Valt uw organisatie onder NIS2?
Naar schatting vallen 160.000 Europese organisaties onder NIS2. Met zo’n brede reikwijdte is de eerste vraag voor veel organisaties of de richtlijn ook op hen van toepassing is. Op deze pagina leest u beknopt wat NIS2 vereist, hoe u bepaalt waar uw organisatie staat en welke eisen u met de 360°-aanpak van Stoïk kunt invullen.
Eerst een korte toelichting.
Voordat we ingaan op onze aanpak, zetten we kort op een rij wat NIS2 inhoudt en welke rol een verzekeraar daarbij kan spelen.
Wat NIS2 niet is
Naleving van NIS2 is geen product of certificaat dat u eenvoudig kunt aanschaffen. Een cyberverzekering zorgt er dus niet automatisch voor dat uw organisatie aan NIS2 voldoet. Geen enkel product doet dat op zichzelf, ook dat van Stoïk niet.
Waarbij Stoïk u ondersteunt
De 360°-aanpak van Stoïk combineert een cyberverzekering met preventie, detectie en 24/7 in-house incidentrespons. Daarmee ondersteunen wij u bij een groot deel van de operationele eisen van NIS2.
De verantwoordelijkheid voor naleving blijft bij uw organisatie, maar u staat er niet alleen voor.
Wat is NIS2?
NIS2 is de herziene Europese richtlijn voor cyberbeveiliging. De richtlijn vervangt NIS1 en breidt het aantal organisaties met formele verplichtingen uit van circa 1.500 naar naar schatting 160.000. In België is NIS2 sinds 18 oktober 2024 van kracht.
~1.500 → 160.000
Organisaties in de EU met verplichtingen onder NIS1 en, naar schatting, onder NIS2.
18 sectoren
11 sectoren met een hoge kriticiteit (Bijlage I) en 7 andere kritieke sectoren (Bijlage II).
24 uur / 72 uur / 1 maand
Initiële melding binnen 24 uur, daadwerkelijke incidentmelding binnen 72 uur, eindrapport binnen 1 maand.
€10 mln / 2%
Maximale boete voor essentiële entiteiten, of 2% van de wereldwijde jaaromzet. Het hoogste bedrag geldt.
Twee categorieën onder NIS2
Essentiële entiteiten
Wie: Grote ondernemingen in de sectoren uit Bijlage I, zoals energie, vervoer, bankwezen en gezondheidszorg. Ook telecomaanbieders, aanbieders van kerninfrastructuur voor internet, verleners van vertrouwensdiensten en overheidsinstanties vallen in deze categorie. Een onderneming geldt als 'groot' vanaf 250 werknemers of bij een jaaromzet van meer dan € 50 miljoen.
Beveiligingseisen: Alle beveiligingseisen van NIS2 zijn van toepassing.
Toezicht: Proactief, de toezichthouder kan uw organisatie controleren, ook zonder dat zich een incident heeft voorgedaan.
Sancties: Boetes tot € 10 miljoen of 2% van de wereldwijde jaaromzet, waarbij het hoogste bedrag geldt. Bestuurders zijn daarnaast persoonlijk aansprakelijk en kunnen in het uiterste geval tijdelijk uit hun functie worden gezet.
Belangrijke entiteiten
Wie: Middelgrote ondernemingen in de sectoren uit Bijlage I, en ondernemingen in de sectoren uit Bijlage II, zoals voeding, maakindustrie en chemie.
Beveiligingseisen: Alle beveiligingseisen van NIS2 zijn van toepassing.
Toezicht: Reactief, de toezichthouder grijpt vooral in wanneer er aanwijzingen zijn dat een organisatie niet aan de eisen voldoet.
Sancties: Boetes tot € 7 miljoen of 1,4% van de wereldwijde jaaromzet, waarbij het hoogste bedrag geldt. Bestuurders zijn daarnaast persoonlijk aansprakelijk.
Een richtlijn, geen verordening.
NIS2 is op 27 december 2022 op EU-niveau gepubliceerd. Omdat het om een richtlijn gaat, moet elke lidstaat NIS2 omzetten in nationaal recht, en de enige juridisch bindende bron blijft altijd de nationale omzettingswet.
- ItaliëOmgezet — 16 oktober 2024Van kracht
- BelgiëOmgezet — 18 oktober 2024Van kracht
- DuitslandOmgezet — 6 december 2025Van kracht
- NederlandOmgezet — 15 augustus 2026Van kracht
- OostenrijkAangenomen, nog niet in werking getreden — 1 oktober 2026Aangenomen
- FrankrijkIn behandeling bij het parlementNiet omgezet
- SpanjeVoorontwerp van wetNiet omgezet
Situatie op 31 augustus 2026. Lidstaten mogen de inhoud van de richtlijn bij de omzetting aanpassen, waardoor reikwijdte en detail per land verschillen. Sommige termijnen lopen vanaf de datum waarop een entiteit wordt geïdentificeerd, en niet vanaf één nationale datum.
NIS2 in België
Hoe België er vandaag voor staat.
NIS2 wordt pas afdwingbaar via de nationale wet, dus dit zijn de gegevens die echt voor u gelden. Gecontroleerd op 31 augustus 2026 — we werken dit bij zodra er in België iets verandert.
- Nationale wet
- Wet van 26 april 2024
- Status
- Omgezet
- Van toepassing vanaf
- 18 oktober 2024
- Toezichthoudende overheid
- CCB
- Waar u incidenten meldt
- Safeonweb@Work
- Verificatieschema
- CyberFundamentals (CyFun®)
- Belangrijke datums
- CyFun-verificatie tegen 18 april 2026
- Goed om te weten
- Het enige van de zeven landen met een verplicht schema
In de kern draait NIS2 om drie vragen
Valt mijn organisatie onder NIS2?
Dat hangt af van uw sector, de omvang van uw organisatie en het type diensten dat u levert. Uw organisatie is een essentiële entiteit, een belangrijke entiteit of valt buiten de richtlijn. Die vaststelling is de eerste stap.
Wat moeten wij concreet doen?
NIS2 vraagt maatregelen op tien gebieden van cyberbeveiliging en legt een meldplicht op. Een significant incident meldt u via het meldportaal van het CCB: binnen 24 uur een vroegtijdige waarschuwing, binnen 72 uur een incidentmelding en binnen een maand een eindverslag.
Waar staan wij vandaag?
Breng per gebied in kaart hoe ver uw organisatie al is. Met dat inzicht kunt u gericht prioriteiten stellen.
Val ik onder NIS 2?
Beantwoord een paar vragen om te zien of de NIS 2-richtlijn op uw organisatie van toepassing is en welke conformiteitsdomeinen voor u gelden.
Hoeveel werknemers telt uw onderneming?
Deze zelfevaluatie geeft u een snel beeld van uw situatie ten aanzien van NIS 2. Het is geen conformiteitsaudit en geen bewijs dat uw nationale toezichthoudende overheid zou aanvaarden. Echte conformiteit vraagt om gedocumenteerd bewijs en het oordeel van een expert. Deze tool is enkel indicatief.
Compliance check: drie vragen, één overzicht
Bent u verzekerd bij Stoïk? Dan kunt u gratis de Compliance Check in Stoïk Protect gebruiken. Zo krijgt u snel inzicht in waar uw organisatie staat op het gebied van NIS2 en andere normenkaders.
*De Compliance Check is een zelfevaluatie, geen audit of juridisch advies, en geldt daarom niet als bewijs tegenover een toezichthouder.
Drie gegevens, vooraf ingevuld
(1) Uw sector, (2) het aantal medewerkers en (3) de geconsolideerde omzet vullen we vooraf in op basis van uw verzekeringsovereenkomst. Klopt er iets niet? Dan past u het eenvoudig aan. Geen uitgebreide vragenlijst, externe consultant of spreadsheet nodig.
Een duidelijk resultaat
U ziet direct of NIS2 voor uw organisatie geldt en of u een essentiële of belangrijke entiteit bent. De Compliance Check verduidelijkt ook wat dat betekent voor het toezicht, de persoonlijke aansprakelijkheid van bestuurders, mogelijke boetes en geldende termijnen.
40 concrete acties
De Compliance Check verdeelt NIS2 in tien gebieden, elk met vier concrete taken en een verwijzing naar het relevante wetsartikel. Taken die Stoïk al voor u invult, zijn vooraf aangevinkt. Zo ziet u meteen wat er nog moet gebeuren en waarvoor uw organisatie zelf verantwoordelijk is.
Na een aanval: wanneer de toezichthouder onderzoek doet
Tot nu toe was de regelgevingsdekking van onze polis gericht op gegevensbescherming onder de GDPR. Met de polisvoorwaarden van 2026 breiden wij die dekking uit naar NIS2 en DORA. Leidt een kwaadwillige aanval op uw systemen tot een onderzoek door een toezichthouder, dan dekt uw polis de onderzoekskosten en eventuele boetes, voor zover die wettelijk verzekerbaar zijn.
Breder dan gegevensbescherming
De dekking is niet langer beperkt tot onderzoeken van de Autoriteit Persoonsgegevens. Ook een onderzoek dat een toezichthouder na een aanval instelt op grond van NIS2 of DORA valt nu onder uw polis.
Het onderzoek, en wat erop volgt
Wij vergoeden de kosten van het onderzoek en de boetes die daaruit voortvloeien. Voorwaarde is dat het onderzoek volgt op een kwaadwillige aanval op uw systemen en dat de boete wettelijk verzekerbaar is. Een boete na een reguliere controle zonder voorafgaande aanval valt hier niet onder.
Juridische ondersteuning bij een NIS2-melding
Moet u een incident melden onder NIS2? Dan vergoedt onze dekking voor crisisbeheer ook de kosten van juridisch advies bij die melding.
5 pijlers, elk gekoppeld aan specifieke NIS2-eisen
Stoïk brengt alle cyberexpertise onder één dak: verzekering, cyberbeveiliging en een in-house CERT, in plaats van drie partijen die u zelf moet coördineren.
Technisch risico
Continue scans van uw externe aanvalsoppervlak, Active Directory en cloudomgeving, en monitoring op gelekte inloggegevens.
201.000+ unieke kwetsbaarheden per jaar gedetecteerd
Menselijk risico
Human Security van Stoïk biedt Simulatie, training en een meldknop voor verdachte e-mails, verbonden door een gedragsanalyse die het programma per medewerker aanpast.
Managed Defense
MDR en Managed Email Security, 24/7 beheerd door ons in-house SOC, stoppen malware en fraude voordat ze schade aanrichten.
0 succesvolle ransomware-aanvallen bij 800+ MDR-klanten
Incidentrespons
Een in-house CERT dat 24/7 klaarstaat, van indamming tot volledig herstel.
200+ incidenten per maand, met een gemiddelde hersteltijd van minder dan 5 dagen
Cyberverzekering
Dekking voor crisismanagement en IT-forensisch onderzoek, bedrijfsschade, cyberafpersing, aansprakelijkheid en fraude.
Voor ondernemingen met een omzet tot € 1 miljard
Waar wilt u beginnen?
NIS2 als aanleiding voor het gesprek over cyberrisico
NIS2 legt de verantwoordelijkheid voor cyberrisico expliciet bij het bestuur. Dat biedt u een concrete aanleiding om met klanten over hun cyberrisico’s in gesprek te gaan. Ook als NIS2 niet rechtstreeks op hen van toepassing is, maar ze wel leverancier zijn van een organisatie die eronder valt.
Controleer of NIS2 voor uw organisatie geldt
U hoeft daarvoor niet meteen een uitgebreid adviestraject op te starten. Begin met na te gaan of NIS2 op uw organisatie van toepassing is en bekijk vervolgens welke maatregelen u al hebt genomen en wat er nog nodig is.