NIS2 / Cyberbeveiligingswet: wat verandert er voor jouw organisatie?

Hier mijn analyse van nis2 wat verandert er. De NIS2-richtlijn is sinds 2024 van kracht en Nederland heeft deze geïmplementeerd in de Cyberbeveiligingswet (Cbw). De impact is groot: de reikwijdte is fors uitgebreid ten opzichte van de oude Wbni, en voor het eerst zijn bestuurders persoonlijk aansprakelijk.

Wie valt onder de Cbw?

NIS2 deelt organisaties in twee categorieën:

Categorie	Sectoren	Voorbeelden
Essentieel	Energie, transport, drinkwater, gezondheidszorg, overheid, banken, digitale infrastructuur	Ziekenhuizen, gemeenten, DNS-providers
Belangrijk	Post, afval, chemie, levensmiddelen, digitale aanbieders	Voedselproducenten, SaaS-leveranciers, afvalverwerkers

Ook kleinere organisaties kunnen onder de Cbw vallen als ze "enig" of "kritiek" zijn binnen hun sector, de overheid is per definitie essentieel.

Drie verplichtingen die je moet kennen

1. Zorgplicht (10 domeinen)

De Cbw eist passende en evenredige maatregelen op 10 beveiligingsdomeinen:

• Risicobeoordeling en beleid
• Incidentenafhandeling
• Bedrijfscontinuïteit en crisisbeheer
• Supply chain security
• Beveiliging van inkoop, ontwikkeling en onderhoud
• Beoordeling van doeltreffendheid
• Basishygiëne en cyberveiligheidstraining
• Encryptie en cryptografiestandaarden
• Authenticatie en toegangsbeveiliging
• Beleid rond personeel en human resources

2. Meldplicht (drie termijnen)

Termijn	Wat meld je?	Aan wie?
24 uur	Early warning, significant incident	CSIRT / NCSC
72 uur	Volledige incidentmelding met impactanalyse	CSIRT + toezichthouder
1 maand	Eindrapport met lessons learned	Toezichthouder

Significante incidenten zijn: incidenten die ernstige operationele verstoring veroorzaken, financiële schade toebrengen, of natuurlijke personen raken.

3. Bestuurlijke aansprakelijkheid

Nieuw in NIS2: het bestuur is expliciet verantwoordelijk. Dit betekent:

• Bestuurders moeten cybersecurity-training volgen
• Het bestuur moet risicobeheer goedkeuren en toezicht houden
• Bij grove nalatigheid: persoonlijke boetes tot €10M of 2% van de jaaromzet

BIO2: de Nederlandse overheidsvertaling

Voor overheden is BIO2 (Baseline Informatiebeveiliging Overheid) de sectorale implementatie van NIS2. BIO2 dekt ~80% van de NIS2-eisen, maar voegt overheids-specifieke classificaties toe (BBN1/2/3) en strengere eisen rond logging, encryptie en auditing.

Hoe de nis2-compliance plugin helpt

De nis2-compliance Claude Code plugin checkt jouw organisatie in drie stappen:

• /nis2-compliance, sector-classificatie: essentieel of belangrijk?
• Zorgplicht-audit over de 10 NIS2-domeinen
• Meldplicht-check: zijn je procedures 24u/72u/1m klaar?
• BIO2-koppeling voor overheidsorganisaties

Meer weten?

DjimIT adviseert over NIS2-compliance en BIO2-audits voor de publieke sector. Van gap-analyse tot implementatiebegeleiding.

Plan een kennismaking →