NIS2
Nestor Security helpt u te voldoen aan de Europese NIS2-richtlijn, van eerste quickscan tot aantoonbare naleving.
Uw partner voor NIS2-compliance
De NIS2-richtlijn krijgt in Nederland vorm als de nieuwe Cyberbeveiligingswet, die op 15 augustus 2026 in werking treedt. Dit houdt in dat ongeveer 8.000+ organisaties maken krijgen met een zorgplicht, meldplicht en registratieplicht. Ook worden alle bestuurders binnen organisaties die moeten voldoen aan de NIS2-richtlijn, verantwoordelijk voor het beheer van cyberbeveiligingsrisico’s: zij keuren maatregelen goed, zorgen dat deze dan worden geïmplementeerd, volgen trainingen en zijn aansprakelijk bij niet-naleving.
✓“Onze grootste opdrachtgever vraagt ineens om NIS2-garanties van leveranciers.”
✓“Het bestuur wil weten waar we staan en wat er vóór de deadline moet gebeuren.”
✓“We hebben van alles geregeld, maar kunnen weinig tonen aan toezichthouders.”
Ontdek waarom 500+ bedrijven op Nestor Security vertrouwen voor IT-security en compliance
Stand van zaken · juli 2026
De Cyberbeveiligingswet is aangenomen
Na jaren van uitstel is de Nederlandse implementatie van NIS2 definitief. Dit zijn de mijlpalen en wat ze voor uw organisatie betekenen.
15 april 2026 ✓
Aangenomen door de Tweede Kamer
Het wetsvoorstel voor de Cyberbeveiligingswet is met ruime meerderheid aangenomen.
7 juli 2026 ✓
Aangenomen door de Eerste Kamer
Ook de Eerste Kamer heeft ingestemd met het wetsvoorstel. De parlementaire behandeling is daarmee afgerond.
15 augustus 2026
Inwerkingtreding
Na publicatie in het Staatsblad treedt de wet op deze datum in werking.
Vanaf dag één
Verplichtingen gelden direct
Zorgplicht, meldplicht en registratieplicht gelden vanaf de inwerkingtreding. Wachten op de definitieve datum is dus geen strategie.
De Rijksoverheid roept organisaties op om nu al te starten met de voorbereiding: de risico’s waarvoor de wet is bedoeld, bestaan vandaag ook al.
Controleer of u onder de wet valt ↓Van richtlijn naar wet
Wat is de NIS2-richtlijn, en wat merkt u ervan in Nederland?
NIS2 is de Europese richtlijn voor netwerk- en informatiebeveiliging en de opvolger van de eerste NIS-richtlijn. De richtlijn is begin 2023 op EU-niveau van kracht geworden en verplicht lidstaten om strengere eisen te stellen aan de cyberweerbaarheid van organisaties in vitale en maatschappelijk belangrijke sectoren.
Vergeleken met zijn voorganger breidt NIS2 het toepassingsgebied fors uit én scherpt de richtlijn de eisen aan: meer sectoren, strengere maatregelen rond risicobeheer en de toeleveringsketen, korte meldtermijnen bij incidenten, actiever toezicht en aanzienlijk hogere sancties.
In Nederland wordt NIS2 omgezet in de Cyberbeveiligingswet (Cbw). Die vervangt de huidige Wet beveiliging netwerk- en informatiesystemen (Wbni) en vergroot het aantal organisaties onder toezicht van circa 1.000 naar ruim 8.000. Valt uw organisatie eronder, dan moet u vanaf de inwerkingtreding kunnen aantonen dat uw digitale weerbaarheid op orde is.
Waar staat ‘NIS2’ voor?
NIS2 staat voor Network and Information Security Directive 2: de tweede Europese richtlijn voor de beveiliging van netwerk- en informatiesystemen.
Van Wbni naar Cbw
De Cyberbeveiligingswet vervangt de Wbni uit 2018. Veel organisaties die nooit met de Wbni te maken hadden, vallen straks wél onder de nieuwe wet.
Waarom een opvolger?
De eerste NIS-richtlijn werd per lidstaat verschillend uitgevoerd, terwijl digitale dreigingen bleven toenemen. NIS2 trekt de eisen in heel Europa gelijk en dwingt ze steviger af.
Uw verplichtingen
Vier verplichtingen die vanaf dag één gelden
De Cyberbeveiligingswet rust op vier pijlers. Samen bepalen ze waar de toezichthouder uw organisatie straks op beoordeelt.
â—†
Zorgplicht
U neemt passende technische en organisatorische maatregelen om uw netwerk- en informatiesystemen te beveiligen, op basis van een actuele risicoanalyse.
â—ˆ
Meldplicht
Significante incidenten meldt u binnen 24 uur (vroegtijdige waarschuwing) en 72 uur (incidentmelding) via het NCSC, gevolgd door een eindrapport binnen één maand.
✎
Registratieplicht
U registreert uw organisatie bij het NCSC, zodat voor de overheid en de toezichthouder duidelijk is wie onder de wet valt.
âš–
Bestuurdersplicht
Het bestuur keurt de maatregelen goed, houdt toezicht op de uitvoering, volgt een cybersecurityopleiding en kan bij nalatigheid persoonlijk aansprakelijk worden gesteld.
Toepassingsgebied
Valt uw organisatie onder de Cyberbeveiligingswet?
De wet geldt voor organisaties in achttien sectoren die aan de omvangscriteria voldoen. De sector bepaalt of u als essentiële of belangrijke entiteit wordt aangemerkt, en dus hoe streng het toezicht is.
Classificatie
Organisaties in de hoogkritieke sectoren van bijlage I, doorgaans de grotere spelers, plus enkele categorieën die ongeacht omvang als essentieel gelden.
Toezicht
Proactief (ex-ante): de toezichthouder mag ook zónder concrete aanleiding inspecties en audits uitvoeren.
Sancties
Boetes tot €10 miljoen of 2% van de wereldwijde jaaromzet, waarbij het hoogste bedrag geldt, plus bindende aanwijzingen. In het uiterste geval kan bestuurders tijdelijk een leidinggevende functie worden ontzegd.
Bijlage I
Essentiële entiteiten
Sectoren onder bijlage I
EnergieVervoerBankwezenFinanciëlemarktinfrastructuurGezondheidszorgDrinkwaterAfvalwaterDigitale infrastructuurBeheer van ICT-diensten (B2B)OverheidRuimtevaart
Twijfelt u of de wet op uw organisatie van toepassing is?
Onze gratis NIS2 Quickscan geeft snel duidelijkheid over uw classificatie én over de belangrijkste stappen die u nog moet zetten.
De zorgplicht concreet
Tien maatregelen die aantoonbaar op orde moeten zijn
De zorgplicht is risicogestuurd: u bepaalt zelf de invulling, passend bij uw omvang en risico’s. Maar de wet benoemt tien gebieden waarop uw organisatie in elk geval maatregelen moet kunnen aantonen.
01
Risicoanalyse en beveiligingsbeleid
Een actuele risicoanalyse van uw netwerk- en informatiesystemen, vertaald naar beleid en concrete maatregelen.
02
Behandeling van incidenten
Een procedure om incidenten te detecteren, af te handelen en te melden, binnen de wettelijke termijnen.
03
Bedrijfscontinuïteit
Back-upbeheer, herstelplannen en crisisbeheer, zodat uw dienstverlening ook tijdens en na een incident doorgaat.
04
Beveiliging van de toeleveringsketen
Zicht op de digitale risico’s bij uw directe leveranciers en dienstverleners, met passende afspraken.
05
Veilige inkoop, ontwikkeling en onderhoud
Beveiligingseisen bij de aanschaf en ontwikkeling van systemen, inclusief de omgang met kwetsbaarheden.
06
Effectiviteitsmeting
Beleid en procedures om te beoordelen of uw beveiligingsmaatregelen daadwerkelijk werken.
07
Cyberhygiëne en training
Basismaatregelen zoals updates en wachtwoordbeleid, gecombineerd met training voor medewerkers én bestuur.
08
Cryptografie
Beleid over het gebruik van encryptie en, waar passend, versleuteling van gegevens en verbindingen.
09
Personeel, toegang en assets
Personeelsbeveiliging, toegangsbeleid en het beheer van uw bedrijfsmiddelen en informatie.
10
MFA en beveiligde communicatie
Multifactorauthenticatie en beveiligde spraak-, video- en tekstcommunicatie, ook tijdens noodsituaties.
Werkt u al met ISO 27001 of NEN 7510? Dan heeft u een groot deel van deze maatregelen al staan. Wij brengen de resterende verschillen in kaart.
Bekijk de overlap met andere normen ↓De aanpak
Hoe Nestor Security NIS2-compliance behapbaar maakt
De wet zelf vertelt u wat er moet gebeuren, niet hoe. Dat verschil merkt u vooral in tijd, duidelijkheid en bewijsbaarheid.
Zelf uitzoeken
Traag, onzeker en moeilijk aantoonbaar
✕Wet, besluit en sectorregelingen zelf vertalen naar concrete maatregelen
✕Maandenlange doorlooptijd naast de dagelijkse operatie
✕Geen bewijsvoering als de toezichthouder of een klant erom vraagt
Met Nestor Security
Begeleid, praktisch en aantoonbaar
✓Eén roadmap van quickscan tot aantoonbare naleving
✓Maatregelen die passen bij uw omvang, sector en risico’s
✓Documentatie en bewijsvoering waarmee u toezicht en klantvragen aankunt
Het traject
In zes stappen naar aantoonbare NIS2-compliance
Een NIS2-traject duurt doorgaans drie tot negen maanden, afhankelijk van uw uitgangssituatie. Wij begeleiden elke stap en houden het behapbaar en voorspelbaar.
Typische blokkade
Onzekerheid over de vraag of en hoe de wet op uw organisatie van toepassing is.
Hoe wij helpen
Wij toetsen uw sector, omvang en rol aan de wet en haar bijlagen.
Resultaat
Heldere scope en classificatie, met een geprioriteerd plan van aanpak.
Stap 1
Quickscan en classificatie
Wat er gebeurt:
Sector- en omvangstoets aan bijlage I en II van de wet
Classificatie als essentiële of belangrijke entiteit vaststellen
Systemen en diensten binnen de scope afbakenen
Gap-analyse van uw huidige beveiliging tegen de wettelijke eisen
Registratie bij het NCSC voorbereiden
Waarom Nestor Security
Een partner voor advies, implementatie en beheer
NIS2-compliance is geen eenmalig project maar een blijvende verplichting. Daarom kiezen organisaties voor een partner die er ook na de implementatie is.
01
Thuis in de Nederlandse wetgeving
Wij volgen de Cyberbeveiligingswet, het onderliggende besluit en de sectorale regelingen op de voet, en vertalen ze naar wat er in uw praktijk moet gebeuren.
02
Pragmatisch, geen papieren tijger
Geen dikke mappen voor de bühne, maar maatregelen die uw organisatie echt veiliger maken én aantoonbaar zijn voor de toezichthouder.
03
Compliance én security onder één dak
Van NIS2, ISO 27001 en NEN 7510 tot securityscans en detachering van specialisten: u regelt advies, implementatie en beheer bij één partner.
04
Bewezen bij 500+ organisaties
Korte lijnen, een vast aanspreekpunt en een aanpak die zich in de praktijk heeft bewezen, van mkb tot grote organisaties.
Herkent u dit?
✓U weet niet zeker of de wet op uw organisatie van toepassing is.
✓Klanten vragen om NIS2-garanties in contracten en aanbestedingen.
✓Het bestuur wil weten waar het staat, en waarvoor het aansprakelijk is.
✓Er is van alles geregeld, maar weinig vastgelegd of aantoonbaar.
✓De kennis en capaciteit ontbreken om dit naast het dagelijkse werk op te pakken.
Plan de gratis NIS2 QuickscanGratis en vrijblijvend. U weet binnen enkele dagen waar u staat.
Meer dan NIS2
Uw NIS2-fundament versnelt elke volgende stap
De zorgplicht van de Cyberbeveiligingswet overlapt sterk met bestaande normen. Wat u nu opbouwt, gebruikt u straks opnieuw.
Uw fundament
NIS2 · Cyberbeveiligingswet
Een risicogestuurd managementsysteem met maatregelen, meldproces en governance, de basis waarop elke volgende norm voortbouwt.
Sneller door NIS2
+ ISO 27001
De internationale norm voor informatiebeveiliging. Uw NIS2-maatregelen dekken al een groot deel van de vereiste beheersmaatregelen. Certificering wordt een logische vervolgstap.
Sneller door NIS2
+ NEN 7510
De norm voor informatiebeveiliging in de zorg, extra relevant nu de zorgsector onder bijlage I van de wet valt. Wij combineren beide trajecten tot één geheel.
Sneller door NIS2
+ AVG en Privacy Officer as a Service
Beveiligingsincidenten zijn vaak ook datalekken. Wij brengen uw meldprocessen en privacy-governance in één lijn.
Succesverhalen
Neem het niet alleen van ons aan
U bent in goed gezelschap bij Nestor.
Meer weten over de NIS2-richtlijn?
Maak kennis met Nestor Security
Uw vragen beantwoord
FAQs
Wat is de NIS2-richtlijn?
NIS2 (Network and Information Security Directive 2) is de Europese richtlijn voor de beveiliging van netwerk- en informatiesystemen en de opvolger van de eerste NIS-richtlijn. De richtlijn verplicht organisaties in vitale en maatschappelijk belangrijke sectoren om hun cyberweerbaarheid aantoonbaar op orde te brengen: van risicobeheer en ketenbeveiliging tot het snel melden van incidenten. Elke EU-lidstaat zet de richtlijn om in nationale wetgeving; in Nederland gebeurt dat met de Cyberbeveiligingswet.
Wat is de Cyberbeveiligingswet en wanneer treedt deze in werking?
De Cyberbeveiligingswet (Cbw) is de Nederlandse implementatie van NIS2 en vervangt de Wet beveiliging netwerk- en informatiesystemen (Wbni). De Tweede Kamer heeft het wetsvoorstel op 15 april 2026 aangenomen en de Eerste Kamer op 7 juli 2026. De wet treedt op 15 augustus 2026 in werking. Vanaf dat moment gelden de zorgplicht, meldplicht en registratieplicht direct voor ruim 8.000 Nederlandse organisaties.
Hoe weet ik of mijn organisatie onder de wet valt?
Dat hangt af van uw sector en uw omvang. De wet geldt voor organisaties in achttien sectoren, van energie, zorg en transport tot digitale infrastructuur, chemie en levensmiddelen, die middelgroot of groot zijn: vanaf 50 medewerkers, óf een jaaromzet én balanstotaal boven de €10 miljoen. Sommige organisaties, zoals aanbieders van DNS-diensten en verleners van vertrouwensdiensten, vallen ongeacht hun omvang onder de wet. Twijfelt u? Onze gratis NIS2 Quickscan geeft snel duidelijkheid.
Wat is het verschil tussen essentiële en belangrijke entiteiten?
Beide categorieën moeten aan vrijwel dezelfde zorgplicht en meldplicht voldoen; het verschil zit vooral in het toezicht en de sancties. Essentiële entiteiten, doorgaans grote organisaties in hoogkritieke sectoren zoals energie, zorg en digitale infrastructuur, staan onder proactief toezicht en riskeren boetes tot €10 miljoen of 2% van de wereldwijde jaaromzet. Belangrijke entiteiten vallen onder reactief toezicht, met boetes tot €7 miljoen of 1,4% van de jaaromzet.
Welke sancties riskeren organisaties en bestuurders?
Naast boetes tot €10 miljoen of 2% van de wereldwijde jaaromzet kan de toezichthouder bindende aanwijzingen geven en maatregelen afdwingen. Nieuw is de nadruk op het bestuur: bestuurders moeten de beveiligingsmaatregelen goedkeuren, toezien op de naleving en zelf een cybersecurityopleiding volgen. Bij aantoonbare nalatigheid kunnen zij persoonlijk aansprakelijk worden gesteld, en bij essentiële entiteiten kan in het uiterste geval tijdelijk een verbod op leidinggevende taken worden opgelegd. De reputatieschade en operationele verstoring na een groot incident overstijgen de boetes bovendien vaak ruimschoots.
Wat houdt de meldplicht precies in?
Significante incidenten meldt u in drie stappen via het meldportaal van het NCSC: een vroegtijdige waarschuwing binnen 24 uur nadat u het incident heeft opgemerkt, een volledige incidentmelding met een eerste beoordeling binnen 72 uur, en een eindrapport binnen één maand. Die termijnen zijn alleen haalbaar als uw organisatie incidenten snel kan detecteren, beoordelen en escaleren. Het inrichten én oefenen van dit proces is daarom een vast onderdeel van ons traject.
We hebben al ISO 27001. Voldoen we dan automatisch aan NIS2?
Niet automatisch, maar u heeft wel een flinke voorsprong. Het managementsysteem, de risicoanalyse en veel maatregelen uit ISO 27001 overlappen sterk met de zorgplicht van de Cyberbeveiligingswet. De wet stelt daarnaast eigen eisen die niet vanzelf in ISO 27001 zitten: de strikte meldtermijnen, de registratieplicht bij het NCSC en de expliciete rol en opleidingsplicht van het bestuur. Wij brengen precies in kaart welke aanvullingen voor u nodig zijn.
Wij vallen zelf niet onder de wet, maar onze klanten wél. Wat betekent dat?
Dan krijgt u er waarschijnlijk toch mee te maken. Organisaties die onder de wet vallen, zijn verplicht om de risico’s in hun toeleveringsketen te beheersen, en stellen daarom beveiligingseisen aan hun leveranciers, bijvoorbeeld in contracten en aanbestedingen. Kunt u uw beveiliging niet aantonen, dan riskeert u het verlies van opdrachten. Wij helpen u om aan die klanteisen te voldoen, in een omvang die past bij uw organisatie.