NIS2 in Nederland 2024: Wbni-implementatie, meldplicht en toezicht
De NIS2-richtlijn (EU 2022/2555) werd in oktober 2024 geïmplementeerd in Nederland via de gewijzigde Wet beveiliging netwerk- en informatiesystemen (Wbni). Voor duizenden Nederlandse organisaties in kritieke sectoren betekent dit concrete verplichtingen: van technische beveiligingsmaatregelen tot een streng incidentmeldsysteem bij het NCSC. Wie de Wbni negeert, riskeert boetes tot €10 miljoen of 2% van de wereldwijde omzet.
Wbni (Wet beveiliging netwerk- en informatiesystemen): Nederlandse implementatiewet van de NIS2-richtlijn, in werking getreden oktober 2024. Onderscheidt essentiële en belangrijke entiteiten op basis van sector en omvang. Het NCSC (Nationaal Cyber Security Centrum) is het centrale meldpunt; sectorale toezichthouders handhaven per sector.
+6.000
"Naar schatting vallen meer dan 6.000 Nederlandse organisaties onder de reikwijdte van de Wbni — een veelvoud van het aantal organisaties dat onder de oorspronkelijke NIS1-richtlijn viel."
— NCSC Implementatieanalyse NIS2, 2024
Essentiële versus belangrijke entiteiten: wat is het verschil?
De Wbni maakt een onderscheid tussen twee categorieën, gebaseerd op sector (Bijlage I vs. II NIS2) en omvang van de organisatie. Dit onderscheid bepaalt de intensiteit van het toezicht en de hoogte van de maximale sancties.
| Kenmerk | Essentiële entiteit | Belangrijke entiteit |
|---|---|---|
| NIS2-bijlage | Bijlage I | Bijlage II |
| Voorbeeldsectoren (NL) | Energie, transport, water, banken, zorg, digitale infrastructuur | Post, chemie, voedsel, afvalverwerking, digitale diensten |
| Toezichtsvorm | Proactief (ex-ante) | Reactief (ex-post) |
| Max. boete | €10M of 2% wereldomzet | €7M of 1,4% wereldomzet |
De meldplicht: 4 uur — 72 uur — 1 maand
Artikel 23 van NIS2 (geïmplementeerd in de Wbni) verplicht essentiële en belangrijke entiteiten significante incidenten te melden bij het NCSC. De meldplicht kent drie fases:
Eerste melding: vroege waarschuwing
Binnen 4 uur na ontdekking van een significant incident: bevestiging dat het incident plaatsvindt, indicatie of het vermoedelijk kwaadwillig is, en of het grensoverschrijdende impact heeft. Geen volledig rapport vereist — een korte bevestiging via het NCSC-meldloket volstaat.
Gedetailleerde melding: incidentrapportage
Binnen 72 uur: uitgebreide beschrijving van het incident, initiële beoordeling van de ernst en impact, en indien beschikbaar de indicatoren van compromittering (IoC's). Dit rapport moet worden ingediend bij zowel het NCSC als de relevante sectorale toezichthouder.
Eindrapport: lessen en herstelmaatregelen
Binnen 1 maand na het incident: volledig eindrapport met oorzaakanalyse, impact-assessment, genomen herstelmaatregelen en aanbevelingen ter voorkoming van herhaling. Dit rapport wordt bewaard en kan worden opgevraagd door de toezichthouder.