Onder de NIS2-richtlijn ben je verplicht om significante cyberincidenten te melden bij de bevoegde toezichthouder. Dit geldt voor organisaties in kritieke sectoren die als essentieel of belangrijk worden aangemerkt. De meldplicht is een van de meest concrete verplichtingen uit de richtlijn en heeft directe gevolgen als je er niet aan voldoet. In dit artikel beantwoorden we de meest gestelde vragen over de meldplichten onder NIS2.
Welke organisaties vallen onder de meldplicht van NIS2?
De meldplicht van de NIS2-richtlijn geldt voor organisaties die actief zijn in sectoren die als kritiek of belangrijk worden beschouwd. Denk aan sectoren zoals ICT-dienstverlening, energie, gezondheidszorg, transport, drinkwater en financiële infrastructuur. In Nederland wordt NIS2 vertaald naar de Cyberbeveiligingswet, die naar verwachting in het tweede kwartaal van 2026 in werking treedt.
Organisaties worden ingedeeld in twee categorieën: essentiële entiteiten en belangrijke entiteiten. Essentiële entiteiten zijn grote organisaties in de meest kritieke sectoren. Belangrijke entiteiten zijn middelgrote organisaties in dezelfde of aanverwante sectoren. Beide categorieën vallen onder de meldplicht, maar de toezichtintensiteit verschilt.
Voor het MKB is het relevant om te weten dat de indeling niet alleen afhangt van de sector, maar ook van de omvang van de organisatie. Een middelgrote ICT-dienstverlener kan dus zeker onder de richtlijn vallen. Bovendien geldt er een ketenverantwoordelijkheid voor MKB: zelfs als je zelf niet direct onder de wet valt, kunnen klanten die dat wel doen eisen stellen aan jouw beveiligingsniveau.
Wat moet er precies worden gemeld bij een cyberincident?
Bij een cyberincident onder NIS2 moet je melden wanneer het incident een significante verstoring veroorzaakt of kan veroorzaken van de continuïteit van je dienstverlening. Het gaat om incidenten die een aanzienlijke impact hebben op de beschikbaarheid, integriteit of vertrouwelijkheid van netwerk- en informatiesystemen.
Concreet gaat het om situaties zoals:
- Ransomware-aanvallen die systemen onbeschikbaar maken
- Datalekken waarbij gevoelige informatie wordt blootgesteld
- DDoS-aanvallen die dienstverlening ernstig verstoren
- Ongeautoriseerde toegang tot kritieke systemen
- Uitval van essentiële IT-infrastructuur door een cyberaanval
Niet elk IT-probleem hoeft te worden gemeld. Een korte storing zonder bredere impact valt buiten de meldplicht. De beoordeling draait om de ernst en omvang van de verstoring, het aantal getroffen gebruikers en de mogelijke maatschappelijke of economische schade. Het is daarom verstandig om intern heldere criteria vast te stellen voor wanneer een incident als significant wordt beschouwd.
IT AANSPREEKPUNT
Klaar om je IT eindelijk uit handen te geven?
Of je nu een SharePoint-intranet wilt inrichten, je hele IT wilt uitbesteden, of gewoon een vraag hebt: wij denken graag met je mee. Al bij 150+ bedrijven bewezen effectief.
Binnen welke termijn moet een incident worden gemeld?
De NIS2-richtlijn hanteert een getrapt meldproces met vaste termijnen. Binnen 24 uur na ontdekking van een significant incident moet je een vroege waarschuwing sturen aan de bevoegde toezichthouder. Dit is een eerste, beknopte melding om de autoriteiten te informeren dat er iets gaande is.
Daarna gelden de volgende stappen:
- Binnen 24 uur: Vroege waarschuwing met een eerste beschrijving van het incident
- Binnen 72 uur: Officiële incidentmelding met meer details over de aard, ernst en impact
- Binnen één maand: Eindrapportage met een volledige analyse, oorzaak, genomen maatregelen en lessen voor de toekomst
Deze termijnen zijn strak. Ze vereisen dat je als organisatie een intern meldproces hebt ingericht, zodat de juiste mensen snel kunnen handelen. Continue monitoring van je systemen speelt daarbij een cruciale rol: je kunt een incident immers pas melden als je het ook tijdig ontdekt.
Wat zijn de gevolgen van niet of te laat melden?
Als je niet of te laat meldt onder de NIS2-richtlijn, riskeer je aanzienlijke sancties. Voor essentiële entiteiten kunnen boetes oplopen tot 10 miljoen euro of 2% van de wereldwijde jaaromzet. Voor belangrijke entiteiten geldt een maximum van 7 miljoen euro of 1,4% van de jaaromzet. Naast financiële boetes kunnen toezichthouders ook corrigerende maatregelen opleggen.
Een belangrijk en vaak onderschat gevolg is de persoonlijke aansprakelijkheid van bestuurders. NIS2 maakt het mogelijk dat directeuren en leidinggevenden individueel verantwoordelijk worden gehouden voor nalatigheid op het gebied van cyberbeveiliging. Dit geeft de richtlijn een duidelijk signaal: cyberveiligheid is een bestuurlijke verantwoordelijkheid, geen puur technische kwestie.
Naast juridische gevolgen zijn er ook reputatierisico’s. Een gemiste of vertraagde melding kan het vertrouwen van klanten en partners schaden, zeker nu digitale veiligheid steeds vaker een vereiste is in contracten en inkoopvoorwaarden.
Hoe bereid je een organisatie voor op de meldplicht?
Voorbereiding op de meldplicht begint met het inrichten van een intern incidentresponsproces. Je hebt duidelijke afspraken nodig over wie verantwoordelijk is voor het signaleren, beoordelen en melden van incidenten. Zonder dit proces loop je het risico dat kostbare uren verloren gaan terwijl de meldtermijn al loopt.
Praktische stappen om je voor te bereiden:
- Voer een risicoanalyse uit om te begrijpen welke systemen en processen het meest kwetsbaar zijn
- Stel een incidentresponsplan op met duidelijke rollen, verantwoordelijkheden en escalatiepaden
- Implementeer monitoringtools zodat incidenten snel worden gedetecteerd
- Train medewerkers op het herkennen van beveiligingsincidenten en de interne meldprocedure
- Documenteer alles, zodat je bij een melding snel de benodigde informatie bij de hand hebt
- Test het proces regelmatig via oefeningen of simulaties
Het loont ook om te kijken naar bredere ISO 27001 begeleiding, want een gestructureerd informatiebeveiligingsmanagementsysteem helpt je niet alleen bij NIS2-compliance, maar versterkt je algehele digitale weerbaarheid.
Hoe IT Aanspreekpunt helpt met NIS2 compliance
NIS2 brengt concrete verplichtingen met zich mee die tijd, kennis en de juiste tools vragen. Wij ontzorgen je volledig in dit traject, van de eerste risicoanalyse tot het inrichten van een werkend meldproces. Als Microsoft 365-specialist en cybersecurity-expert beschikken we over de kennis om jouw digitale beveiliging op orde te brengen.
Wat we voor je doen:
- Beoordelen of jouw organisatie onder de NIS2-richtlijn valt
- Uitvoeren van een risicoanalyse en gap-analyse
- Implementeren van technische maatregelen zoals MFA, patchbeheer en toegangsbeleid
- Inrichten van monitoring zodat incidenten tijdig worden gesignaleerd
- Opstellen van een incidentresponsplan inclusief meldprocedures
- Verzorgen van compliance-rapportage voor toezichthouders en klanten
Zo werk je niet alleen aan wettelijke naleving, maar versterk je tegelijk je concurrentiepositie. Wil je weten waar jouw organisatie nu staat? Neem vrijblijvend contact op en we kijken samen wat er nodig is.
IT AANSPREEKPUNT
Klaar om je IT eindelijk uit handen te geven?
Of je nu een SharePoint-intranet wilt inrichten, je hele IT wilt uitbesteden, of gewoon een vraag hebt: wij denken graag met je mee. Al bij 150+ bedrijven bewezen effectief.