NIS2: is de richtlijn al ingevoerd in Nederland?

Richtlijn (EU) 2022/2555 · NIS2

Wat regelt de richtlijn?

NIS2 is een richtlijn: een Europese wet die elk land zelf in eigen wetten moet omzetten. Deze wet moet de digitale veiligheid in de Europese Unie verbeteren. Het gaat om het beschermen van netwerken, systemen voor informatie en mensen tegen digitale dreigingen.

De wet geeft EU-landen dezelfde regels voor digitale veiligheid. Ook zijn er regels voor het melden van problemen en voor samenwerking.

Bedrijven en instellingen die onder NIS2 vallen, moeten hun digitale risico’s beperken. Ze moeten die risico’s onderzoeken en passende stappen nemen om zich te beschermen. Ook moeten ze zorgen dat hun werk bij storingen kan doorgaan. Ze moeten daarbij ook letten op de beveiliging van hun leveranciers.

Bestuurders moeten de stappen goedkeuren en erop toezien dat die worden uitgevoerd. Overtreedt hun bedrijf of instelling de regels? Dan kunnen zij daarvoor aansprakelijk worden gesteld.

Bedrijven en instellingen moeten ernstige digitale problemen melden. Dat moet bij de overheid die hierover gaat, of bij een hulpteam met kennis van digitale veiligheid. Het gaat om problemen die ernstige storingen, geldverlies of grote schade kunnen veroorzaken.

EU-landen moeten samenwerken om digitale dreigingen aan te pakken. Ook moeten ze informatie over die dreigingen delen.

Voor wie geldt het?

NIS2 geldt vooral voor middelgrote en grote bedrijven en instellingen in belangrijke sectoren. Het gaat onder meer om energie, vervoer, banken, zorg, drinkwater en afvalwater.

Ook digitale diensten en diensten voor post en pakketten vallen eronder. Dat geldt ook voor bedrijven die afval verwerken of voedsel maken of verkopen. Ook instellingen die onderzoek doen, vallen onder NIS2.

NIS2 geldt ook voor bepaalde overheden op landelijk en regionaal niveau. Niet al het werk van de overheid valt onder de regels. Er valt onder meer werk rond de nationale veiligheid en defensie buiten.

EU-landen moeten een landelijk plan voor digitale veiligheid hebben. Daarin moeten ze ook aandacht geven aan onderwijs en opleiding. Burgers moeten zwakke plekken in digitale systemen kunnen melden. Dat moet ook kunnen zonder hun naam te noemen.

De Nederlandse wetten en regels

Dit heeft Nederland aan de Europese Commissie gemeld als invoering van deze richtlijn, van oud naar nieuw.

Een melding betekent nog niet dat de richtlijn helemaal is ingevoerd. Dat beoordeelt de Commissie; dat zie je aan de procedure hieronder.

De procedure van de Commissie

Als een land een richtlijn niet op tijd invoert, kan de Commissie een inbreukprocedure beginnen: een procedure tegen een land dat een EU-regel niet (goed) uitvoert.

Bron: inbreukbesluiten van de Europese Commissie (zoeken in de besluiten), besluiten tot en met 1 oktober 2026; opgehaald op 24 oktober 2026. De koppeling van zaak aan richtlijn maken wij zelf op grond van de titel van de zaak.

Hoe ver zijn de andere EU-landen?

22 van de 27 EU-landen hebben nieuwe regels voor deze richtlijn gemeld bij de Commissie; 5 nog niet.