In Nederland controleert het Rijksinstituut voor Digitale Infrastructuur (RDI) het NIS2-toezicht voor de meeste sectoren, maar de verantwoordelijkheid is verdeeld over meerdere sectorspecifieke toezichthouders. Welke instantie jouw bedrijf controleert, hangt af van de sector waarin je actief bent. Dit artikel beantwoordt de meest gestelde vragen over NIS2-handhaving, bevoegdheden en de gevolgen van niet-naleving.
Welke toezichthouders zijn verantwoordelijk voor NIS2 in Nederland?
Het NIS2-toezicht in Nederland is verdeeld over meerdere instanties. Het RDI (Rijksinstituut voor Digitale Infrastructuur) is de centrale coördinator en houdt toezicht op digitale dienstverleners en een groot deel van het bedrijfsleven. Daarnaast zijn sectorspecifieke toezichthouders verantwoordelijk voor hun eigen domein.
De verdeling ziet er in de praktijk zo uit:
- RDI: digitale dienstverleners, cloudaanbieders, datacenteroperators en overige sectoren die niet onder een sectorale toezichthouder vallen
- Autoriteit Consument en Markt (ACM): energie- en telecomsector
- De Nederlandsche Bank (DNB) en Autoriteit Financiële Markten (AFM): financiële instellingen
- Nederlandse Zorgautoriteit (NZa) en Inspectie Gezondheidszorg en Jeugd (IGJ): zorginstellingen
- Rijkswaterstaat en Inspectie Leefomgeving en Transport (ILT): transport, water en infrastructuur
De Cyberbeveiligingswet, die naar verwachting medio 2026 van kracht wordt, regelt hoe deze toezichthouders samenwerken en welke bevoegdheden ze precies krijgen. Voor MKB-bedrijven die niet zeker weten onder welke toezichthouder ze vallen, is het verstandig om dit tijdig uit te zoeken. Een IT-partner zoals TCA helpt je daarbij en neemt de vertaalslag van wetgeving naar concrete stappen voor je rekening.
| Afspraak maken |
Hoe weet een bedrijf onder welke toezichthouder het valt?
Welke toezichthouder verantwoordelijk is voor jouw bedrijf, hangt primair af van de sector waarin je actief bent en of je kwalificeert als essentiële of belangrijke entiteit onder de NIS2-richtlijn. De sectorindeling in de Cyberbeveiligingswet bepaalt de toewijzing.
De eerste stap is vaststellen of je bedrijf überhaupt onder NIS2 valt. Dat is het geval als je actief bent in een van de aangewezen sectoren én voldoet aan de drempelwaarden: minimaal 50 medewerkers of een jaaromzet boven 10 miljoen euro. Kleinere bedrijven kunnen ook in scope vallen als ze een kritieke functie vervullen in de keten.
Vervolgens bepaalt je sector welke toezichthouder bevoegd is. Een zorginstelling heeft te maken met de NZa of IGJ, terwijl een logistiek bedrijf bij de ILT terechtkomt. Bedrijven die in meerdere sectoren actief zijn of twijfelen over hun classificatie, kunnen terecht bij het RDI voor verduidelijking.
In de praktijk is de zelfevaluatie via de overheidstools een goed startpunt, maar die geeft geen definitief antwoord. Laat je adviseren door een partij die de wetgeving vertaalt naar jouw specifieke situatie.
Wat zijn de bevoegdheden van NIS2-toezichthouders?
NIS2-toezichthouders beschikken over vergaande bevoegdheden om naleving af te dwingen. Ze mogen bedrijven verplichten om informatie te verstrekken, audits te ondergaan, beveiligingsscans te laten uitvoeren en aantoonbaar te maken dat ze de vereiste maatregelen hebben getroffen.
Concreet kunnen toezichthouders het volgende doen:
- Inspecties uitvoeren, zowel aangekondigd als onaangekondigd
- Documenten, logbestanden en beveiligingsrapportages opvragen
- Penetratietests of onafhankelijke audits verplicht stellen
- Aanwijzingen geven die een bedrijf verplicht is op te volgen
- Bij essentiële entiteiten: proactief toezicht houden, ook zonder aanleiding
- Bij belangrijke entiteiten: reactief toezicht houden, doorgaans na een incident of klacht
Het onderscheid tussen essentiële en belangrijke entiteiten is relevant: essentiële entiteiten staan onder strenger, doorlopend toezicht. Belangrijke entiteiten worden doorgaans pas gecontroleerd als er een aanleiding is. Beide categorieën zijn echter wel verplicht om aan dezelfde beveiligingseisen te voldoen.
Hoe hoog zijn de boetes bij niet-naleving van NIS2?
De boetes voor niet-naleving van NIS2 zijn aanzienlijk. Voor essentiële entiteiten kunnen sancties oplopen tot 10 miljoen euro of 2% van de wereldwijde jaaromzet, afhankelijk van welk bedrag hoger is. Voor belangrijke entiteiten geldt een maximum van 7 miljoen euro of 1,4% van de wereldwijde omzet.
Wat de NIS2-richtlijn nadrukkelijk toevoegt ten opzichte van eerdere wetgeving, is de persoonlijke aansprakelijkheid van bestuurders. Als een organisatie structureel tekortschiet in haar beveiligingsverplichtingen, kunnen directeuren en leden van het managementteam persoonlijk aansprakelijk worden gesteld. Dit is geen theoretisch risico: de richtlijn verplicht toezichthouders om deze mogelijkheid actief te benutten bij ernstige overtredingen.
Boetes worden niet uitgedeeld voor kleine tekortkomingen. Toezichthouders kijken naar de ernst van de overtreding, de mate waarin een bedrijf aantoonbaar heeft geprobeerd compliant te worden, en de gevolgen voor de continuïteit van diensten. Wie niets heeft gedaan en dat ook niet kan aantonen, loopt het grootste risico.
Controleert de toezichthouder ook de toeleveringsketen?
Ja, de NIS2-richtlijn verplicht bedrijven expliciet om ook de beveiliging van hun toeleveringsketen te beheren en te controleren. Toezichthouders kunnen vragen hoe een organisatie omgaat met de risico’s die leveranciers en partners meebrengen.
Dit betekent concreet dat jij als bedrijf verantwoordelijk bent voor het stellen van beveiligingseisen aan je leveranciers, het vastleggen van afspraken in contracten en het periodiek controleren of die afspraken worden nagekomen. Je kunt de verantwoordelijkheid niet doorschuiven naar een toeleverancier als er iets misgaat.
Tegelijkertijd worden ook kleinere bedrijven in de keten steeds vaker gevraagd om hun eigen NIS2-compliance aan te tonen. Opdrachtgevers in sectoren als zorg, transport en maakindustrie stellen dit al als voorwaarde voor samenwerking. Wie dit niet kan aantonen, riskeert contracten te verliezen.
Een goed startpunt is een security baseline die inzichtelijk maakt waar je organisatie staat en welke afspraken je kunt maken met leveranciers.
| Afspraak maken |
Wat gebeurt er als een bedrijf een incident niet meldt?
Als een bedrijf een significant beveiligingsincident niet tijdig meldt bij de bevoegde toezichthouder, riskeert het een boete en reputatieschade. NIS2 schrijft voor dat significante incidenten binnen 24 uur gemeld moeten worden via een eerste melding, gevolgd door een gedetailleerd rapport binnen 72 uur.
Wat telt als een significant incident? Dat zijn verstoringen die aanzienlijke gevolgen hebben voor de continuïteit van diensten, grote aantallen gebruikers raken of de integriteit van systemen in gevaar brengen. De drempel is niet elke kleine storing, maar de grens is in de praktijk niet altijd scherp te trekken.
De gevolgen van niet melden zijn tweeledig. Ten eerste zijn er de directe sancties: boetes en aanwijzingen van de toezichthouder. Ten tweede is er het reputatierisico: als later blijkt dat een incident is verzwegen, heeft dat grote gevolgen voor het vertrouwen van klanten en opdrachtgevers.
Goede voorbereiding is hier doorslaggevend. Bedrijven die beschikken over een gedocumenteerd incidentresponsplan en heldere meldprocedures, kunnen snel en correct handelen als het misgaat. Wie dat nu al op orde brengt, staat straks niet met lege handen als de Cyberbeveiligingswet van kracht is.
TCA helpt organisaties bij het inrichten van die procedures: van het opstellen van een incidentresponsprotocol tot het registreren bij de juiste toezichthouder. Wil je weten waar jouw organisatie nu staat? Vraag een gratis securitycheck aan en ontvang binnen 48 uur een persoonlijk rapport. Geen verplichtingen, wel direct inzicht.