> For the complete documentation index, see [llms.txt](https://docs.stoik.io/llms.txt). Markdown versions of documentation pages are available by appending `.md` to page URLs; this page is available as [Markdown](https://docs.stoik.io/help/help-nl/onboarding/compliance/nis-2.md).

# NIS 2

De NIS 2-richtlijn vereist dat organisaties in kritieke sectoren robuuste cyberbeveiligingsmaatregelen treffen. Deze pagina legt uit wat de richtlijn vereist, hoe u controleert of deze op u van toepassing is, en hoe u de beoordeling in Stoïk Protect voltooit.

## NIS 2 begrijpen

### Wat de richtlijn is

NIS 2 ([Richtlijn (EU) 2022/2555](https://eur-lex.europa.eu/eli/dir/2022/2555/oj)) vervangt de eerste NIS-richtlijn van 2016. Ze werd aangenomen in december 2022, en de lidstaten moesten haar uiterlijk **17 oktober 2024**.

Twee zaken zijn aanzienlijk veranderd ten opzichte van NIS 1:

* **De reikwijdte is uitgebreid.** Ongeveer **18 sectoren** vallen nu onder de richtlijn: 11 zeer kritieke sectoren in bijlage I en 7 andere kritieke sectoren in bijlage II. Duizenden middelgrote en grote organisaties vallen voor het eerst binnen de reikwijdte, samen met overheidsdiensten.
* **Het management werd verantwoordelijk.** Op grond van [artikel 20](https://eur-lex.europa.eu/eli/dir/2022/2555/oj)moet het bestuursorgaan de cyberbeveiligingsmaatregelen goedkeuren, toezicht houden op de uitvoering ervan en kan het persoonlijk aansprakelijk worden gesteld. Leidinggevenden moeten ook cyberbeveiligingstraining volgen.

{% hint style="info" %}
NIS 2 is een **richtlijn**, geen verordening. Zij stelt de doelstellingen vast; elke lidstaat schrijft zijn eigen wet. Uw exacte termijnen, uw registratieprocedure en eventuele strengere nationale vereisten komen uit uw land, niet uit de Europese tekst.
{% endhint %}

### De drie kernverplichtingen

<table><thead><tr><th width="242.62109375">Verplichting</th><th>Wat het betekent</th></tr></thead><tbody><tr><td><strong>Registreren bij uw nationale autoriteit</strong></td><td>Zodra u hebt vastgesteld dat u binnen de reikwijdte valt, moet u uw entiteit melden bij de bevoegde autoriteit in uw land</td></tr><tr><td><strong>Uw cyberrisico beheren</strong></td><td>Tref de technische, operationele en organisatorische maatregelen van artikel 21</td></tr><tr><td><strong>Meld significante incidenten</strong></td><td>Breng uw autoriteit op de hoogte binnen <strong>24 uur</strong> (vroege waarschuwing), <strong>72 uur</strong> (incidentmelding) en <strong>één maand</strong> (eindrapport)</td></tr></tbody></table>

Niet-naleving stelt u bloot aan administratieve boetes tot **€10 miljoen of 2% van de wereldwijde jaaromzet** voor essentiële entiteiten, en **€7 miljoen of 1,4%** voor belangrijke entiteiten, afhankelijk van wat in elk geval het hoogst is.

### Artikel 21(2): de tien maatregelen

Artikel 21 is het hart van de richtlijn, en de basis voor de beoordeling in Stoïk Protect.

[Artikel 21(1)](https://eur-lex.europa.eu/eli/dir/2022/2555/oj) stelt het principe vast: maatregelen moeten **passend en evenredig zijn**, een **allesomvattende benadering**volgen en afgestemd zijn op uw omvang, uw blootstelling en de ernst van de incidenten die u kunt ondervinden. Van een fabrikant met 60 werknemers wordt niet verwacht dat hij hetzelfde programma opzet als een nationale energiebeheerder.

[Artikel 21(2)](https://eur-lex.europa.eu/eli/dir/2022/2555/oj) somt vervolgens tien minimummmaatregelen op. De tien gebieden van de beoordeling:

<table><thead><tr><th width="77.8984375"></th><th width="282.796875">Maatregel</th><th>Wat de richtlijn vereist</th></tr></thead><tbody><tr><td><strong>(a)</strong></td><td>Risicoanalyse en beveiligingsbeleid voor informatiesystemen</td><td>Een gedocumenteerd beeld van uw risico’s en schriftelijk beveiligingsbeleid dat op het juiste niveau is goedgekeurd</td></tr><tr><td><strong>(b)</strong></td><td>Afhandeling van incidenten</td><td>Het vermogen om incidenten te detecteren, te classificeren, erop te reageren en ze te melden</td></tr><tr><td><strong>(c)</strong></td><td>Bedrijfscontinuïteit</td><td>Back-upbeheer, herstel na rampen en crisisbeheer</td></tr><tr><td><strong>(d)</strong></td><td>Beveiliging van de toeleveringsketen</td><td>Beveiliging in uw relaties met directe leveranciers en dienstverleners</td></tr><tr><td><strong>(e)</strong></td><td>Beveiliging bij aanschaf, ontwikkeling en onderhoud</td><td>Inclusief kwetsbaarheidsafhandeling en openbaarmaking</td></tr><tr><td><strong>(f)</strong></td><td>Beoordelen van de doeltreffendheid van uw maatregelen</td><td>Beleid en procedures om te verifiëren dat wat u hebt ingesteld ook daadwerkelijk werkt</td></tr><tr><td><strong>(g)</strong></td><td>Basispraktijken voor cyberhygiëne en cyberbeveiligingstraining</td><td>Voor al het personeel, niet alleen voor het IT-team</td></tr><tr><td><strong>(h)</strong></td><td>Cryptografie en versleuteling</td><td>Een beleid over waar en hoe versleuteling wordt gebruikt</td></tr><tr><td><strong>(i)</strong></td><td>HR-beveiliging, toegangscontrole en activabeheer</td><td>Onboarding en offboarding, minste privilege, een activainventaris</td></tr><tr><td><strong>(j)</strong></td><td>MFA en beveiligde communicatie</td><td>Authenticatie met meerdere factoren of continue authenticatie, beveiligde spraak, video en tekst, noodcommunicatie</td></tr></tbody></table>

{% hint style="warning" %}
De richtlijn noemt bewust **thema’s, geen controls**. Ze zegt niet welke EDR u moet kopen, hoe vaak u moet patchen of wat een wachtwoordbeleid moet bevatten. Daarom werkt een beoordeling zoals die in Stoïk Protect op het niveau van concrete acties: ze vertaalt elk van de tien thema’s naar zaken die u daadwerkelijk kunt bevestigen of invoeren.
{% endhint %}

### Waar meer detail bestaat

Twee bronnen gaan verder dan de richtlijn:

* [**Uitvoeringsverordening van de Commissie (EU) 2024/2690**](https://eur-lex.europa.eu/eli/reg_impl/2024/2690/oj) stelt gedetailleerde technische en methodologische vereisten vast voor de maatregelen van artikel 21, en de criteria voor wat als een significant incident geldt. Zij is van toepassing op specifieke grensoverschrijdende digitale entiteiten: dns-aanbieders, tld-registers, cloud- en datacenterproviders, cdn’s, managed service- en managed security service-providers, online marktplaatsen en zoekmachines, sociale netwerken en trustdienstverleners. Als u een van die partijen bent, is deze verordening uw referentie in plaats van uw nationale basisnorm.
* **Nationale referentiekaders.** Lidstaten publiceren hun eigen set maatregelen. In Frankrijk [publiceert ANSSI](https://cyber.gouv.fr/reglementation/cybersecurite-systemes-dinformation/directives-nis-nis2-et-dispositif-saiv/directive-nis-2/) het *Référentiel Cyber France* (ReCyF), dat de richtlijn opsplitst in 20 beveiligingsdoelstellingen met afzonderlijke vereisten voor belangrijke en essentiële entiteiten. Deze referentiekaders zijn gedetailleerder dan de tien gebieden, en daarop zal een audit zijn gebaseerd.

## Stap 1: Geschiktheidscontrole

Open het tabblad **Naleving** en ga naar de **NIS 2** kaart. Drie velden bepalen uw resultaat:

<table><thead><tr><th width="198.828125">Veld</th><th>Opties</th></tr></thead><tbody><tr><td><strong>Activiteitssector</strong></td><td>De sectoren vermeld in bijlage I en bijlage II van <a href="https://eur-lex.europa.eu/eli/dir/2022/2555/oj">de richtlijn</a>, plus <em>Geen van bovenstaande</em></td></tr><tr><td><strong>Aantal werknemers</strong></td><td>Minder dan 50 · Tussen 50 en 250 · Meer dan 250</td></tr><tr><td><strong>Geaggregeerde omzet</strong></td><td>Minder dan €10 miljoen · Tussen €10 miljoen en €50 miljoen · Meer dan €50 miljoen</td></tr></tbody></table>

Velden die al bekend zijn uit uw verzekeringscontract zijn vooraf ingevuld. U kunt ze op elk moment wijzigen met de knop **Bewerken** .

Als uw sector **Digitale infrastructuur** of **Beheerde ICT-diensten**is, wordt u ook gevraagd naar uw specifieke activiteit (DNS-provider, TLD-register, domeinnaamregistrar, trustdienstverlener, openbare elektronische communicatie, cloudcomputing, datacenter, cdn, MSP/MSSP). Sommige van deze activiteiten brengen u ongeacht uw omvang binnen de reikwijdte.

{% hint style="info" %}
Alleen uw omzet wordt gevraagd, niet uw balanstotaal. De richtlijn past de omvangsdrempels van [Aanbeveling 2003/361/EG van de Commissie](https://eur-lex.europa.eu/eli/reco/2003/361/oj)toe, die op beide kijkt, dus we vragen om de eenvoudigste van de twee.
{% endhint %}

### Uw resultaat begrijpen

|                       | Essentiële entiteit                                                           | Belangrijke entiteit                                                           | Niet van toepassing                    |
| --------------------- | ----------------------------------------------------------------------------- | ------------------------------------------------------------------------------ | -------------------------------------- |
| **Toezicht**          | Proactieve audit door de autoriteit                                           | Audit geactiveerd na een incident                                              | Geen NIS 2-toezicht                    |
| **Management**        | Persoonlijke aansprakelijkheid (schorsing uit functie)                        | Persoonlijke aansprakelijkheid                                                 | Geen NIS 2-managementaansprakelijkheid |
| **Maximale sancties** | €10 miljoen of 2% van de wereldwijde omzet, afhankelijk van wat het hoogst is | €7 miljoen of 1,4% van de wereldwijde omzet, afhankelijk van wat het hoogst is | Geen administratieve NIS 2-sancties    |
| **Incidentmelding**   | 24u / 72u / 1 maand                                                           | 24u / 72u / 1 maand                                                            | Geen meldplicht onder NIS 2            |
| **Termijnen**         | Bepaald door de omzetting in uw land                                          | Bepaald door de omzetting in uw land                                           | Geen NIS 2-registratietermijn          |

Essentiële en belangrijke entiteiten kunnen vervolgens de volledige beoordeling openen met **Voltooi de volledige beoordeling**.

{% hint style="warning" %}
Het resultaat is indicatief. Het is gebaseerd op uw sector, uw omvang en uw digitale activiteit. Het houdt geen rekening met nationale bijzonderheden zoals een aanwijzing op grond van de CER-richtlijn, een eerdere status als operator van essentiële diensten, of aanvullende sectoren die door uw lidstaat zijn toegevoegd. Bevestig uw definitieve status bij uw nationale autoriteit of uw juridisch adviseur.
{% endhint %}

## Stap 2: De beoordeling

De beoordeling vertaalt de tien maatregelen van artikel 21(2) naar **40 concrete acties**, vier per gebied. Vink aan wat u al hebt geïmplementeerd.

| Gebied                                                       | Artikel  |
| ------------------------------------------------------------ | -------- |
| Risicoanalyse en beveiligingsbeleid                          | 21(2)(a) |
| Incidentafhandeling en melding                               | 21(2)(b) |
| Bedrijfscontinuïteit en crisisbeheer                         | 21(2)(c) |
| Beveiliging van de toeleveringsketen                         | 21(2)(d) |
| Beveiliging van de levenscyclus en kwetsbaarheidsafhandeling | 21(2)(e) |
| Beoordeling van de doeltreffendheid                          | 21(2)(f) |
| Cyberhygiëne en training                                     | 21(2)(g) |
| Cryptografie en versleuteling                                | 21(2)(h) |
| HR-beveiliging, toegangscontrole en activa                   | 21(2)(i) |
| MFA en beveiligde communicatie                               | 21(2)(j) |

### Acties gedekt door uw Stoïk-tools

Deze vijf acties worden automatisch aangevinkt wanneer de bijbehorende tool actief is:

| Actie                                                                         | Gedekt door                          |
| ----------------------------------------------------------------------------- | ------------------------------------ |
| Voer regelmatig kwetsbaarheidsscans uit op interne en externe systemen        | External Scan · AD Scan · Cloud Scan |
| Controleer op gelekte inloggegevens die aan bedrijfsaccounts zijn gekoppeld   | Credentials                          |
| Voer phishing-simulatiecampagnes uit                                          | Simulatie                            |
| Rol regelmatig cyberbeveiligingsbewustzijnstraining uit voor al het personeel | Leren                                |
| Stel detectietools in om incidenten vroegtijdig op te sporen                  | Stoïk MDR                            |

{% hint style="info" icon="eye" %}
**Disclaimer**<br>

Deze NIS2-tool wordt uitsluitend aangeboden voor algemene informatie- en oriëntatiedoeleinden. Hij is bedoeld om makelaars en klanten een voorlopige indicatie te geven of een bedrijf mogelijk onder de reikwijdte van de NIS2-richtlijn en de daaraan verbonden verplichtingen valt.<br>

De door deze tool gegenereerde resultaten zijn gebaseerd op de door de gebruiker verstrekte informatie en op Stoïk’s huidige begrip van de toepasselijke wetgeving, die op nationaal niveau aan verandering of verschillende interpretatie kan onderhevig zijn. De tool vormt geen juridisch advies en mag niet worden gebruikt als vervanging voor een gekwalificeerde juridische beoordeling.<br>

Stoïk geeft geen enkele verklaring of garantie, expliciet of impliciet, omtrent de juistheid, volledigheid of actualiteit van de verstrekte informatie of resultaten, en aanvaardt geen aansprakelijkheid voor beslissingen die worden genomen of handelingen die worden verricht op basis van het gebruik van deze tool.
{% endhint %}

## Officiële bronnen

### Europese teksten

| Bron                                                                                                          | Waar het betrekking op heeft                                                                                                                                                                                                           |
| ------------------------------------------------------------------------------------------------------------- | -------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------- |
| [Richtlijn (EU) 2022/2555](https://eur-lex.europa.eu/eli/dir/2022/2555/oj)                                    | De richtlijn zelf: criteria voor de reikwijdte (art. 2, 3), managementaansprakelijkheid (art. 20), maatregelen voor risicobeheer (art. 21), meldingsverplichtingen (art. 23), sancties (art. 34) en de sectorlijsten (bijlage I en II) |
| [Uitvoeringsverordening van de Commissie (EU) 2024/2690](https://eur-lex.europa.eu/eli/reg_impl/2024/2690/oj) | Gedetailleerde technische vereisten voor artikel 21, en de criteria voor een significant incident, voor grensoverschrijdende digitale entiteiten                                                                                       |
| [Aanbeveling 2003/361/EG van de Commissie](https://eur-lex.europa.eu/eli/reco/2003/361/oj)                    | De definitie van micro-, kleine en middelgrote ondernemingen die wordt gebruikt om uw omvangscategorie te bepalen                                                                                                                      |
| [NIS 2-richtlijn: Europese Commissie](https://digital-strategy.ec.europa.eu/en/policies/nis2-directive)       | Overzicht, FAQ en de stand van de nationale omzettingen                                                                                                                                                                                |
| [ENISA: NIS-richtlijn](https://www.enisa.europa.eu/topics/nis-directive)                                      | Richtsnoeren en technisch implementatiemateriaal van het EU-cyberbeveiligingsagentschap                                                                                                                                                |

### Nationale autoriteiten

<table><thead><tr><th width="163.39453125">Land</th><th>Autoriteit</th></tr></thead><tbody><tr><td>Frankrijk</td><td><a href="https://cyber.gouv.fr/reglementation/cybersecurite-systemes-dinformation/directives-nis-nis2-et-dispositif-saiv/directive-nis-2/">publiceert ANSSI</a></td></tr><tr><td>Duitsland</td><td><a href="https://www.bsi.bund.de/">BSI</a></td></tr><tr><td>België</td><td><a href="https://ccb.belgium.be/">Centrum voor Cybersecurity België</a></td></tr><tr><td>Nederland</td><td><a href="https://www.digitaltrustcenter.nl/">Digital Trust Center</a></td></tr><tr><td>Spanje</td><td><a href="https://www.incibe.es/">INCIBE</a></td></tr></tbody></table>

{% hint style="info" %}
Registratie bij uw nationale autoriteit en de termijnen die voor u gelden, worden bepaald door de omzetting in uw land. Controleer de pagina van uw nationale autoriteit voor de actuele status.
{% endhint %}


---

# Agent Instructions
This documentation is published with GitBook. GitBook is the documentation platform designed so that both humans and AI agents can read, navigate, and reason over technical content effectively. Learn more at gitbook.com.

## Querying This Documentation
If you need additional information that is not directly available in this page, you can query the documentation by asking a question.

Perform an HTTP GET request on the following URL with the `ask` and `goal` query parameters:

```
GET https://docs.stoik.io/help/help-nl/onboarding/compliance/nis-2.md?ask=<question>&goal=<user_goal>
```

`ask` is the immediate question: it should be specific, self-contained, and written in natural language.
`goal` is what the user is ultimately trying to achieve, the reason they need the answer. Sharing it helps GitBook give you a better, more relevant answer. A goal is most helpful when it describes the outcome the user wants rather than restating the question. For example, with `ask=how do I create an API token`, a goal like `automate deployments from our CI pipeline` lets GitBook tailor the answer to that use case.

The response will contain a direct answer to the question and relevant excerpts and sources from the documentation.

Use this mechanism when the answer is not explicitly present in the current page, you need clarification or additional context, or you want to retrieve related documentation sections.