De NIS2-tijdlijn

Wat moet u wanneer geregeld hebben?

🌍TL;DR

De NIS2-richtlijn is sinds oktober 2024 van kracht in de EU. In Nederland wordt deze naar verwachting in Q2 2026 geïmplementeerd via de Cyberbeveiligingswet. Organisaties krijgen daarna 6 maanden om te voldoen. Non-compliance kan leiden tot boetes tot €10 miljoen of 2% van de omzet, aansprakelijkheid van bestuurders en reputatieschade. Start nu met risicoanalyses, ketenbeheer en beleidsontwikkeling om tijdig compliant te zijn.

De Europese NIS2-richtlijn is sinds 17 oktober 2024 van kracht. In Nederland wordt deze vertaald naar nationale wetgeving via de Cyberbeveiligingswet, die naar verwachting in het tweede kwartaal van 2026 in werking treedt. Hoewel de wet nog niet geldt, is het essentieel dat organisaties zich nu al voorbereiden.

In deze blog vindt u een actuele tijdlijn en concrete actiepunten om tijdig compliant te zijn.

Tijdlijn NIS2-implementatie in Nederland

Periode

Actiepunt

Toelichting

Q4 2024

Start voorbereiding

De EU-richtlijn is van kracht. Begin met risicoanalyse, bewustwording en keteninventarisatie.

Q1–Q3 2025

Gap-analyse & beleidsontwikkeling

Gebruik tools zoals de NIS2 Quickscan van het NCSC om uw huidige situatie te toetsen.

Q4 2025 – Q1 2026

Wetsvoorbereiding & registratie

De Cyberbeveiligingswet ligt bij de Tweede Kamer. Vrijwillige registratie via het NCSC is mogelijk.

Q2 2026 (verwacht)

Inwerkingtreding wetgeving

De wet treedt in werking. Essentiële en belangrijke entiteiten vallen nu officieel onder NIS2.

Q2–Q4 2026

Grace period (6 maanden)

U moet aantoonbaar bezig zijn met implementatie.

Vanaf Q1 2027

Volledige compliance vereist

Toezichthouders kunnen sancties opleggen bij non-compliance. Zorg dat alles op orde is.

Wat moet u geregeld hebben?

1. Bepaal of uw organisatie onder NIS2 valt

De wet geldt voor:

  • Essentiële sectoren: energie, transport, gezondheidszorg, digitale infrastructuur.
  • Belangrijke sectoren: postdiensten, afvalbeheer, chemie, voedselproductie.

 

Let op: ook als u zelf niet onder NIS2 valt, kunt u via de keten alsnog verantwoordelijk zijn. Grote organisaties moeten hun leveranciers toetsen op cybersecurity. Dit betekent dat ook toeleveranciers hun digitale weerbaarheid aantoonbaar op orde moeten hebben.

2. Voer een risicoanalyse uit

Gebruik bijvoorbeeld de NIS2 Quickscan van het NCSC of ons eigen NIS2 Self Assessment. Dit vormt de basis voor uw maatregelen.

3. Stel een incident response plan op

  • Meldplicht binnen 24 uur bij significante incidenten.
  • Interne meldprocedures.
  • Aanspreekpunt binnen de organisatie.

4. Zorg voor bestuurlijke betrokkenheid

Bestuurders zijn persoonlijk aansprakelijk voor naleving. Zorg voor:

  • Security Awareness-trainingen.
  • Goedkeuring van maatregelen op bestuursniveau.
  • Periodieke rapportages.

5. Beveilig uw keten

  • Breng leveranciers en partners in kaart.
  • Stel eisen aan cybersecurity in contracten.
  • Monitor naleving actief.

6. Documenteer alles

  • Beleid, procedures en genomen maatregelen.
  • Audittrails en voortgangsrapportages.
  • Registratie in het entiteitenregister van het NCSC.

Gevolgen van non-compliance met NIS2

Het niet naleven van de NIS2-richtlijn kan verstrekkende gevolgen hebben, zowel juridisch als operationeel:

  • Boetes tot €10 miljoen of 2% van de wereldwijde jaaromzet.
  • Bestuurlijke aansprakelijkheid bij nalatigheid.
  • Verplichte openbaarmaking van incidenten, met reputatieschade tot gevolg.
  • Toezicht en audits door instanties zoals de NCTV of sectorale autoriteiten.
  • Verlies van vertrouwen bij klanten, partners en leveranciers.

 

NIS2 is geen vrijblijvende richtlijn, maar een wettelijke verplichting met serieuze consequenties.

Visuele tijdlijn

Oktober 2024
EU-richtlijn van kracht
De NIS2-richtlijn is officieel in werking getreden op Europees niveau. Lidstaten starten met nationale implementatie..
Oktober 2024
2025
Voorbereiding & gap-analyse
Organisaties starten met risicoanalyses, bewustwording, beleidsontwikkeling en het in kaart brengen van hun keten.
2025
Q2 2026
Inwerkingtreding Cyberbeveiligingswet (verwacht)
De Nederlandse wet treedt in werking. Essentiële en belangrijke entiteiten vallen nu officieel onder de wet.
Q2 2026
Q2–Q4 2026
Grace period (6 maanden)
Organisaties moeten aantonen dat zij bezig zijn met implementatie. Er is nog geen actieve handhaving, maar wel toezicht.
Q2–Q4 2026
Vanaf Q1 2027
Compliance verplicht
Volledige naleving is verplicht. Toezichthouders kunnen sancties opleggen bij non-compliance.
Vanaf Q1 2027

Conclusie

Hoewel de wet nog niet van kracht is, is wachten geen optie. De verplichtingen zijn omvangrijk en de voorbereidingstijd is beperkt. Door nu al te starten met risicoanalyses, beleidsontwikkeling en ketenbeheer, voorkomt u stress en boetes in 2026.

nis2-cirkel-1

Is uw organisatie voorbereid op de NIS2 wetgeving?

Doe het Self Assessment en ontdek het zelf!

NIS2 Self Assessment

Klaar om de cyberweerbaarheid van uw organisatie te verhogen?

Avista-Shegani

Avista denkt graag
met u mee.

ADRES

Blauwhekken 5b
4751 XD Oud Gastel

CONTACT

CUSTOMER CARE

LINKS

Building Our Future - Your.Cloud - White
ISO-27001