Van NIS-richtlijn naar NIS2: wat is er veranderd?

De NIS-richtlijn was de eerste Europese wetgeving over de beveiliging van netwerk- en informatiesystemen. NIS2 is de opvolger, en die verschilt op vijf punten wezenlijk van zijn voorganger.

Wie de eerste richtlijn kende, herkent de opzet: een zorgplicht, een meldplicht en toezicht. Wat er is veranderd, is vooral wie eronder valt en hoe hard de verplichtingen zijn.

Hieronder ziet u de vijf verschillen en wat ze in de praktijk betekenen.

Verschil 1: veel meer organisaties

Dit is verreweg de grootste verandering. De eerste richtlijn richtte zich op een beperkte groep aanbieders van essentiële diensten, per lidstaat zelf aangewezen. In de praktijk viel er in Nederland maar een handjevol organisaties onder.

NIS2 werkt met sectoren en omvangdrempels waarna u zelf beoordeelt of u eronder valt. Er zijn sectoren bijgekomen, waaronder post en koeriers, afvalbeheer, chemie, voeding, delen van de maakindustrie en digitale aanbieders.

Het gevolg is dat het aantal organisaties dat eronder valt met een veelvoud is toegenomen. Zie NIS2-sectoren.

Verschil 2: zelf beoordelen in plaats van aangewezen worden

Onder de eerste richtlijn wees de overheid aan wie eronder viel. U hoorde het dus. Onder NIS2 beoordeelt u zelf of u onder de wet valt, en registreert u zich als dat zo is.

Dat verschuift de verantwoordelijkheid. Een verkeerde inschatting is uw inschatting, en dat maakt het vastleggen van de onderbouwing belangrijker dan het lijkt. Zie voor wie geldt NIS2.

Verschil 3: het bestuur is aan zet

De eerste richtlijn zei weinig over wie binnen de organisatie verantwoordelijk was. NIS2 legt dat expliciet bij de leiding: die keurt de maatregelen goed, ziet toe op de uitvoering en moet aantoonbaar kennis hebben van de risico’s.

In de praktijk betekent dat het onderwerp een vast agendapunt wordt met vastgelegde besluiten. Zie bestuurdersaansprakelijkheid onder NIS2 en de CBW.

Verschil 4: de keten telt mee

Ketenbeveiliging wordt expliciet benoemd. U bent niet alleen verantwoordelijk voor uw eigen systemen maar ook voor het beheersen van de risico’s die via uw leveranciers binnenkomen.

Dat raakt ook organisaties die zelf niet onder de wet vallen, want zij krijgen de eisen contractueel doorgelegd. Dat is voor veel bedrijven de manier waarop dit onderwerp binnenkomt.

Verschil 5: meer harmonisatie en scherper toezicht

Onder de eerste richtlijn verschilde de invulling per lidstaat sterk, wat lastig was voor organisaties die in meerdere landen actief zijn. NIS2 harmoniseert de eisen en de meldtermijnen.

Ook het toezicht is scherper geregeld, met onderscheid tussen proactief toezicht bij essentiële entiteiten en reactief toezicht bij belangrijke entiteiten. De zorgplicht zelf is voor beide gelijk.

Wat betekent dit voor u

Als u onder de eerste richtlijn viel, is het vooral aanvullen: de keten, de bestuurlijke kant en de scherpere meldtermijnen. Uw fundament staat waarschijnlijk al.

Viel u er niet onder en nu wel, dan begint u bij de reikwijdtetoets en bij een overzicht van wat er al ligt. Zie de NIS2 checklist.

Waarom de eerste richtlijn tekortschoot

Het is nuttig te weten waar de tweede richtlijn vandaan komt, want dat verklaart de keuzes die erin zijn gemaakt.

Het eerste probleem was de reikwijdte. Lidstaten wezen zelf aan welke organisaties onder de richtlijn vielen, en deden dat terughoudend. Het gevolg was dat sectoren die inmiddels volledig digitaal werken buiten beeld bleven, terwijl uitval daar wel degelijk maatschappelijke gevolgen heeft.

Het tweede was de ongelijkheid tussen landen. Dezelfde richtlijn leverde per lidstaat andere verplichtingen, andere meldtermijnen en ander toezicht op. Voor organisaties die in meerdere landen werken betekende dat evenveel programma’s als landen.

Het derde was dat de keten buiten beeld bleef. Organisaties konden hun eigen systemen op orde hebben en toch stilvallen door een leverancier. Dat risico is sindsdien alleen maar toegenomen door de verdere uitbesteding van ICT.

NIS2 pakt die drie punten aan met een bredere reikwijdte, geharmoniseerde eisen en expliciete aandacht voor de keten. Daarmee is de verbreding geen doel op zich maar een antwoord op wat er niet werkte.

Wat u meeneemt als u al onder de eerste richtlijn viel

Viel u al onder de oude wetgeving, dan is dit geen nieuw traject maar een uitbreiding. Uw fundament blijft bruikbaar en dat scheelt aanzienlijk.

Wat blijft staan is uw risicobeoordeling, uw maatregelen, uw incidentproces en uw rolverdeling. Die hoeft u niet opnieuw te maken, alleen te toetsen of ze nog kloppen met de nieuwe eisen.

Wat erbij komt is in hoofdlijnen drieledig. De keten, want die was er eerder niet als expliciet onderwerp. De bestuurlijke kant, met aantoonbare kennis en vastgelegde besluiten. En de meldtermijnen, die nu scherper zijn geregeld en gefaseerd verlopen.

Toets daarnaast opnieuw of uw scope nog klopt. De reikwijdte is verbreed, en dat kan betekenen dat onderdelen van uw organisatie die eerder buiten beeld bleven er nu wel onder vallen.

Waarom het aantal organisaties zo hard steeg

Van een handvol naar duizenden: die sprong roept vaak de vraag op of dat niet doorgeschoten is. Er zit een redenering achter.

Onder de eerste richtlijn wees elke lidstaat zelf aan wie eronder viel, en dat gebeurde terughoudend. Het gevolg was dat hele sectoren die inmiddels volledig digitaal werken buiten beeld bleven, terwijl uitval daar wel degelijk maatschappelijk merkbaar is.

Daarbij kwam dat het aanwijzen zelf een probleem was. Overheden moesten per organisatie beoordelen en dat schaalde niet. Door te werken met sectoren en drempels waarna u zelf toetst, verschuift dat werk naar de organisaties en wordt de groep vanzelf breder.

Het derde was de keten. Organisaties met hun eigen zaken op orde vielen alsnog stil door een leverancier, en dat risico is met de verdere uitbesteding van ICT alleen maar toegenomen.

Veelgestelde vragen over NIS en NIS2

Geldt de oude NIS-richtlijn nog?

Nee, NIS2 vervangt de eerste richtlijn. In Nederland is dat vertaald naar de Cyberbeveiligingswet, die de eerdere wetgeving op dit terrein opvolgt.

Wij vielen onder de oude wet. Wat verandert er?

Uw fundament blijft bruikbaar. Wat erbij komt is vooral ketenbeveiliging, de aantoonbare kennis bij bestuurders en de scherper geregelde meldtermijnen. Toets ook opnieuw of uw scope nog klopt.

Waarom is er een tweede richtlijn gekomen?

Omdat de eerste te smal bleek en de invulling per lidstaat te sterk verschilde. Dat maakte het lastig voor organisaties die grensoverschrijdend werken en het liet grote delen van de economie buiten beschouwing.

Is NIS2 hetzelfde als de Cyberbeveiligingswet?

NIS2 is de Europese richtlijn, de Cyberbeveiligingswet is de Nederlandse omzetting daarvan. Voor uw organisatie is de Nederlandse wet leidend. Zie de Cyberbeveiligingswet.

Komt er nog een NIS3?

Daar is op dit moment geen sprake van. Wel komen er aanpalende regels bij, zoals de Cyber Resilience Act voor producten met digitale elementen en DORA voor de financiële sector.