Wat zijn de gevolgen als je niet voldoet aan de NIS2?

Als je niet voldoet aan de NIS2-richtlijn, riskeer je aanzienlijke boetes, persoonlijke aansprakelijkheid voor bestuurders en ernstige operationele schade bij een cyberincident. De NIS2-richtlijn legt strenge verplichtingen op aan organisaties in kritieke sectoren op het gebied van cybersecurity en incidentrapportage. In dit artikel beantwoorden we de meest gestelde vragen over de gevolgen van niet-naleving, zodat je precies weet waar je aan toe bent. Wil je alvast weten hoe je organisatie ervoor staat? Neem gerust contact op en we helpen je verder.

Welke sancties kunnen organisaties krijgen bij NIS2-overtredingen?

Bij NIS2-overtredingen kunnen organisaties rekenen op bestuurlijke boetes die oplopen tot 10 miljoen euro of 2% van de wereldwijde jaaromzet voor essentiële entiteiten, en tot 7 miljoen euro of 1,4% van de omzet voor belangrijke entiteiten. De toezichthouder kiest het hoogste bedrag van beide berekeningen. Naast boetes zijn er ook niet-financiële sancties mogelijk.

De NIS2-sancties zijn opgebouwd in lagen. Naast directe boetes kan de bevoegde autoriteit ook bindende aanwijzingen opleggen, verplichte audits eisen of tijdelijke beperkingen opleggen aan de bedrijfsvoering. In ernstige gevallen kan een toezichthouder zelfs de uitoefening van leidinggevende functies tijdelijk verbieden.

Belangrijk om te weten: sancties worden niet alleen opgelegd na een incident. Ook als bij een toezichtscontrole blijkt dat je organisatie de verplichte maatregelen niet heeft getroffen, riskeer je een boete. Denk hierbij aan het ontbreken van een risicobeheersysteem, het ontbreken van een incidentresponsplan of het niet tijdig melden van een beveiligingsincident.

Wie is persoonlijk aansprakelijk als een organisatie de NIS2 niet naleeft?

Onder de NIS2-richtlijn kunnen bestuurders en directieleden persoonlijk aansprakelijk worden gesteld als een organisatie de verplichtingen niet naleeft. Dit is een van de meest ingrijpende veranderingen ten opzichte van eerdere cybersecurityregelgeving. Persoonlijke aansprakelijkheid geldt wanneer kan worden aangetoond dat het bestuur onvoldoende toezicht heeft gehouden op de naleving van NIS2-verplichtingen.

Concreet betekent dit dat een directeur of bestuurslid niet langer kan zeggen dat cybersecurity “de verantwoordelijkheid van de IT-afdeling” is. De NIS2 vereist actieve betrokkenheid van het hoogste managementniveau bij het goedkeuren van beveiligingsmaatregelen en het toezicht op de naleving ervan.

In de praktijk betekent persoonlijke aansprakelijkheid dat bestuurders verplicht zijn om kennis te nemen van de risico’s, het beleid goed te keuren en de uitvoering te monitoren. Wie dit nalaat en daardoor schade ontstaat, kan persoonlijk worden aangesproken, ook los van de boetes die de organisatie zelf krijgt.

Wat zijn de operationele gevolgen van een NIS2-incident zonder naleving?

Als een organisatie een beveiligingsincident ervaart terwijl zij niet aan de NIS2-verplichtingen voldoet, zijn de operationele gevolgen aanzienlijk groter dan wanneer de richtlijn wel was nageleefd. Zonder de verplichte beveiligingsmaatregelen duurt herstel langer, is de schade groter en volgen er vrijwel zeker handhavingsmaatregelen van de toezichthouder.

De directe operationele schade kan bestaan uit langdurige uitval van systemen, verlies van klantgegevens, reputatieschade en het verlies van klantvertrouwen. Maar de indirecte gevolgen zijn minstens zo impactvol: een organisatie zonder aantoonbaar incidentresponsplan heeft geen gestructureerde aanpak om de situatie te beheersen, waardoor de chaos groter wordt en herstelkosten exponentieel oplopen.

Bovendien geldt onder NIS2 een strikte meldplicht. Een significant incident moet binnen 24 uur worden gemeld bij de bevoegde autoriteit, met een volledig rapport binnen 72 uur. Wie dit verzuimt, stapelt een extra overtreding op de oorspronkelijke kwetsbaarheid. De combinatie van een incident én niet-naleving is daarmee dubbel kostbaar.

Welke sectoren vallen onder NIS2 en lopen het meeste risico?

De NIS2-richtlijn is van toepassing op organisaties in elf essentiële sectoren en zeven belangrijke sectoren. Essentiële sectoren omvatten energie, transport, bankwezen, financiële marktinfrastructuur, gezondheidszorg, drinkwater, afvalwater, digitale infrastructuur, ICT-dienstverlening, overheid en ruimtevaart. Organisaties in deze sectoren lopen het meeste risico bij niet-naleving, omdat zij onder het strengste toezichtsregime vallen.

Naast de essentiële sectoren vallen ook organisaties in post- en koeriersdiensten, afvalstoffenbeheer, chemische industrie, voedselproductie, maakindustrie en digitale diensten onder de richtlijn als belangrijke entiteiten. Het onderscheid tussen “essentieel” en “belangrijk” bepaalt niet alleen de hoogte van mogelijke boetes, maar ook de intensiteit van het toezicht.

In Nederland zijn zorginstellingen, overheidsorganisaties en ICT-dienstverleners bijzonder kwetsbaar. Zij verwerken gevoelige data, zijn afhankelijk van digitale systemen en staan bloot aan een hoog cyberrisico. Voor zorginstellingen geldt bovendien dat zij al vertrouwd zijn met informatiebeveiliging via normen als NEN 7510, maar NIS2 voegt daar aanvullende verplichtingen aan toe.

Hoe verschilt het toezicht onder NIS2 van de oude NIS1-richtlijn?

Het toezicht onder NIS2 is aanzienlijk strenger, actiever en breder dan onder de oorspronkelijke NIS1-richtlijn. Waar NIS1 primair reactief toezicht kende, introduceert NIS2 proactief en regelmatig toezicht, ook zonder dat er een incident heeft plaatsgevonden. Bovendien geldt NIS2 voor een veel grotere groep organisaties dan zijn voorganger.

Proactief versus reactief toezicht

Onder NIS1 greep de toezichthouder vooral in nadat er een incident was gemeld of een klacht was ingediend. NIS2 verandert dit fundamenteel: toezichthouders mogen nu ook op eigen initiatief inspecties uitvoeren, beveiligingsscans laten uitvoeren en documentatie opvragen. Organisaties moeten dus altijd aantoonbaar compliant zijn, niet alleen na een incident.

Uitgebreide reikwijdte en harmonisatie

NIS1 was van toepassing op een beperkt aantal aanbieders van essentiële diensten. NIS2 breidt de scope drastisch uit met nieuwe sectoren en verlaagt de drempel voor welke organisaties onder de richtlijn vallen. Bovendien streeft NIS2 naar harmonisatie binnen de EU: lidstaten moeten de richtlijn op vergelijkbare wijze implementeren, wat betekent dat Nederlandse organisaties met Europese activiteiten ook in andere landen aan dezelfde normen moeten voldoen.

Wat moeten organisaties nu doen om NIS2-risico’s te beperken?

Om NIS2-risico’s te beperken, moeten organisaties in 2026 een gestructureerde aanpak volgen die bestaat uit het uitvoeren van een risicoanalyse, het implementeren van technische en organisatorische maatregelen, het inrichten van een incidentresponsproces en het borgen van bestuurlijke betrokkenheid. Wachten is geen optie meer, want handhaving is al actief.

Een praktische aanpak begint met het vaststellen of je organisatie onder NIS2 valt en als welk type entiteit. Vervolgens breng je de huidige staat van informatiebeveiliging in kaart en identificeer je de gaten ten opzichte van de NIS2-vereisten. Bestaande frameworks zoals ISO 27001 bieden een sterke basis voor NIS2-compliance, omdat ze veel van dezelfde beveiligingsprincipes omvatten.

Concrete stappen die organisaties nu moeten zetten:

• Voer een risicoanalyse uit op kritieke systemen en processen
• Stel een incidentresponsplan op en test dit regelmatig
• Zorg voor aantoonbare betrokkenheid van het bestuur bij cybersecurity
• Richt een meldproces in voor significante incidenten
• Evalueer de beveiliging van je toeleveranciers en partners
• Overweeg een certificeringstraject zoals ISO 27001 als aantoonbaar bewijs van naleving

De gevolgen van niet voldoen aan NIS2 zijn te groot om te negeren: van hoge boetes en persoonlijke aansprakelijkheid tot ernstige operationele schade. Hoe eerder je organisatie actie onderneemt, hoe kleiner de risico’s. Neem contact op met ons team voor een vrijblijvend gesprek over wat NIS2-compliance voor jouw organisatie betekent.

Gerelateerde artikelen

• Ben je direct gezakt als een auditor een afwijking constateert bij ISO 27001?
• Wat kost een datalek een zorgorganisatie gemiddeld?
• Hoe verschilt de AVG van een informatiebeveiligingsnorm?
• Waar moet een interne audit bij een NEN 7510 certificering aan voldoen?
• Hoe implementeer je ISO 27001 in een klein team?