NIS2 · Richtlijn (EU) 2022/2555
NIS2-compliance op je ISO 27001-basis.
NIS2 verplicht essentiële en belangrijke entiteiten in de EU om cyberrisico’s te beheersen, significante incidenten te melden en het bestuur verantwoordelijk te maken. Met Basenorm bouw je die maatregelen op je ISO 27001-ISMS, in één EU-native platform.
Gehost in Nederland. Je data blijft in de EU.In het kort
- Soort
- EU-richtlijnIn Nederland sinds 15 augustus 2026 van kracht als de Cyberbeveiligingswet
- Geldt voor
- Essentiële en belangrijke entiteitenIn de sectoren uit bijlage I en II
- Melden
- 24 uur, 72 uur, één maandVroegtijdige waarschuwing, melding en eindrapport
- Verantwoording
- BestuursorgaanKeurt de maatregelen goed en houdt toezicht
01 / Wat NIS2 vraagt
Wat NIS2
van je vraagt.
NIS2 legt een basis van risicobeheersmaatregelen, incidentmeldingen en governance. De details hangen af van je sector, je omvang en de nationale wet die op je van toepassing is.
- 1Risicobeheersmaatregelen
Artikel 21: beleid voor risicoanalyse en beveiliging van informatiesystemen, op basis van een all-hazards-benadering.
- 2Incidentafhandeling
Incidenten detecteren, afhandelen en ervan herstellen.
- 3Bedrijfscontinuïteit
Back-upbeheer, herstel na rampen en crisisbeheer.
- 4Beveiliging van de toeleveringsketen
Beveiliging in je relaties met leveranciers en dienstverleners.
- 5Incidentmelding
Artikel 23: bij significante incidenten een vroegtijdige waarschuwing binnen 24 uur, een melding binnen 72 uur en een eindrapport binnen één maand.
- 6Verantwoordelijkheid van het bestuur
Artikel 20: het bestuursorgaan keurt de maatregelen goed, houdt toezicht en volgt training.
Controleer de nationale uitvoeringswet voor je sector en land.
02 / Met je ISMS
NIS2 op wat je al hebt.
| Onderwerp | Je ISO 27001-ISMS | Wat NIS2 toevoegt |
|---|---|---|
| Risicobeheer | Risicobeoordeling en -behandeling, Annex A-maatregelen | De all-hazards-benadering en de maatregelen uit artikel 21 |
| Incidenten | Maatregelen voor incidentbeheer | Meldtermijnen van 24 uur, 72 uur en één maand |
| Leveranciers | Maatregelen voor leveranciersrelaties | Aandacht voor ketenbeveiliging en kwetsbaarheden bij leveranciers |
| Governance | Leiderschap en directiebeoordeling | Verantwoordelijkheid en training van het bestuursorgaan |
| Continuïteit | ICT-gereedheid voor bedrijfscontinuïteit | Back-upbeheer, herstel na rampen en crisisbeheer |
ISO 27001 en NIS2 delen 70 tot 80% van hun maatregelen volgens de gepubliceerde mapping van Basenorm. Een certificaat alleen bewijst geen NIS2-compliance.
03 / In de praktijk
RICHTLIJN (EU) 2022/2555NIS2 in
de praktijk.
NIS2 is een richtlijn: elke lidstaat zet haar om in nationale wetgeving. Registratie, toezicht en boetes volgen die nationale wet.
Lees meer over ISO 27001In werking. De richtlijn is op EU-niveau in werking getreden.
Omzettingstermijn. Uiterlijk op deze datum moesten lidstaten hun nationale wet vaststellen.
Cyberbeveiligingswet. De Nederlandse invulling van NIS2 is in werking. Volgens het NCSC valt ruim 8.000 organisaties eronder; zij moeten zich registreren en significante incidenten binnen 24 uur melden.
Bron: Richtlijn (EU) 2022/2555. De nationale omzetting en data verschillen per lidstaat.
04 / In Basenorm
Hoe Basenorm je helpt.
Unified Control Library
Zie welke van je ISO 27001-maatregelen ook meetellen voor NIS2, en wat nog ontbreekt.
02Governance Graph
Verbind risico’s, leveranciers, maatregelen en eigenaren, tot en met het bestuursorgaan.
03AskNorman
Vraag wat er nog openstaat voor NIS2, in Basenorm of via MCP vanuit ChatGPT, Claude of Perplexity. Je controleert zelf de onderbouwing.
05 / De vragen
Vragen over
NIS2.
Valt onze organisatie onder NIS2?
Dat hangt af van je sector, omvang en rol, zoals vastgelegd in bijlage I en II van de richtlijn en in de nationale wet. Middelgrote en grote entiteiten in die sectoren vallen er in de regel onder, en sommige entiteiten ongeacht hun omvang.
Is ISO 27001 genoeg voor NIS2?
Niet op zichzelf. ISO 27001 dekt een groot deel van de maatregelen, maar NIS2 voegt eisen toe zoals meldtermijnen en de verantwoordelijkheid van het bestuur. Een certificaat is geen bewijs van NIS2-compliance.
Wat zijn de meldtermijnen?
Bij significante incidenten: een vroegtijdige waarschuwing binnen 24 uur, een incidentmelding binnen 72 uur en een eindrapport binnen één maand.
Wat zijn de maximale boetes?
Tot €10 miljoen of 2% van de wereldwijde jaaromzet voor essentiële entiteiten, en tot €7 miljoen of 1,4% voor belangrijke entiteiten, afhankelijk van welk bedrag hoger is.
Meldt Basenorm incidenten voor ons?
Nee. Basenorm helpt je incidenten vast te leggen en je maatregelen en bewijs te organiseren. Melden bij de toezichthouder blijft je eigen verantwoordelijkheid.
Plan een demo
Bouw NIS2 op je ISO 27001.
In een demo bekijken we je scope, je huidige ISMS en wat NIS2 toevoegt.
- Of en hoe NIS2 op je van toepassing is.
- Welke ISO 27001-maatregelen je kunt hergebruiken.
- Hoe je incidenten, leveranciers en governance organiseert.
Gehost in Nederland. Je data blijft in de EU.