onder NIS2S/MIME en PGP geautomatiseerd, met beheer van sleutels en een set regels.
- Continuïteit onder NIS2Een postbus voor noodgevallen en doorwerken als de mailserver uitvalt.
- De opleidingsplicht onder NIS2Basishygiëne en opleiding, aantoonbaar vastgelegd.
Veelgestelde vragen over NIS2
Wat is het verschil tussen NIS2, de wet van 26 april 2024 en de oude NIS-wet?+
NIS2 is de Europese richtlijn en werkt voor organisaties niet rechtstreeks. De wet van 26 april 2024 is de Belgische wet die haar omzet en die de zorgplicht, de meldplicht, de registratie en het toezicht vastlegt. De NIS-wet van 7 april 2019 was de omzetting van de eerste richtlijn uit 2016 en gaat daarin op. De plichten die werkelijk gelden, staan dus in de Belgische wet, uitgelegd langs de richtlijn.
Sinds wanneer geldt NIS2 in België?+
De richtlijn is in januari 2023 in werking getreden en de termijn voor omzetting liep in oktober 2024 af. België zette haar om met de wet van 26 april 2024, die vanaf oktober 2024 geldt. De zorgplicht kent daarbij geen aanloopjaar: zodra de wet geldt, gelden de maatregelen. Veel organisaties zijn al eerder begonnen omdat opdrachtgevers de eisen langs de keten doorgeven.
Wat is het verschil tussen een essentiële en een belangrijke entiteit?+
De indeling volgt uit de sector en de omvang. Essentiële entiteiten zijn grote organisaties in de sectoren met de hoogste kritikaliteit, belangrijke entiteiten zijn alle overige die eronder vallen. De maatregelen uit art. 21 zijn voor beide gelijk; het verschil zit in het toezicht, dat bij essentiële entiteiten doorlopend is, en in de boetegrens van 10 tegenover 7 miljoen euro.
Moet ik een incident binnen 24 uur volledig hebben uitgezocht?+
Nee. De termijn van 24 uur geldt voor een vroegtijdige waarschuwing met de kennis van dat moment, inclusief het vermoeden of het om een wederrechtelijke aanval gaat. De beoordeling volgt binnen 72 uur en het uitzoeken eindigt met het eindverslag binnen een maand.
Is een ISO 27001-certificering genoeg voor NIS2?+
Die helpt, maar volstaat niet vanzelf. ISO 27001 dekt een groot deel van de maatregelen uit art. 21 af, maar raakt de meld- en registratieplicht en de eigen verantwoordelijkheid van het bestuur niet. Een bestaand managementsysteem scheelt veel werk, maar vervangt het nalopen van de afzonderlijke plichten niet.
Valt mijn organisatie als toeleverancier onder NIS2?+
Niet alleen daarom. Eronder valt wie zelf aan de sector- en omvangcriteria voldoet. Klanten die er wel onder vallen, geven hun eisen echter contractueel door op grond van art. 21 lid 2 onder d, zodat toeleveranciers de maatregelen feitelijk toch moeten aantonen zonder zelf onder het toezicht te staan.
De eisen aan e-mail afdekken
Vier van de tien maatregelen uit art. 21 raken e-mail rechtstreeks. Conbool dekt ze af met versleuteling, herkenning van dreigingen, een berichtenportaal en sluitende logboeken, gehost in Duitsland.
Deze pagina vat de stand van de wetgeving begrijpelijk samen en vervangt geen juridisch advies. Bepalend is de wettekst in de geldende versie.