De Cyberbeveiligingswet, de Nederlandse implementatie van NIS2, was bij vaststelling van deze tekst nog in behandeling. De Europese richtlijn had per oktober 2024 omgezet moeten zijn; de Nederlandse implementatie is later in werking getreden. Check de actuele status bij de Rijksoverheid of vraag het ons. 

Dat hangt af van je sector, je grootte en je activiteiten. Sommige sectoren vallen er sowieso onder; andere alleen als je een bepaalde omvang hebt. Een NIS2-scan brengt dat snel in kaart. Wij voeren die scans uit als onderdeel van onze advisering. 

Ja, in grote mate. Een goed werkend ISO 27001-managementsysteem dekt een aanzienlijk deel van de NIS2-eisen rond risicomanagement, beleid, beveiligingsmaatregelen en continu verbeteren. NIS2 voegt daar wel eisen aan toe, met name rond incidentmelding, keten en bestuurlijke verantwoordelijkheid. 

Ja, als je je zorgplicht niet naleeft. NIS2 legt de verantwoordelijkheid voor cybersecurity expliciet bij het bestuur. Heb je geen passende maatregelen getroffen, geen risicobeheersing ingericht, geen incidenten gemeld of geen zicht op je leveranciersketen? Dan kan de toezichthouder jou als bestuurder persoonlijk aanspreken. Op organisatieniveau lopen de boetes daarnaast op tot 10 miljoen euro of 2% van de wereldwijde omzet voor essentiële entiteiten, en tot 7 miljoen euro of 1,4% voor belangrijke entiteiten.