- NIS2-handhaving is actief. Proactief toezicht op essentiële entiteiten begon begin 2025, en formele sanctiebesluiten zijn openbaar vanaf medio 2025.
- Essentiële entiteiten riskeren boetes tot €10 miljoen of 2% van de wereldwijde jaaromzet. Belangrijke entiteiten tot €7 miljoen of 1,4%. Actuele boetes hangen sterk af van of de organisatie een gedocumenteerd beveiligingsprogramma kan aantonen.
- Persoonlijke aansprakelijkheidsbepalingen van artikel 20 zijn ingevoerd in België en Nederland. CEO's, CISO's en bestuurders kunnen individuele boetes en tijdelijke managementverboden krijgen.
- De vroege waarschuwing van 24 uur is de meest gemiste NIS2-verplichting. De oorzaak is bijna altijd organisatorisch: IT-responsteams remediëren zonder de meldingsketen te activeren.
- Leverancierskettingbeveiligingsverplichtingen worden actief getest bij audits. Autoriteiten zoeken naar bewijs van daadwerkelijke beoordelingen en contractuele vereisten, niet alleen naar beleidsdocumenten.
- Organisaties die incidenten hebben gehad maar een gedocumenteerd risicoprogramma, geteste responsplannen en tijdige melding kunnen aantonen, komen er veel beter vanaf dan organisaties die niets van dit alles kunnen laten zien.
Hoe NIS2-handhaving werkt
NIS2 geeft nationale toezichthoudende autoriteiten twee sporen. Proactief toezicht omvat audits, beveiligingsbeoordelingen en inspecties die autoriteiten kunnen initiëren zonder een triggerende gebeurtenis. Reactieve handhaving wordt getriggerd door een gemeld incident, een klacht of informatie van een andere autoriteit. Beide sporen kunnen leiden tot correctieve bevelen en financiële sancties.
De classificatie van uw organisatie bepaalt hoe intensief het toezicht is. Essentiële entiteiten in energie, transport, bankwezen, financiële marktinfrastructuur, gezondheidszorg, drinkwater, afvalwater, digitale infrastructuur, ICT-dienstverlening, overheid en ruimtevaart vallen onder het zwaarste regime: ex-ante toezicht dat geen incident als trigger vereist. Belangrijke entiteiten vallen onder ex-post toezicht, primair getriggerd door incidenten of klachten, maar zijn nog altijd onderworpen aan hetzelfde boetekader.
In Nederland coördineert het NCSC-NL met sectorale toezichthouders: De Nederlandsche Bank voor banken, ACM voor telecomunicatie, de NVWA voor de voedselketen. In Duitsland is het de BSI (Bundesamt für Sicherheit in der Informationstechnik). In België het CCB (Centre for Cybersecurity Belgium). In Frankrijk ANSSI.
Wat een onderzoek triggert
Een gemeld incident is de meest voorkomende trigger. Onder NIS2 moeten entiteiten binnen 24 uur na kennisname van een significant incident een vroege waarschuwing indienen bij hun autoriteit, binnen 72 uur een volledige melding, en binnen een maand een eindrapport. Niet tijdig melden, inadequate incidentrespons zichtbaar in de melding, of discrepanties tussen het verhaal van de entiteit en informatie die de autoriteit uit andere bronnen heeft, triggeren allemaal vervolgonderzoeken. Autoriteiten starten ook onderzoeken op basis van intelligence die wordt gedeeld via het EU-CyCLONe-netwerk.
Het boetekader
Maximumboetes zijn precies dat: maxima. Werkelijke sancties hangen af van verzwarende en verzachtende factoren: de ernst en duur van de overtreding, of die het gevolg was van nalatigheid of opzettelijk wangedrag, de medewerking van de organisatie aan de autoriteit, of de overtreding zelf is gemeld of door de autoriteit is ontdekt, en of de organisatie een aantoonbaar beveiligingsprogramma had. Een organisatie die het slachtoffer werd van een geavanceerde aanval maar een gedocumenteerd risicobeheerplan, geteste incidentrespons en tijdige melding kan tonen, wordt heel anders behandeld dan een organisatie die niets van dit alles kan aantonen.
Persoonlijke aansprakelijkheid onder artikel 20 is de meest ingrijpende afwijking van het AVG-model. Lidstaten kunnen individuele leden van managementorganen (CEO's, bestuurders, CISO's) persoonlijk aansprakelijk stellen voor NIS2-inbreuken. België en Nederland hebben allebei persoonlijke aansprakelijkheidsbepalingen ingevoerd in hun nationale implementatiewetgeving. Dit kan de vorm aannemen van persoonlijke boetes, tijdelijke verboden om managementfuncties te bekleden, of verplichte publieke bekendmaking van bevindingen. Artikel 20 vereist ook dat managementorganen cyberbeveiligingsrisicomaatregelen goedkeuren en dat hun leden een cyberbeveiligingsopleiding volgen. Dit zijn afdwingbare verplichtingen.
Wat de vroege handhavingsacties onthullen
Meldingshiaten zijn de primaire trigger
Niet voldoen aan meldingstermijnen is de meest voorkomende basis voor vroege handhavingsacties. Het meest voorkomende patroon: een organisatie ervaart een incident, beheert de respons intern, en beoordeelt het incident als onder de grens van "significant" zonder juridisch of regulatoir advies. De autoriteit is het later niet eens met die beoordeling. De vroege waarschuwing van 24 uur wordt het vaakst gemist, vaak omdat IT-responsteams beginnen met remediëren zonder de meldingsketen te activeren. Tegen de tijd dat compliance-functies erbij worden betrokken, is het venster al gesloten.
Leverancierskettingverplichtingen worden actief getest
NIS2 vereist dat organisaties de cyberbeveiligingsrisico's van hun leveranciers en dienstverleners beoordelen en beheren. Vroege auditbevindingen onthullen een consistent patroon: leveranciersrisicobeheersbeleid bestaat op papier, maar er zijn geen daadwerkelijke beoordelingen uitgevoerd, leveranciersovereenkomsten bevatten geen beveiligingsvereisten, en niemand bewaakt de beveiligingshouding van kritieke leveranciers. Autoriteiten onderscheiden beleidsdocumentatie van bewijs van implementatie, en vinden dat laatste in veel gevallen afwezig.
Governancedocumentatie wordt onderzocht
NIS2 vereist toezicht op bestuursniveau op cyberbeveiligingsrisicobeheer. In vroege handhavingszaken falen besturen die een informatiebeveiligingsbeleid op papier hebben goedgekeurd maar geen risicoregister, geen notulen van beveiligingsbesprekingen, en geen opleidingsregisters bijhouden. De documentatie van governance wordt behandeld als bewijs van governance. Afwezigheid van documentatie is afwezigheid van compliance. Autoriteiten vragen specifiek om bestuursnotulen en risicoregisterinvoeren als onderdeel van toezichtsvragenlijsten.
Basistechnische controles zijn een minimumlat
Autoriteiten controleren op fundamentele hygiënecontroles: multi-factor authenticatie op beheerdersaccounts en externe toegang, versleuteling van data in rust en transit, gedocumenteerde patchbeheerprocessen met bewijs van implementatie, en bedrijfscontinuiteits- en calamiteitenplannen die zijn getest. Organisaties die deze controles missen en vervolgens een incident ondervinden, krijgen aanzienlijk hogere boetes dan organisaties met een aantoonbaar programma die slachtoffer werden van een geavanceerde aanval buiten hun redelijke controle.
Toezichthouders zoeken niet naar perfecte beveiliging. Ze zoeken naar bewijs van een proportioneel risicobeheerplan: een gedocumenteerde risicobeoordeling, geïmplementeerde maatregelen die bij die risico's passen, een getest incidentresponsproces, en een bestuur dat kan aantonen dat het betrokken is geweest bij cyberbeveiligingsrisico's. Organisaties die dit bewijs kunnen leveren, ook die een significant incident hebben gehad, komen er aanzienlijk beter van af dan organisaties die dat niet kunnen.
De meldingsval
De vroege waarschuwing van 24 uur is de meest gemiste verplichting. Het probleem is organisatorisch, niet technisch: IT-teams detecteren en reageren op incidenten zonder de juridische en compliance-functies te informeren die de meldingsverplichting dragen. Tegen de tijd dat de vraag naar regulatoire melding intern wordt gesteld, is het venster van 24 uur al gesloten.
De definitie van een significant incident onder NIS2 is ruim. Toezichthouders hebben dit zo uitgelegd: ransomware-aanvallen die productiesystemen versleutelen, ook al zijn ze binnen uren hersteld; gegevensexfiltratie die persoonlijke, commerciële of operationele data treft, ongeacht de impact op de beschikbaarheid van diensten; langdurige onbeschikbaarheid van diensten gemeten in uren; en incidenten waarbij de systemen van de entiteit worden gebruikt om andere organisaties aan te vallen.
Meld vroeg en werk bij. Een vroege waarschuwing hoeft niet volledig te zijn. Artikel 23 vereist slechts dat het de plaatsgevonden hebt van het incident en de aard ervan vaststelt. Aanvullende details volgen in de 72-uur-volledige-melding en het maandelijkse eindrapport. Te veel melden brengt vrijwel geen regulatoir risico met zich mee. Niet melden vanwege onzekerheid over de ernst brengt aanzienlijk risico met zich mee.
Organisaties die de incidentrespons correct uitvoeren maar juridische en compliance-functies niet erbij betrekken, creëren regulatoire blootstelling. Het incidentresponsplan moet rechtstreeks aansluiten op het meldingsproces: op het moment dat een P1- of P2-incident wordt uitgeroepen, moeten juridisch en compliance binnen de eerste twee uur worden ingelicht. Dit in het draaiboek inbouwen is niet optioneel.
Wat compliance-teams nu moeten prioriteren
Het venster om een NIS2-programma op te bouwen vóór handhaving is gesloten. Toezichthouders vragen nu of u proportioneel beveiligingsrisicobeheer kunt aantonen. Dat antwoord bepaalt of u een correctief bevel of een substantiële boete ontvangt.
- Bevestig uw classificatie in elke relevante lidstaat: verifieer of u wordt geclassificeerd als essentiële of belangrijke entiteit onder de nationale implementatiewetgeving in elk EU-land waar u actief bent. Classificatie bepaalt zowel de diepte van uw verplichtingen als het toepasselijke boeteplafond. Zelfregistratievereisten variëren per rechtsgebied: Nederland vereiste registratie voor medio 2025; Duitsland en België hebben hun eigen tijdschema's.
- Breng uw meldingsketen in kaart en test deze: identificeer de persoon die verantwoordelijk is voor het indienen van de vroege waarschuwing van 24 uur in elk relevant rechtsgebied. Zorg dat uw incidentresponsplan de compliance-meldingsketen automatisch triggert wanneer een groot incident wordt uitgeroepen, niet nadat de technische respons is afgerond. Voer een tafelsessie uit die specifiek test of de keten op tijd functioneert.
- Documenteer uw risicobeoordeling: NIS2 vereist proportionele beveiligingsmaatregelen op basis van een formele risicobeoordeling. Als u geen gedocumenteerde risicobeoordeling heeft die geïdentificeerde risico's koppelt aan geïmplementeerde maatregelen, is dit de hoogst prioritaire hiaat in uw programma. Autoriteiten vragen ernaar in initiële toezichtvragenlijsten.
- Bewijs uw leverancierskettingbeveiliging: bekijk leverancierscontracten op cyberbeveiligingsvereisten. Voer beveiligingsbeoordelingen uit voor uw kritieke en hoogrisico-leveranciers. Bewaar het bewijs van beide. Een beleid dat verwijst naar leverancierskettingbeveiliging zonder bewijs van implementatie is een bevinding bij toezichtaudits.
- Documenteer bestuursopleiding en betrokkenheid: artikel 20 vereist dat leden van het managementorgaan een cyberbeveiligingsopleiding volgen. Een sessie van 90 minuten door een onafhankelijk consultant, met getekende aanwezigheidsregisters, voldoet aan deze verplichting voor de meeste autoriteiten. Plan en documenteer dit. Dit is een van de snelst te dichten hiaten, en het adresseert direct de persoonlijke aansprakelijkheidsblootstelling.
- Test uw incidentresponsplan: een ongedocumenteerd of ongetest plan is geen plan in de ogen van een toezichthouder. Voer een tafelsessie uit met IT, juridisch, compliance, communicatie en ten minste één senior leidinggevende. Documenteer de sessie, de bevindingen en de acties. Dit bewijs wordt specifiek gevraagd in toezichtvragenlijsten.
- Stel een regulatoir bewakingsproces in: NIS2-implementatiewetgeving, sectorgidsen en publicaties van toezichthoudende autoriteiten blijven zich ontwikkelen. Wijs een specifieke persoon aan om updates bij te houden en zorg dat uw programma de actuele verplichtingen weerspiegelt. Nationale autoriteiten publiceren sectorspecifieke gidsen en handhavingssamenvattingen die precies laten zien waar hun aandacht naar uitgaat.
Ryland leidt cybersecurity-, compliance- en IT-beheertrajecten voor gereguleerde organisaties in het VK en Nederland met meer dan 20 jaar ervaring, inclusief senior functies bij Microsoft, ING, IPsoft, PPHE en meer. Volledig profiel