Wat is de NIS2 richtlijn?
De afgelopen jaren is steeds duidelijker geworden hoe kwetsbaar onze samenleving en economie zijn. Gebeurtenissen zoals de coronapandemie, de oorlog in Oekraïne, een groeiend aantal cyberaanvallen, de gevolgen van klimaatverandering en wereldwijde politieke spanningen hebben grote invloed op onze veiligheid en stabiliteit.
Op basis hiervan is de Europese Unie in 2020 begonnen met het opstellen van de NIS2-richtlijn. Met als doel het verbeteren en versterken van de digitale en economische weerbaarheid van de Europese lidstaten.
Wat is de NIS2 richtlijn?
De Network & Information Systems richtlijn (NIS) uit 2016 was de eerste EU-richtlijn voor netwerk- en informatiebeveiliging en is in Nederland geïmplementeerd in de Wet beveiliging netwerk- en informatiesystemen (Wbni), en had als doel om het algemene niveau van cybersecurity in de EU te verhogen en om organisaties te identificeren waar disruptie van de dienstverlening zou kunnen leiden tot aanzienlijke verstoring.
Waar deze richtlijn gold voor een beperkte set aan organisaties, gaat de NIS2-richtlijn daarintegen gelden voor een veel bredere set aan essentiële en belangrijke organisaties.
De NIS2 richtlijn wordt gekenmerkt door de volgende doelstellingen:
- Stimuleren van bewust omgaan met risico’s en delen van informatie.
- Versterken van de samenwerking tussen Europese lidstaten op het gebied van cyberbeveiliging.
- Verbeteren van de cyberweerbaarheid van organisaties in essentiële en belangrijke sectoren.
In Nederland wordt de NIS2-richtlijn geïmplementeerd in de vorm van de Cyberbeveiligingswet! De verwachtingen is dat dit in Q3 2025 wordt gerealiseerd.
Wie valt er onder de NIS2?
De NIS2 richtlijn maakt onderscheid tussen essentiële en belangrijke organisaties. Maar wat is nu het onderscheid:
- Essentiële entiteiten (meer dan 250 werknemers of een netto omzet van meer dan 50 miljoen en een balanstotaal van meer dan 43 miljoen) vallen onder een intensiever regime van toezicht. Deze entiteiten krijgen te maken met zowel voor als achteraf toezicht op de naleving van verplichtingen.
- Bij belangrijke entiteiten (minimaal 50 werknemers of een jaaromzet of balanstotaal van meer dan 10 miljoen euro) geldt een lichtere vorm van toezicht die alleen achteraf plaatsvindt. Nadat er bijvoorbeeld een incident heeft plaatsgevonden.
Maar ook als jouw organisaties niet wordt gekenmerkt als een essentiële of belangrijke entiteit, kan het zijn dat jouw organisatie ook NIS2 plichtig is. Dat kan zijn omdat:
- De Nederlandse overheid heeft bepaald dat een organisatie of sector NIS2 plichtig is, zoals met de gemeenten en het onderwijs is gebeurd.
- Of omdat jouw organisatie als toeleverancier aan een NIS2 plichtige organisatie wordt gezien.
Daarnaast zijn er ook organisaties die buiten de NIS2 richtlijn en daarmee de Cyberbeveiligingswet vallen. Hierbij moet o.a. worden gedacht aan Defensie, Politie en AIVD.
