NIS2

NIS2 (EU 2022/2555): EU-cyberbeveiligingsrichtlijn met meldplicht, boetes en bestuurdersaansprakelijkheid voor essentiele en belangrijke entiteiten.

NIS2 (Richtlijn (EU) 2022/2555) is de Europese richtlijn voor de cyberbeveiliging van netwerk- en informatiesystemen (NIS) voor essentiele en belangrijke entiteiten in veel sectoren. De richtlijn is in werking getreden in januari 2023, met een omzettingstermijn voor lidstaten tot 17 oktober 2024 en toepassing van de nationale omzettingsmaatregelen vanaf 18 oktober 2024. NIS2 verbreedt de reikwijdte van de oorspronkelijke NIS-richtlijn naar veel meer sectoren die zijn opgenomen in de bijlagen I en II. Bijlage I omvat sectoren zoals energie, vervoer, bankwezen, infrastructuur voor financiele markten, gezondheidszorg, drinkwater, digitale infrastructuur en overheid. Bijlage II omvat sectoren zoals post- en koeriersdiensten, afvalbeheer, chemicalien, voedselproductie en industriele productie. De richtlijn introduceert strengere eisen voor risicobeheer en incidentmelding (vroege waarschuwing binnen 24 uur) plus persoonlijke verantwoordelijkheid voor bestuurders. Entiteiten in sectoren van bijlage I die groot zijn, worden aangemerkt als essentiele entiteit; entiteiten in sectoren van bijlage I die middelgroot zijn, en entiteiten in sectoren van bijlage II die middelgroot of groot zijn, worden aangemerkt als belangrijke entiteit. Deze omvangscategorieen volgen de EU-mkb-definities uit Aanbeveling 2003/361/EG. Kleine en micro-entiteiten vallen doorgaans buiten de reikwijdte, behalve in specifieke gevallen zoals enige aanbieders in een lidstaat, overheidsinstanties, aanbieders van openbare elektronische-communicatienetwerken of -diensten, aanbieders van topleveldomeinnamen en DNS-diensten, en vertrouwensdienstverleners - die allemaal ongeacht hun omvang binnen de reikwijdte blijven op grond van artikel 2, lid 2. Onder vertrouwensdienstverleners wijst artikel 3, lid 1, onder b, gekwalificeerde vertrouwensdienstverleners - waaronder QTSP's zoals Cleverbase - ongeacht hun omvang aan als essentiele entiteit, terwijl niet-gekwalificeerde vertrouwensdienstverleners eveneens ongeacht hun omvang binnen de reikwijdte vallen, op grond van artikel 2, lid 2, onder a, ii. Hun indeling volgt daarna de algemene regel: een grote niet-gekwalificeerde aanbieder is een essentiele entiteit op grond van artikel 3, lid 1, onder a, en elke andere - middelgroot, klein of micro - is een belangrijke entiteit op grond van artikel 3, lid 2. Klein zijn is voor een vertrouwensdienstverlener dus geen ontsnapping aan NIS2; het bepaalt alleen in welke van de twee klassen je valt. Zie de begrippen vertrouwensdienst en QTSP voor de manier waarop eIDAS deze twee termen definieert. Artikel 21 stelt minimale risicobeheermaatregelen vast die entiteiten moeten treffen, zoals beveiliging van de toeleveringsketen, multifactorauthenticatie, encryptie, bedrijfscontinuiteitsplanning en back-ups. Uitvoeringsverordening (EU) 2024/2690 werkt deze eisen van artikel 21 verder uit in technisch detail, voor een afgebakende reeks entiteiten: DNS-dienstverleners, registers voor topleveldomeinnamen, aanbieders van cloud, datacentra en content delivery networks, aanbieders van beheerde diensten en beheerde beveiligingsdiensten, online marktplaatsen, zoekmachines, socialenetwerkplatforms en vertrouwensdienstverleners. Op grond van artikel 3, lid 4, moeten lidstaten entiteiten die onder de richtlijn vallen verplichten identificerende gegevens aan te leveren bij de bevoegde autoriteit; de precieze registratieprocedure hangt af van de wijze waarop elke lidstaat dit implementeert.

Zoals hierboven vermeld, moesten EU-lidstaten NIS2 uiterlijk op 17 oktober 2024 omzetten in nationale wetgeving, waarna de richtlijn de oorspronkelijke NIS-richtlijn vervangt. Nederland heeft die deadline niet gehaald: de Wbni (Wet beveiliging netwerk- en informatiesystemen), die de oorspronkelijke NIS-richtlijn implementeerde, blijft van kracht totdat de Cyberbeveiligingswet in werking treedt. De Eerste Kamer heeft op 6-7 juli 2026 over de Cyberbeveiligingswet gestemd, en de inwerkingtreding wordt verwacht op 15 augustus 2026, met de RDI als aangewezen toezichthouder voor digitale infrastructuur. Doordat de omzetting is vertraagd, hebben entiteiten die door NIS2 nieuw onder de reikwijdte vallen in beginsel nog geen rechtstreeks bindende verplichtingen naar Nederlands recht; entiteiten die al onder de Wbni vielen, blijven ondertussen gebonden aan de bestaande regels daarvan. Voor Cleverbase stapelen de NIS2-verplichtingen op de beveiligingseisen van eIDAS en ETSI waaraan het als QTSP al voldoet. Specifiek voor QTSP's geldt dat artikel 19 van eIDAS, dat voorheen de beveiligings- en incidentmeldplichten van vertrouwensdienstverleners regelde, door artikel 42 van NIS2 is geschrapt per 18 oktober 2024; de gelijkwaardige verplichtingen staan nu in artikel 24 van eIDAS (toegevoegd door Verordening (EU) 2024/1183), dat als EU-verordening rechtstreeks van toepassing is en niet afhankelijk is van de inwerkingtreding van de Cyberbeveiligingswet. In de praktijk blijft Cleverbase de op ETSI gebaseerde beveiligings- en incidentmeldpraktijken toepassen waarop beide regimes zijn gebaseerd.