Meer bedrijven in kritieke sectoren krijgen verplichtingen voor cyberbeveiliging (NIS2)

Wat gaat er veranderen?

Meer bedrijven en organisaties in kritieke sectoren krijgen verplichtingen (zorgplicht en meldplicht) om de cybersecurity te vergroten en cyberaanvallen tegen te gaan. Deze verplichtingen staan in de Network and Information Security directive (NIS2-richtlijn).

Wat is de NIS2-richtlijn?

Deze NIS2-richtlijn moet meehelpen aan een hoger niveau van cybersecurity voor netwerk- en informatiesystemen bij bedrijven en organisaties. De NIS2-richtlijn moet ervoor zorgen dat de EU-landen zich beter beschermen tegen dreigingen die de samenleving of economie kunnen verstoren of ontwrichten. De NIS2 is de opvolger van de eerste NIS-richtlijn (de NIB). Deze richtlijn is in 2016 in Nederland opgenomen in de Wet Beveiliging Netwerk- en Informatiesystemen (Wbni).

Voor wie?

De NIS2-richtlijn geldt voor sectoren die al onder de eerste NIS-richtlijn vallen en daar komen nu sectoren bij. Uw organisatie valt automatisch onder de NIS2-richtlijn als:

• Uw organisatie actief is in 1 van de sectoren in bijlage 1 van de NIS2-richtlijn of bijlage 2 van de NIS2-richtlijn, en

• u heeft een middelgrote organisatie met minimaal 50 werknemers of een jaaromzet of balanstotaal van meer dan € 10 miljoen (uw organisatie is een belangrijke entiteit), of
• u heeft een grote organisatie met meer dan 250 werknemers of een netto omzet van meer dan € 50 miljoen en een balanstotaal van meer dan € 43 miljoen (uw organisatie is een essentiële entiteit).
• De NIS2 geldt automatisch voor micro- of kleine bedrijven in de kritieke sector. De minister kan een micro- of klein bedrijf aanwijzen. Bijvoorbeeld als uw dienstverlening van cruciaal belang is voor de Nederlandse economie of samenleving. Als dat zo is, krijgt u hierover bericht.

Wat moet u doen?

Als uw organisatie onder de NIS2-richtlijn valt, gelden deze regels:

Wanneer?

De NIS2-richtlijn wordt omgezet in nationale wetgeving: De Cyberbeveiligingswet (Cbw). Naar verwachting gaat de Cbw in het derde kwartaal van 2025 in. Eerst moeten de Eerste en Tweede Kamer de Cyberbeveiligingswet behandelen. De organisaties die onder de NIS2-richtlijn vallen moeten vanaf dat moment aan de zorgplicht en meldplicht voldoen.

De Cyberbeveiligingswet (Cbw) zou eerst in oktober 2024 ingaan. Maar het omzetten van de NIS2-richtlijn in de Cyberbeveiligingswet kost meer tijd dan verwacht. Lees wat de gevolgen zijn van de latere ingangsdatum.