De boetes voor niet-naleving van NIS2 kunnen oplopen tot €10 miljoen of 2% van de wereldwijde jaaromzet, afhankelijk van welk bedrag hoger uitvalt. Dit geldt voor zogenoemde essentiële entiteiten. Voor belangrijke entiteiten ligt het maximum op €7 miljoen of 1,4% van de wereldwijde omzet. In Nederland wordt NIS2 vastgelegd in de Cyberbeveiligingswet, die naar verwachting medio 2026 van kracht wordt. Hieronder beantwoorden we de meest gestelde vragen over sancties, aansprakelijkheid en wat compliance u in de praktijk kost.
Op wie zijn de NIS2-boetes van toepassing?
De NIS2-boetes zijn van toepassing op organisaties in sectoren die de Europese wetgever als kritiek beschouwt. Denk aan zorg, transport, voedselproductie, maakindustrie, drinkwater, digitale infrastructuur en afvalbeheer. Bedrijven met meer dan 50 medewerkers of een jaaromzet boven €10 miljoen in deze sectoren vallen in principe onder de richtlijn.
De richtlijn maakt onderscheid tussen twee categorieën. Essentiële entiteiten zijn de grootste en meest kritieke organisaties, zoals grote ziekenhuizen, energiebedrijven en aanbieders van digitale infrastructuur. Belangrijke entiteiten zijn middelgrote organisaties in dezelfde sectoren, inclusief veel MKB-bedrijven. Beide categorieën zijn verplicht om maatregelen te treffen, maar de maximale boetes en het toezichtregime verschillen.
Een complicerende factor is de ketenverantwoordelijkheid. Ook als uw eigen organisatie net buiten de directe scope valt, kunnen uw opdrachtgevers u verplichten om NIS2-compliance aan te tonen als voorwaarde voor samenwerking. Wie levert aan een essentiële entiteit, merkt dit al tijdens contractonderhandelingen.
Hoe hoog zijn de NIS2-boetes precies?
| Afspraak maken |
Voor essentiële entiteiten bedraagt de maximale boete €10 miljoen of 2% van de wereldwijde jaaromzet, waarbij het hoogste bedrag van toepassing is. Voor belangrijke entiteiten geldt een maximum van €7 miljoen of 1,4% van de wereldwijde omzet. Deze bedragen zijn maxima; toezichthouders kunnen ook lagere boetes opleggen, afhankelijk van de ernst van de overtreding.
Ter vergelijking: bij de AVG geldt een maximum van €20 miljoen of 4% van de wereldwijde omzet voor de zwaarste overtredingen. NIS2-boetes liggen lager, maar zijn voor een middelgroot bedrijf nog altijd existentieel. Een bedrijf met een jaaromzet van €5 miljoen riskeert bij een ernstige overtreding een boete van €7 miljoen, wat het maximumbedrag overstijgt ten opzichte van de omzet.
Belangrijk om te weten: de boete is niet alleen gekoppeld aan een datalek of aanval. Toezichthouders kunnen ook sanctioneren als u geen aantoonbaar risicobeheersingsbeleid hebt, geen incidentmeldingsprocedure hebt ingericht of een incident niet tijdig meldt. Met andere woorden: ook zonder dat er iets misgaat, kunt u beboet worden als de documentatie en processen niet op orde zijn.
Wat is de persoonlijke aansprakelijkheid van bestuurders onder NIS2?
NIS2 legt de verantwoordelijkheid voor cybersecurity expliciet bij het management van de organisatie, niet bij de IT-afdeling. Bestuurders zijn verplicht om kennis te nemen van de risicobeheersingsmaatregelen, deze goed te keuren en toe te zien op de uitvoering. Als zij dit nalaten, kunnen zij persoonlijk aansprakelijk worden gesteld.
In de praktijk betekent dit dat een directeur of bestuurslid niet kan terugvallen op de redenering dat “de IT-afdeling daarvoor verantwoordelijk is.” De richtlijn vereist actieve betrokkenheid van het management bij het cybersecuritybeleid. Bij ernstige nalatigheid kan een toezichthouder besluiten een bestuurder tijdelijk te verbieden leidinggevende functies te vervullen binnen de organisatie.
Dit onderscheidt NIS2 fundamenteel van eerdere wetgeving. Cybersecurity is geen technische bijzaak meer, maar een bestuursverantwoordelijkheid. Voor directeuren en MT-leden van MKB-bedrijven zonder eigen compliance-afdeling is dit een van de meest ingrijpende aspecten van de nieuwe wet.
Welke andere sancties bestaan er naast geldboetes?
Naast financiële boetes beschikken toezichthouders over een breed sanctie-instrumentarium. Ze kunnen organisaties verplichten om specifieke maatregelen te treffen binnen een bepaalde termijn, audits opleggen, of publiekelijk bekendmaken dat een organisatie niet compliant is. Die laatste maatregel, openbare bekendmaking, is voor veel bedrijven minstens zo schadelijk als een boete.
Andere mogelijke sancties zijn:
- Verplichte beveiligingsaudits op kosten van de organisatie zelf
- Aanwijzingen om bepaalde diensten of systemen tijdelijk te staken
- Tijdelijk verbod voor bestuurders om leidinggevende functies uit te oefenen
- Verplichte melding aan klanten of partners over een incident of overtreding
De reputatieschade die ontstaat door een publieke aanwijzing of verplichte klantmelding kan voor een MKB-bedrijf groter zijn dan de financiële sanctie zelf. Opdrachtgevers in de keten zullen compliance steeds vaker als contractvereiste stellen, en een publieke overtreding maakt die positie onhoudbaar.
Wanneer wordt een NIS2-boete daadwerkelijk opgelegd?
Een NIS2-boete wordt opgelegd wanneer een organisatie aantoonbaar tekortschiet in haar verplichtingen. Dit kan het gevolg zijn van een incident waarbij blijkt dat de beveiligingsmaatregelen onvoldoende waren, maar ook van een proactieve audit of inspectie door de toezichthouder waarbij gebreken aan het licht komen.
Toezichthouders kijken bij het bepalen van de sanctie naar meerdere factoren:
- De ernst en duur van de overtreding
- Of de organisatie aantoonbaar heeft geprobeerd compliant te worden
- Of er sprake was van opzet of grove nalatigheid
- De omvang van de schade voor gebruikers of andere organisaties
- Of er eerder overtredingen zijn geconstateerd
Een organisatie die een gedocumenteerde nulmeting heeft uitgevoerd, een beveiligingsbeleid heeft opgesteld en aantoonbaar werkt aan verbetering, staat er bij een toezichtsbezoek fundamenteel anders voor dan een organisatie die niets heeft gedaan. Het gaat niet om perfectie, maar om aantoonbare inspanning en een gestructureerde aanpak.
Wat kost NIS2-compliance vergeleken met de boetes?
| Afspraak maken |
De kosten van NIS2-compliance zijn voor de meeste MKB-bedrijven aanzienlijk lager dan de potentiële boetes. Een gestructureerde aanpak, gebaseerd op een erkend raamwerk zoals ISO 27001, omvat een nulmeting, technische basismaatregelen en organisatorische processen. Dat is een eenmalige investering plus doorlopende beheerkosten, maar die staan in geen verhouding tot een boete van miljoenen euro’s of verlies van klantcontracten.
De kostencomponenten van compliance zijn globaal in te delen in drie categorieën. Ten eerste de technische maatregelen: denk aan een security baseline, endpoint protection, netwerksegmentatie en back-upbeleid. Ten tweede de organisatorische maatregelen: informatiebeveiligingsbeleid, incidentresponseprocedures en awareness training voor medewerkers. Ten derde de doorlopende borging: monitoring, periodieke audits en bijsturing als het wet- of dreigingslandschap verandert.
Wie dit intern wil organiseren zonder de juiste kennis, betaalt meer dan nodig. Een managed IT-partner die NIS2-compliance als onderdeel van het beheercontract aanbiedt, maakt dit behapbaar voor organisaties zonder eigen CISO of compliance-afdeling. TCA werkt op basis van het ISO 27001-raamwerk en begint altijd met een gratis nulmeting via een online assessment. Binnen 48 uur ontvangt u een persoonlijk rapport met een concreet beeld van waar uw organisatie staat.
De echte vraag is niet wat compliance kost, maar wat niet-compliance kost. Een boete van €7 miljoen, verlies van klantcontracten door ketenverantwoordelijkheid, en reputatieschade door een publieke aanwijzing zijn risico’s die elke investering in goede cybersecurity rechtvaardigen. Wil je weten waar jouw organisatie nu staat? Doe de gratis securitycheck van TCA en ontvang binnen 48 uur een persoonlijk rapport. Zo weet je precies wat er nodig is, zonder verplichtingen.