Aankoopgids NIS2 Compliance Begeleiding

Je valt eronder als je actief bent in een van de 18 aangewezen sectoren en middelgroot of groter bent. Juridische analyses van de wet leggen die drempel bij ongeveer 50 medewerkers of meer dan 10 miljoen euro jaaromzet of balanstotaal; de RDI-zelfevaluatie is de manier om het voor je eigen situatie vast te stellen. Sommige organisaties vallen er ongeacht hun omvang onder, zoals aanbieders van openbare elektronische communicatienetwerken en vertrouwensdienstverleners. In totaal gaat het om ruim 8.000 organisaties in Nederland. De RDI biedt een gratis zelfevaluatie waarmee je dit kunt nagaan.

De Cyberbeveiligingswet en het Cyberbeveiligingsbesluit zijn op 15 augustus 2026 in werking getreden. Er gold geen algemene overgangstermijn: de verplichtingen gelden sinds die datum. Voor de verplichte bestuurdersopleiding geldt een termijn van uiterlijk twee jaar na de inwerkingtreding.

Beide categorieën hebben dezelfde kernverplichtingen: registratieplicht, zorgplicht en meldplicht. Het verschil zit in het toezicht en de sancties. Bij essentiële entiteiten houdt de toezichthouder proactief toezicht, wat betekent dat je ook zonder incident bezoek of informatieverzoeken kunt krijgen. Bij belangrijke entiteiten is het toezicht vooral achteraf, doorgaans naar aanleiding van een incident of signaal.

Nee, ISO 27001 is een sterke basis maar geen automatische compliance. De overlap is groot op risicoanalyse, beleid, interne audits en bewustwording, dus met een werkend ISMS heb je een flinke voorsprong. Wat ISO 27001 niet dekt zijn de wettelijke elementen: registratie in het entiteitenregister, de gestaffelde meldplicht binnen 24 uur, 72 uur en 1 maand, de bestuurlijke goedkeurings- en opleidingsplicht, en het aantoonbaar verifiëren van je toeleveringsketen. Reken op een aanvullend traject bovenop je certificering.

Volgens juridische analyses van de wet kan de boete voor essentiële entiteiten oplopen tot 10 miljoen euro of 2 procent van de wereldwijde jaaromzet, waarbij het hoogste bedrag geldt, en voor belangrijke entiteiten tot maximaal 7 miljoen euro of 1,4 procent. Die bedragen volgen artikel 34 van de NIS2-richtlijn; de rijksoverheidspagina over de inwerkingtreding noemt zelf geen boetebedragen, dus toets ze bij de toezichthouder voordat je erop stuurt. Bestuurders moeten de maatregelen zelf goedkeuren, toezien op de uitvoering en een opleiding volgen. Doen ze dat niet, dan kan dat volgens dezelfde analyses kwalificeren als onbehoorlijke taakvervulling onder artikel 2:9 BW, wat een route naar persoonlijke aansprakelijkheid opent.

Begin met de zelfevaluatie om vast te stellen of en hoe je onder de wet valt, want dat bepaalt alles daarna. Regel daarna je registratie in het entiteitenregister via MijnNCSC en breng in kaart welke maatregelen je al hebt getroffen. Het NCSC adviseert expliciet om niet te wachten maar nu te starten, juist omdat er geen overgangsperiode komt. Praktisch is de volgorde: zelfevaluatie, registratie, risicoanalyse, gap-analyse, en dan pas het implementatieplan.

Een quickscan zit doorgaans rond €1.000 tot €2.500, een diepgaande gap-analyse rond €2.500 tot €10.000, en een volledig implementatietraject tussen circa €5.000 en €50.000 of meer. De belangrijkste prijsdrijvers zijn je omvang, je huidige beveiligingsvolwassenheid, het aantal applicaties en cloudkoppelingen, en of je alleen een analyse wilt of ook begeleiding tot aantoonbare naleving. Heb je al ISO 27001 of NEN 7510 draaien, dan valt het traject beduidend lager uit.