NIS2richtlijn

De NIS2-richtlijn, officieel de Richtlijn (EU) 2022/2554, is een Europese wetgeving die de cyberveiligheid van netwerk- en informatiesystemen binnen de Europese Unie moet verbeteren. Ze vervangt de oorspronkelijke NIS-richtlijn uit 2016 en stelt strengere vereisten op het gebied van beveiligingsmaatregelen, risicobeheer en incidentmelding. Het doel is de veerkracht van kritieke sectoren te vergroten en een hoger niveau van gemeenschappelijke cyberbeveiliging in de Unie te waarborgen.

Toepassingsgebied en reikwijdte

NIS2 breidt de scope uit ten opzichte van de eerdere richtlijn door zowel zogenaamde essentiële als belangrijke entiteiten in een breder aantal sectoren aan te duiden. Voorbeelden van betrokken sectoren zijn energie, transport, bankwezen en financiële markten, gezondheidszorg, drinkwater en afvalwater, digitale infrastructuur en de publieke sector. De richtlijn legt meer nadruk op grotere en middelgrote organisaties en bevat strengere eisen voor toeleveringsketens en ICT-systemen.

Belangrijkste verplichtingen

Lidstaten en organisaties moeten robuuste cyberbeveiligingsmaatregelen invoeren, inclusief risicobeheer, beveiligingsbeleid en incidentrespons. Incidentmelding aan nationale autoriteiten en CSIRT-netwerken wordt versterkt en er komen strengere eisen voor de beveiliging van ICT-leveringen en partnerketen. Daarnaast is er een versterkt toezicht en duidelijke bevoegdheden voor nationale toezichthouders en sancties bij niet-naleving.

Implementatie en impact

De NIS2-richtlijn vereist omzetting in nationale wetgeving door de lidstaten en nationale handhaving door bevoegde autoriteiten. Ze beoogt een uniforme basis voor cyberveiligheid in de EU, met mogelijke toenemende compliance-kosten voor bedrijven, maar ook betere bescherming tegen digitale risico’s en betere samenwerking op Europees niveau.