NIS2 in Nederland: uitstel tot 2026, maar actie nú vereist

Laatste update: juli 2025

De Nederlandse wetgeving rond de NIS2-richtlijn laat op zich wachten, maar dat betekent niet dat organisaties stil kunnen blijven zitten. In dit artikel lees je de actuele status van NIS2, wat ENISA van je verwacht en welke stappen je nu al kunt nemen richting compliance.

Wat is de NIS2-richtlijn?

De NIS2 (Netwerk- en Informatiesystemen 2) is een Europese richtlijn die de cybersecurityverplichtingen voor essentiële sectoren versterkt en uitbreidt. Organisaties in onder andere de volgende sectoren vallen onder deze richtlijn:

Energie
Transport
Financiële dienstverlening
Waterbeheer
Gezondheidszorg
Digitale infrastructuur
IT-dienstverlening (zoals MSP’s en cloudproviders)

De belangrijkste verplichtingen onder NIS2 zijn:

Invoering van risicobeheersmaatregelen
Meldplicht bij incidenten (binnen 24 uur)
Bestuurlijke verantwoordelijkheid
Sancties bij non-compliance

Waarom is er uitstel in Nederland?

Hoewel alle EU-lidstaten NIS2 vóór 17 oktober 2024 moesten omzetten naar nationale wetgeving, is dat in Nederland niet gelukt. De invoering van de nieuwe Cyberbeveiligingswet, waarin NIS2 wordt opgenomen, staat nu gepland voor het tweede kwartaal van 2026.

Wat zijn de technische richtlijnen van ENISA?

In juni 2025 publiceerde ENISA (het Europees agentschap voor cybersecurity) praktische richtlijnen voor de implementatie van NIS2. Organisaties moeten invulling geven aan onder meer:

Risicobeheer – Identificatie en mitigatie van cyberdreigingen
Toegangsbeheer – Fysieke en digitale toegangscontrole
Incidentresponse – Inrichting van meld- en reactieprocessen
Supply chain security – Beveiliging van derde partijen
Encryptie en identity management – MFA, versleuteling, toegangsrechten
Business continuity – Herstelplannen en bedrijfscontinuïteit

Vooral ICT- en cloudbedrijven krijgen met deze richtlijnen een duidelijk kader voor hun securitybeleid.

Wat moet je nu al doen?

Wachten op de wet is geen optie. De risico’s nemen toe, en toezichthouders verwachten aantoonbare voorbereiding. Organisaties doen er goed aan om nu al de volgende stappen te zetten:

Controleer of je onder NIS2 valt (essentiële of belangrijke entiteit)
Voer een cybersecurity-risicoanalyse uit (bijvoorbeeld met ENISA-sjablonen)
Zorg dat bestuurders op de hoogte zijn van hun verantwoordelijkheden
Richt een proces in voor incidentmelding en respons (24-uurs termijn)
Breng toeleveranciers en partners in kaart en beoordeel risico’s
Documenteer beleid, maatregelen en procedures (inclusief audittrails)

Je hoeft nog niet volledig compliant te zijn, maar je moet wel kunnen aantonen dat je ermee bezig bent.

Hoe helpt Axle-IT bij jouw NIS2-aanpak?

Axle-IT ondersteunt organisaties in alle fasen van hun cybersecurity- en complianceproces. Met ervaring in NIS2, ISO27001, NEN7510 en sectorspecifieke normen zijn wij sparringpartner én uitvoerder.

Wij bieden: