NIS2-nalevingsdeadline-aftellen: bent u er klaar voor?

Kort samengevat: Met NIS2-handhaving in volle gang in de hele EU zijn veel organisaties nog steeds niet compliant. Dit is wat u moet weten over deadlines, boetes, en hoe u snel compliant wordt.

NIS2-handhaving is hier — geen respijtperiodes meer

De Netwerk- en Informatiebeveiligingsrichtlijn 2 (NIS2) is de belangrijkste cyberbeveiligingsregelgeving voor Europese organisaties sinds de AVG. Met omzettingstermijnen die in de meeste EU-lidstaten al verstreken zijn, auditeren en beboeten handhavingsinstanties nu actief niet-compliante organisaties.

Als u nog steeds worstelt om aan de NIS2-vereisten te voldoen, bent u niet alleen — maar het venster voor coulance sluit snel.

Huidige stand van NIS2-implementatie in de EU

Vanaf februari 2026 verschilt het implementatielandschap aanzienlijk:

• Duitsland (NIS2UmsuCG) — Volledige handhaving sinds januari 2026. BSI voert audits uit. Eerste boetes uitgevaardigd in januari.
• Frankrijk (ANSSI) — Actieve handhaving met sectorspecifieke richtlijnen gepubliceerd.
• Nederland — Handhaving actief sinds Q4 2025. Focus eerst op essentiële entiteiten.
• Oostenrijk — NISG 2024 van kracht. Nadruk op leveranciers van kritieke infrastructuur.
• Italië, Spanje, Portugal — Handhaving neemt toe. Aanvankelijke focus op bewustwording en zelfevaluatie.

Realiteitscheck boetes: NIS2-boetes kunnen oplopen tot €10 miljoen of 2% van de wereldwijde jaaromzet (welke van de twee hoger is) voor essentiële entiteiten. Het management kan persoonlijk aansprakelijk worden gesteld voor nalevingsfouten.

Wie moet compliant zijn? De uitgebreide reikwijdte

NIS2 heeft de reikwijdte van gedekte entiteiten drastisch uitgebreid ten opzichte van NIS1:

• Essentiële entiteiten: Energie, transport, bankwezen, gezondheidszorg, water, digitale infrastructuur, ICT-servicebeheer, openbaar bestuur, ruimtevaart
• Belangrijke entiteiten: Postdiensten, afvalbeheer, chemicaliën, voedsel, productie, digitale aanbieders, onderzoek
• Groottedrempel: Geldt over het algemeen voor middelgrote bedrijven (50+ werknemers of €10M+ omzet) en groter

Een kritieke verandering: supply-chain-verplichtingen betekenen dat zelfs kleinere bedrijven mogelijk NIS2-niveau-beveiliging moeten aantonen om contracten met gedekte entiteiten te behouden.

De 10 belangrijkste vereisten waaraan u moet voldoen

1. Risicobeheerbeleid — Gedocumenteerde, door het bestuur goedgekeurde cyberbeveiligingsrisicobeoordelingen
2. Incidentafhandeling — Vroegtijdige waarschuwing binnen 24 uur, incidentmelding binnen 72 uur aan autoriteiten
3. Bedrijfscontinuïteit — Back-upbeheer, disaster recovery, crisisbeheerplannen
4. Supply-chain-beveiliging — Risicobeoordelingen voor directe leveranciers en dienstverleners
5. Kwetsbaarheidsbeheer — Systematische identificatie en remediatie van kwetsbaarheden
6. Cyberhygiëne en training — Regelmatige bewustwordingstrainingsprogramma's voor werknemers
7. Cryptografie — Beleid voor encryptie en, waar van toepassing, multi-factor-authenticatie
8. Toegangscontrole — Beveiliging van personeelszaken, assetbeheerbeleid
9. MFA/continue authenticatie — Beveiligde communicatie en noodtoegangssystemen
10. Rapportageverplichtingen — Vastgestelde processen voor tijdige incidentmelding

Versnelde naleving: een actieplan van 90 dagen

Maand 1: beoordeling en gap-analyse

• Bepaal of uw organisatie onder de reikwijdte van NIS2 valt
• Voer een gap-analyse uit tegen de NIS2-vereisten
• Voer een geautomatiseerde kwetsbaarheidsbeoordeling uit om kritieke blootstellingen te identificeren
• Wijs een verantwoordelijke persoon/team aan voor NIS2-naleving

Maand 2: implementatie

• Zet continue kwetsbaarheidsscanning en penetratietesten in
• Implementeer incidentresponsprocedures met vereiste meldingstermijnen
• Stel processen voor supply-chain-beveiligingsbeoordeling vast
• Begin met cyberbeveiligingsbewustwordingstraining voor werknemers

Maand 3: validatie en documentatie

• Test incidentrespons met tabletop-oefeningen
• Documenteer al het beleid, procedures, en technische maatregelen
• Voer een validatie-penetratietest uit om remediatie te bevestigen
• Bereid u voor op mogelijke audits met nalevingsbewijspakketten

Wacht niet op de boete — handel nu

De organisaties met de zwaarste boetes zijn degenen die nog helemaal niet begonnen zijn. NIS2-naleving is geen bestemming — het is een doorlopend proces van continue verbetering. Begin met geautomatiseerde beveiligingsscanning, bouw uw incidentresponscapaciteit op, en documenteer alles. De klok tikt.