NIS 2

De NIS 2-richtlijn vereist dat organisaties in kritieke sectoren robuuste cyberbeveiligingsmaatregelen invoeren. Deze pagina legt uit wat de richtlijn vereist, hoe je controleert of deze op jou van toepassing is en hoe je de beoordeling in Stoïk Protect voltooit.

NIS 2 begrijpen

Wat de richtlijn is

NIS 2 (Richtlijn (EU) 2022/2555) vervangt de eerste NIS-richtlijn van 2016. Zij werd in december 2022 aangenomen, en de lidstaten moesten deze uiterlijk omzetten in nationaal recht op 17 oktober 2024.

Twee dingen veranderden aanzienlijk ten opzichte van NIS 1:

• De reikwijdte werd uitgebreid. Ongeveer 18 sectoren vallen nu onder de richtlijn — 11 zeer kritieke sectoren in bijlage I en 7 andere kritieke sectoren in bijlage II. Duizenden middelgrote en grote organisaties vallen voor het eerst binnen de reikwijdte, samen met overheidsadministraties.

• Het management werd aansprakelijk. Onder Artikel 20, moet het bestuursorgaan de cyberbeveiligingsmaatregelen goedkeuren, toezicht houden op de uitvoering ervan en kan het persoonlijk aansprakelijk worden gesteld. Leidinggevenden moeten ook cyberbeveiligingstraining volgen.

NIS 2 is een richtlijn, geen verordening. Zij bepaalt de doelstellingen; elke lidstaat schrijft zijn eigen wet. Je exacte deadlines, je registratieprocedure en eventuele strengere nationale vereisten komen uit jouw land, niet uit de Europese tekst.

De drie kernverplichtingen

Verplichting	Wat het betekent
Registreer je bij je nationale autoriteit	Zodra is vastgesteld dat je binnen de reikwijdte valt, moet je je entiteit melden bij de bevoegde autoriteit in jouw land
Beheer je cyberrisico	Voer de technische, operationele en organisatorische maatregelen van artikel 21 in
Meld significante incidenten	Meld je autoriteit binnen 24 uur (vroegtijdige waarschuwing), 72 uur (incidentmelding) en één maand (eindrapport)

Niet-naleving stelt je bloot aan administratieve boetes tot €10 miljoen of 2% van de wereldwijde jaaromzet voor essentiële entiteiten, en €7 miljoen of 1,4% voor belangrijke entiteiten — afhankelijk van welk bedrag in elk geval hoger is.

Artikel 21(2): de tien maatregelen

Artikel 21 is het hart van de richtlijn en de basis voor de beoordeling in Stoïk Protect.

Artikel 21(1) stelt het principe vast: maatregelen moeten passend en evenredig, een allesgevarenbenadering, en afgestemd zijn op je omvang, je blootstelling en de ernst van de incidenten die je kunt ondervinden. Van een fabrikant met 60 medewerkers wordt niet verwacht dat die hetzelfde programma opzet als een nationale energieoperator.

Artikel 21(2) somt vervolgens tien minimummmaatregelen op. De tien beoordelingsgebieden:

	Maatregel	Wat de richtlijn vereist
(a)	Risicoanalyse en beveiligingsbeleid voor informatiesystemen	Een gedocumenteerd overzicht van je risico's en schriftelijke beveiligingsbeleidsregels die op het juiste niveau zijn goedgekeurd
(b)	Afhandeling van incidenten	Het vermogen om incidenten te detecteren, te classificeren, erop te reageren en ze te melden
(c)	Bedrijfscontinuïteit	Beheer van back-ups, herstel na calamiteiten en crisisbeheer
(d)	Beveiliging van de toeleveringsketen	Beveiliging in je relaties met directe leveranciers en dienstverleners
(e)	Beveiliging bij verwerving, ontwikkeling en onderhoud	Inclusief omgang met en openbaarmaking van kwetsbaarheden
(f)	De doeltreffendheid van je maatregelen beoordelen	Beleidsregels en procedures om te verifiëren dat wat je hebt ingevoerd daadwerkelijk werkt
(g)	Basispraktijken voor cyberhygiëne en cyberbeveiligingstraining	Voor al het personeel, niet alleen het IT-team
(h)	Cryptografie en versleuteling	Een beleid over waar en hoe versleuteling wordt gebruikt
(i)	HR-beveiliging, toegangscontrole en activabeheer	Inwerk- en uitdiensttredingsprocedures, minste privileges, een inventaris van bedrijfsmiddelen
(j)	MFA en beveiligde communicatie	Multi-factor- of continue authenticatie, veilige spraak-, video- en tekstcommunicatie, noodcommunicatie

De richtlijn noemt bewust thema's, geen controles. Ze vertelt je niet welke EDR je moet kopen, hoe vaak je patches moet installeren, of wat een wachtwoordbeleid moet bevatten. Daarom werkt een beoordeling zoals die in Stoïk Protect op het niveau van concrete acties — die vertaalt elk van de tien thema's naar zaken die je daadwerkelijk kunt bevestigen of invoeren.

Waar meer detail beschikbaar is

Twee bronnen gaan verder dan de richtlijn:

• Uitvoeringsverordening van de Commissie (EU) 2024/2690 stelt gedetailleerde technische en methodologische vereisten vast voor de maatregelen van artikel 21, en de criteria voor wat als een significant incident telt. Zij is van toepassing op specifieke grensoverschrijdende digitale entiteiten: DNS-aanbieders, TLD-registers, cloud- en datacenterproviders, CDN's, managed service- en managed security serviceproviders, online marktplaatsen en zoekmachines, sociale netwerken en aanbieders van vertrouwensdiensten. Als je tot een van die categorieën behoort, is deze verordening je referentie in plaats van je nationale basisniveau.

• Nationale referentiekaders. Lidstaten publiceren hun eigen set maatregelen. In Frankrijk, ANSSI publiceert Référentiel Cyber France (ReCyF), dat de richtlijn uitsplitst in 20 beveiligingsdoelstellingen met afzonderlijke vereisten voor belangrijke en essentiële entiteiten. Deze referentiekaders zijn gedetailleerder dan de tien gebieden en daarop zal een audit gebaseerd zijn.

Stap 1: Geschiktheidscontrole

Open het Naleving tabblad en ga naar de NIS 2 kaart. Drie velden bepalen je resultaat:

Veld	Opties
Activiteitensector	De sectoren die in bijlage I en bijlage II van de richtlijn, plus Geen van bovenstaande
Aantal werknemers	Minder dan 50 · Tussen 50 en 250 · Meer dan 250
Gecombineerde omzet	Minder dan €10 miljoen · Tussen €10 miljoen en €50 miljoen · Meer dan €50 miljoen

Velden die al bekend zijn uit je verzekeringspolis zijn vooraf ingevuld. Je kunt ze op elk moment wijzigen met de Bewerken knop.

Als je sector Digitale infrastructuur of Beheerde ICT-diensten, wordt ook naar je specifieke activiteit gevraagd (DNS-aanbieder, TLD-register, domeinnaamregistrar, aanbieder van vertrouwensdiensten, openbare elektronische communicatie, cloud computing, datacenter, CDN, MSP/MSSP). Sommige van deze activiteiten brengen je ongeacht je omvang binnen de reikwijdte.

Alleen je omzet wordt gevraagd, niet je balanstotaal. De richtlijn past de omvangsgrenzen toe van Aanbeveling 2003/361/EG van de Commissie, waarbij met een van beide rekening wordt gehouden, dus vragen we naar de eenvoudigste van de twee.

Je resultaat begrijpen

	Essentiële entiteit	Belangrijke entiteit	Niet van toepassing
Toezicht	Proactieve audit door de autoriteit	Audit naar aanleiding van een incident	Geen NIS 2-toezicht
Management	Persoonlijke aansprakelijkheid (schorsing uit functie)	Persoonlijke aansprakelijkheid	Geen managementaansprakelijkheid onder NIS 2
Maximale sancties	€10 miljoen of 2% van de wereldwijde omzet — afhankelijk van welk bedrag hoger is	€7 miljoen of 1,4% van de wereldwijde omzet — afhankelijk van welk bedrag hoger is	Geen administratieve sancties onder NIS 2
Melding van incidenten	24 uur / 72 uur / 1 maand	24 uur / 72 uur / 1 maand	Geen meldingsplicht onder NIS 2
Termijnen	Bepaald door de omzetting in jouw land	Bepaald door de omzetting in jouw land	Geen registratietermijn onder NIS 2

Essentiële en belangrijke entiteiten kunnen daarna de volledige beoordeling openen met Voltooi de volledige beoordeling.

De uitkomst is indicatief. Ze is gebaseerd op je sector, je omvang en je digitale activiteit. Ze houdt geen rekening met nationale bijzonderheden zoals een aanwijzing onder de CER-richtlijn, een eerdere status als exploitant van essentiële diensten, of extra sectoren die door jouw lidstaat zijn toegevoegd. Bevestig je definitieve status bij je nationale autoriteit of je juridisch adviseur.

Stap 2: De beoordeling

De beoordeling vertaalt de tien maatregelen van artikel 21(2) naar 40 concrete acties, vier per gebied. Vink aan wat je al hebt ingevoerd.

Gebied	Artikel
Risicoanalyse en beveiligingsbeleid	21(2)(a)
Afhandeling en melding van incidenten	21(2)(b)
Bedrijfscontinuïteit en crisisbeheer	21(2)(c)
Beveiliging van de toeleveringsketen	21(2)(d)
Beveiliging gedurende de hele levenscyclus en omgang met kwetsbaarheden	21(2)(e)
Beoordeling van de doeltreffendheid	21(2)(f)
Cyberhygiëne en training	21(2)(g)
Cryptografie en versleuteling	21(2)(h)
HR-beveiliging, toegangscontrole en bedrijfsmiddelen	21(2)(i)
MFA en beveiligde communicatie	21(2)(j)

Acties die worden gedekt door je Stoïk-tools

Deze vijf acties worden automatisch aangevinkt wanneer de bijbehorende tool actief is:

Actie	Gedekt door
Voer regelmatig kwetsbaarheidsscans uit op interne en externe systemen	External Scan · AD Scan · Cloud Scan
Monitor op gelekte inloggegevens die aan bedrijfsaccounts zijn gekoppeld	Inloggegevens
Voer phishingsimulatiecampagnes uit	Simulatie
Bied regelmatig cybersecuritybewustzijnstraining aan voor al het personeel	Leren
Stel detectietools in om incidenten vroegtijdig op te sporen	Stoïk MDR

Disclaimer

Deze NIS2-tool wordt uitsluitend aangeboden voor algemene informatieve en oriënterende doeleinden. Hij is bedoeld om makelaars en klanten een eerste indicatie te geven of een bedrijf mogelijk binnen de reikwijdte van de NIS2-richtlijn en de daarmee samenhangende verplichtingen valt.

De resultaten die met deze tool worden gegenereerd, zijn gebaseerd op de door de gebruiker verstrekte informatie en op Stoïks huidige interpretatie van de toepasselijke wetgeving, die op nationaal niveau kan veranderen of anders kan worden geïnterpreteerd. De tool vormt geen juridisch advies en mag niet worden beschouwd als vervanging van een gekwalificeerde juridische beoordeling.

Stoïk geeft geen enkele uitdrukkelijke of stilzwijgende verklaring of garantie over de juistheid, volledigheid of actualiteit van de verstrekte informatie of resultaten, en aanvaardt geen aansprakelijkheid voor beslissingen die worden genomen of acties die worden ondernomen op basis van het gebruik van deze tool.

Officiële bronnen

Europese teksten

Bron	Wat het omvat
Richtlijn (EU) 2022/2555	De richtlijn zelf: reikwijdtecriteria (art. 2, 3), managementaansprakelijkheid (art. 20), risicobeheersmaatregelen (art. 21), meldingsverplichtingen (art. 23), sancties (art. 34) en de sectorlijsten (bijlage I en II)
Uitvoeringsverordening van de Commissie (EU) 2024/2690	Gedetailleerde technische vereisten voor artikel 21 en de criteria voor een significant incident, voor grensoverschrijdende digitale entiteiten
Aanbeveling 2003/361/EG van de Commissie	De definitie van micro-, kleine en middelgrote ondernemingen die wordt gebruikt om je omvangscategorie te bepalen
NIS 2-richtlijn — Europese Commissie	Overzicht, FAQ en de stand van de nationale omzettingen
ENISA — NIS-richtlijn	Richtlijnen en technisch implementatiemateriaal van het EU-cyberbeveiligingsagentschap

Nationale autoriteiten

Land	Autoriteit
Frankrijk	ANSSI
Duitsland	BSI
België	Centrum voor Cybersecurity België
Nederland	Digital Trust Center
Spanje	INCIBE

Registratie bij je nationale autoriteit en de termijnen die op jou van toepassing zijn, worden bepaald door de omzetting in jouw land. Controleer de pagina van je nationale autoriteit voor de huidige status.