NIS2 en de AVG zijn twee verschillende wetten met elk hun eigen doel, reikwijdte en verplichtingen. AVG-compliance betekent niet dat je ook NIS2-compliant bent. De AVG beschermt persoonsgegevens; NIS2 beschermt de continuïteit en weerbaarheid van netwerken en informatiesystemen. Voor mkb-bedrijven in sectoren zoals zorg, transport of maakindustrie zijn beide wetten relevant, maar ze vragen om andere maatregelen en kennen andere sancties. Dit artikel beantwoordt de meest gestelde vragen over het verschil tussen NIS2 en de AVG, zodat jij weet waar jouw organisatie aan toe is.
Geldt NIS2 voor mijn bedrijf als ik al AVG-compliant ben?
Nee, AVG-compliance geeft geen vrijstelling voor NIS2. De twee wetten staan naast elkaar en vullen elkaar aan, maar zijn niet uitwisselbaar. Of NIS2 voor jouw bedrijf geldt, hangt af van je sector en bedrijfsgrootte, niet van je privacystatus. Een bedrijf dat keurig voldoet aan de AVG kan toch volledig buiten de boot vallen als het gaat om NIS2-verplichtingen.
NIS2 richt zich op organisaties in aangewezen sectoren die een bepaalde omvang hebben. Bedrijven met minimaal 50 medewerkers of een jaaromzet van meer dan 10 miljoen euro in sectoren zoals energie, transport, zorg, voedselproductie, maakindustrie en digitale dienstverlening vallen in principe onder de richtlijn. Kleinere bedrijven kunnen ook verplichtingen krijgen als ze kritieke functies uitvoeren of deel uitmaken van de keten van een essentiële organisatie.
Kortom: behandel NIS2 als een aparte compliance-opgave, niet als een uitbreiding van wat je al voor de AVG hebt gedaan.
| Afspraak maken |
Wat regelt de AVG en wat regelt NIS2 precies?
De AVG (Algemene verordening gegevensbescherming) regelt hoe organisaties omgaan met persoonsgegevens van individuen. NIS2 regelt de cybersecurity en weerbaarheid van netwerken en systemen in sectoren die essentieel zijn voor de samenleving. Het verschil zit in het beschermde object: de AVG beschermt mensen, NIS2 beschermt systemen en continuïteit.
Wat de AVG verplicht
De AVG legt bedrijven verplichtingen op rondom het verzamelen, opslaan, verwerken en delen van persoonsgegevens. Denk aan een privacyverklaring, een verwerkersovereenkomst met leveranciers, het recht van betrokkenen op inzage en verwijdering, en een meldplicht bij datalekken bij de Autoriteit Persoonsgegevens. De nadruk ligt op transparantie en rechtmatigheid van gegevensverwerking.
Wat NIS2 verplicht
NIS2 verplicht organisaties om hun digitale infrastructuur actief te beveiligen. Dat betekent: risicobeoordelingen uitvoeren, technische beveiligingsmaatregelen implementeren, incidenten binnen 24 uur melden bij de toezichthouder en aantoonbare afspraken maken met leveranciers in de keten. De focus ligt op operationele weerbaarheid, niet op gegevensbeheer. In Nederland wordt NIS2 omgezet in de Cyberbeveiligingswet, die naar verwachting medio 2026 van kracht wordt.
Welke sectoren en bedrijfsgroottes vallen onder NIS2 maar niet onder AVG?
De AVG geldt voor vrijwel elke organisatie die persoonsgegevens verwerkt, ongeacht sector of omvang. NIS2 is selectiever: de richtlijn is gericht op specifieke sectoren en hanteert drempelwaarden voor bedrijfsgrootte. Bedrijven in die sectoren vallen dus onder NIS2 bovenop de AVG, terwijl een klein bedrijf buiten die sectoren alleen de AVG hoeft te volgen.
Sectoren die expliciet onder NIS2 vallen, zijn onder andere:
- Energie en drinkwater
- Transport en logistiek
- Gezondheidszorg en farmacie
- Voedselproductie en -distributie
- Maakindustrie (productie van kritieke producten)
- Digitale infrastructuur en ICT-dienstverleners
- Afvalbeheer en chemische industrie
Binnen deze sectoren geldt NIS2 voor middelgrote en grote organisaties: minimaal 50 medewerkers of meer dan 10 miljoen euro omzet. Kleinere bedrijven vallen er in principe buiten, tenzij ze een kritieke functie vervullen of opdrachtgevers in de keten hen verplichten compliance aan te tonen.
Wat zijn de boetes en aansprakelijkheidsrisico’s bij NIS2 vergeleken met de AVG?
Zowel NIS2 als de AVG kennen forse boetes, maar de aansprakelijkheidsregels verschillen wezenlijk. Bij NIS2 ligt de verantwoordelijkheid expliciet bij het bestuur van de organisatie, niet alleen bij de IT-afdeling. Dat is een belangrijk verschil met de AVG, waarbij de organisatie als geheel aansprakelijk is.
Onder de AVG kan de Autoriteit Persoonsgegevens boetes opleggen tot 20 miljoen euro of 4% van de wereldwijde jaaromzet, afhankelijk van wat hoger is. Bij NIS2 liggen de maximale boetes iets lager: tot 10 miljoen euro of 2% van de wereldwijde omzet voor essentiële entiteiten. Maar het werkelijke risico bij NIS2 zit niet alleen in de hoogte van de boete.
NIS2 introduceert namelijk persoonlijke aansprakelijkheid voor bestuurders. Als een organisatie aantoonbaar nalatig is geweest in het treffen van beveiligingsmaatregelen en er vindt een incident plaats, kunnen directeuren en MT-leden persoonlijk aansprakelijk worden gesteld. Dat geldt los van de boete die de organisatie krijgt. Dit maakt NIS2 voor veel mkb-directeuren een directer risico dan de AVG ooit was.
Welke technische maatregelen overlappen tussen NIS2 en de AVG?
Er is overlap, maar die is beperkter dan veel bedrijven hopen. Beide wetten vereisen dat je passende technische en organisatorische maatregelen neemt om gegevens en systemen te beveiligen. In de praktijk betekent dit dat een aantal basismaatregelen voor beide wetten relevant is, maar NIS2 gaat aanzienlijk verder in diepte en aantoonbaarheid.
Maatregelen die voor zowel AVG als NIS2 relevant zijn:
- Toegangsbeheer en sterke authenticatie (zoals meerfactorauthenticatie)
- Versleuteling van gevoelige gegevens
- Regelmatige back-ups en herstelplannen
- Een meldprocedure bij beveiligingsincidenten
- Bewustzijnstraining voor medewerkers
Wat NIS2 extra vereist bovenop de AVG, zijn zaken als netwerksegmentatie, continue monitoring van systemen, formele risicobeoordelingen op basis van een erkend raamwerk zoals ISO 27001 en vastgelegde incidentresponseprocedures met concrete meldtermijnen. Een security baseline die voldoet aan NIS2-eisen dekt in de meeste gevallen ook de technische kant van de AVG af, maar niet andersom.
| Afspraak maken |
Waar begin je als mkb-bedrijf met NIS2-compliance naast bestaande AVG-verplichtingen?
Begin met een nulmeting: breng in kaart waar je organisatie nu staat op het gebied van cybersecurity en waar de gaten zitten ten opzichte van de NIS2-eisen. Pas daarna heeft het zin om maatregelen te plannen of te investeren. Zonder die beginsituatie weet je niet wat prioriteit heeft en wat al geregeld is via je AVG-aanpak.
Een praktisch stappenplan voor mkb-bedrijven:
- Bepaal of je onder NIS2 valt via de sector- en omvangscheck. De zelfevaluatietool van de overheid geeft een eerste indicatie, maar vraag ook je IT-partner om een beoordeling.
- Voer een nulmeting uit op je huidige beveiliging. Wat heb je al geregeld via de AVG, en wat ontbreekt er voor NIS2?
- Stel een beveiligingsbeleid op dat voldoet aan de NIS2-eisen, inclusief incidentresponseprocedures en meldprotocollen.
- Implementeer de technische basismaatregelen die NIS2 vereist: denk aan endpoint protection, netwerksegmentatie, monitoring en een robuust back-upbeleid.
- Maak ketenafspraken met leveranciers en zorg dat je compliance kunt aantonen aan opdrachtgevers.
- Registreer je bij de toezichthouder zodra de Cyberbeveiligingswet van kracht is.
TCA helpt mkb-bedrijven bij elk van deze stappen. Als managed IT-partner beginnen we altijd met een gratis online assessment, waarna je binnen 48 uur een persoonlijk rapport ontvangt met een helder beeld van je huidige situatie en de stappen die nodig zijn. Zo weet je precies waar je staat, zonder dat je direct ergens aan vastzit.
NIS2 en de AVG zijn geen concurrenten van elkaar, maar ze vragen wel om een aparte aanpak. Wie al investeert in AVG-compliance heeft een goede basis, maar zal aanvullende stappen moeten zetten om ook aan de NIS2-eisen te voldoen. Hoe eerder je daarmee begint, hoe minder druk je ervaart als de Cyberbeveiligingswet eenmaal van kracht is. Wil je weten waar jouw organisatie nu staat? Bekijk dan het gratis security assessment van TCA en krijg binnen 48 uur inzicht in jouw NIS2-gereedheid.
Gerelateerde artikelen
- Wat is het verschil tussen cybersecurity en informatiebeveiliging?
- Wat is Microsoft 365 beveiliging en hoe stel je die goed in?
- Hoeveel bedraagt de persoonlijke boete voor een directeur bij NIS2-overtreding?
- Wat is een cybersecurity audit en wanneer heb ik die nodig?
- Hoe bescherm ik mijn bedrijf tegen ransomware als mkb-ondernemer?