De Europese NIS2-richtlijn heeft directe gevolgen voor duizenden Nederlandse organisaties. De Cyberbeveiligingswet, waarmee Nederland deze richtlijn omzet in nationale wetgeving, verplicht bedrijven en overheden in kritieke sectoren om hun digitale beveiliging structureel op orde te brengen. Voor een regio als Den Helder, met een marinebasis, havenactiviteiten en diverse zorginstellingen, is dat geen abstracte verplichting.

De NIS2-richtlijn (voluit: Directive 2022/2555) werd eind 2022 aangenomen door het Europees Parlement en de Raad. Lidstaten hadden tot 17 oktober 2024 de tijd om de regels in nationaal recht om te zetten. Nederland haalde die deadline niet, maar de Cyberbeveiligingswet vordert inmiddels richting invoering.

Een van de verplichtingen die uit NIS2 voortvloeien is dat organisaties via gestructureerde audits inzicht moeten krijgen in hun risico's. Een NIS2 TPM-audit toetst daarbij of technische, procedurele en menselijke maatregelen voldoen aan de vereisten uit de richtlijn. Organisaties die hier vroegtijdig mee beginnen, houden meer ruimte om tekortkomingen aan te pakken voordat handhaving op gang komt.

Wie valt er onder de nieuwe regels

NIS2 breidt het bereik van cyberbeveiligingswetgeving fors uit ten opzichte van de eerdere NIS1-richtlijn. Waar voorheen vooral grote vitale aanbieders werden geraakt, vallen nu ook middelgrote organisaties in sectoren als transport, gezondheidszorg, waterbeheer, digitale infrastructuur en openbaar bestuur onder de verplichtingen. De richtlijn maakt onderscheid tussen essentiële en belangrijke entiteiten, elk met een eigen toezichtregime.

In de praktijk betekent dit dat niet alleen telecombedrijven en energieleveranciers te maken krijgen met de wet. Ook regionale partijen zoals gemeenten, waterschappen, ziekenhuizen en havenbedrijven moeten aan strengere eisen voldoen. Het Digital Trust Center, onderdeel van het ministerie van Economische Zaken, biedt organisaties informatie en hulpmiddelen om te bepalen of zij onder de richtlijn vallen.

Wat dit betekent voor de regio Den Helder

Den Helder is de thuisbasis van de Koninklijke Marine en herbergt een actieve haven die zowel voor de offshore-industrie als voor de visserij van belang is. Organisaties die actief zijn in transport en maritieme dienstverlening vallen naar verwachting onder de reikwijdte van NIS2. Dat geldt eveneens voor de gemeente Den Helder zelf, die als overheidsinstantie verplichtingen krijgt rond cyberveiligheid.

Noordwest Ziekenhuisgroep, met een locatie in Den Helder, is een ander relevant voorbeeld. Zorginstellingen worden door NIS2 expliciet als essentiële entiteiten aangemerkt en moeten onder meer beveiligingsincidenten binnen 24 uur melden bij de aangewezen toezichthouder. Een NIS2 TPM-audit kan dergelijke instellingen helpen om vast te stellen of hun meldprocedures en risicobeheer aan de eisen voldoen.

Veel van deze organisaties werkten al met informatiebeveiligingsbeleid. NIS2 gaat echter verder door aantoonbare maatregelen te eisen op bestuursniveau, inclusief ketenbeheer en periodieke toetsing door onafhankelijke auditors.

Hoe organisaties zich kunnen voorbereiden

De eerste stap is vaststellen of de organisatie daadwerkelijk onder de Cyberbeveiligingswet valt. Het Digital Trust Center biedt hiervoor een zelfevaluatietool aan op zijn website. Vervolgens is het zaak om een gap-analyse uit te voeren die de huidige beveiligingsmaatregelen afzet tegen wat NIS2 vereist.

Externe ondersteuning kan dat proces versnellen. IT-auditbureaus zoals het in Breda gevestigde 2-Control voeren NIS2 TPM-audits uit waarbij technische en organisatorische maatregelen systematisch worden doorgelicht. Het eindproduct is doorgaans een assuranceverklaring die richting toezichthouders als bewijsstuk kan dienen.

Het NCSC (Nationaal Cyber Security Centrum) benadrukt al langer dat organisaties niet moeten wachten tot handhaving begint. Wie nu begint met het structureren van risicomanagement, incidentrespons en ketenbeveiliging, voorkomt dat er onder tijdsdruk cruciale stappen worden overgeslagen.

Toezicht en sancties worden tastbaar

Onder NIS2 krijgen nationale toezichthouders ruimere bevoegdheden dan voorheen. Voor essentiële entiteiten geldt actief toezicht, voor belangrijke entiteiten is dat reactief na incidenten of signalen. De boetes die de richtlijn mogelijk maakt, lopen voor essentiële entiteiten op tot tien miljoen euro of twee procent van de wereldwijde jaaromzet, afhankelijk van welk bedrag hoger uitvalt.

Dat maakt naleving niet langer alleen een kwestie van goed beleid, maar ook van concreet financieel risico. Zeker voor middelgrote organisaties in de regio Den Helder die voor het eerst met dit type Europese regelgeving te maken krijgen, is vroegtijdige planning geen luxe. De Cyberbeveiligingswet brengt verplichtingen mee die raken aan governance, techniek en dagelijkse bedrijfsvoering tegelijk.