De NIS2 is een Europese richtlijn die door de Nederlandse overheid wordt omgezet in nationale wetgeving (de Cyberbeveiligingswet).
Artikel 21 van de richtlijn stelt dat organisaties “passende en evenredige technische, operationele en organisatorische maatregelen” moeten nemen.
Hoewel NIS2 sterk focust op de continuïteit van netwerk- en informatiesystemen, valt fysieke beveiliging hier expliciet onder omdat:
NIS2 duwt cybersecurity uit de “IT-hoek” en zet het neer als bestuursverantwoordelijkheid. Management moet maatregelen goedkeuren, de uitvoering aansturen en kan aansprakelijk worden gehouden bij tekortkomingen.
Voorbeeldsituatie:
Een organisatie levert een dienst die essentieel is (bijv. in de publieke sector of logistiek). Een ransomware-incident legt systemen plat. Onder NIS2 gaat het dan niet alleen om herstel, maar ook om: tijdige melding, bewijs dat je risicobeheersing op orde was en dat je ketenrisico’s beheerst (leveranciers/IT-dienstverleners).
Naast technische maatregelen vraagt fysieke beveiling in een pand de hoogste prioriteit. Heeft een bedrijf of overheidsinstelling de beveiliging niet goed op orde, dan zorgt dit voor een risisco met als gevolg:
Welke maatregelen je precies moet nemen, hangt af van je risicoanalyse. Een klein softwarebedrijf op de derde verdieping van een verzamelgebouw heeft andere maatregelen nodig dan een drinkwaterbedrijf of een energiecentrale.
Veelvoorkomende maatregelen zijn:
Om bedrijven in te kunnen schalen werkt de NIS2 richtlijn met sectorlijsten:
Een bedrijf valt onder Annex I of Annex II op basis van bedrijfsactiviteiten (als juridische entiteit), met andere woorden: welke dienst/activiteit levert een bedrijf?
Annex I = sectoren met “hoge kriticiteit”. Denk aan organisaties die direct vitale maatschappelijke/economische functies leveren, zoals:
Kort gezegd: als je primaire dienstverlening “onder de motorkap van de samenleving” zit (energie, zorg, telecom/cloud, transport), dan valt een bedrijf vaak in Annex I.
Annex II = “overige kritieke sectoren”. Dit zijn sectoren die óók grote impact kunnen hebben, maar doorgaans iets indirecter:
Kort gezegd: als je een kritieke keten ondersteunt (chemie, food, manufacturing, logistieke diensten, platforms), dan valt een bedrijf vaak in Annex II.
Naast een inschaling in Annex I of Annex II wordt een bedrijf ook beoordeeld op bedrijfsgrootte en omzet.
Een praktische eerste check is:
Let op: NIS2 kent uitzonderingen en specifieke typen organisaties die (ongeacht grootte) kunnen meetellen. Gebruik dit dus als startpunt, niet als eindconclusie.
Bij een significant incident gelden is een bedrijf verplicht gefaseerde te melden:
NIS2 vervangt NIS1 en breidt de omvang uit naar meer sectoren en organisaties, met scherpere eisen voor bestuur, risicobeheersing en toezicht en controle.
In de basis als het bedrijf actief is in een sector uit Annex I/II en het bedrijf middelgroot of groot is (met uitzonderingen). Een eerste indicatie is sector + drempels (50+ medewerkers/€10 mln).
Hoewel NIS2 sterk focust op de continuïteit van netwerk- en informatiesystemen, valt fysieke beveiliging hier expliciet onder omdat:
Welke maatregelen je precies moet nemen, hangt af van je risicoanalyse. Een klein softwarebedrijf op de derde verdieping van een verzamelgebouw heeft andere maatregelen nodig dan een drinkwaterbedrijf of een energiecentrale.
Veelvoorkomende maatregelen zijn:
Een set cybersecurity-risicobeheersmaatregelen (beleid, incidentrespons, continuïteit, ketenbeveiliging, kwetsbaarhedenbeheer, MFA, training, etc.) én toezicht (goedkeuring/toezicht door management).
Vroege waarschuwing binnen 24 uur, incidentmelding binnen 72 uur, eindrapport binnen 1 maand (met voortgangsrapport bij lopende incidenten).
Nederland implementeert NIS2 via de Cyberbeveiligingswet. Het wetsvoorstel is ingediend (4 juni 2025) en de overheid geeft aan dat implementatie vertraagd is; intussen geldt voor huidige doelgroepen de Wbni en kun je je alvast voorbereiden op Cbw-verplichtingen.
De Europese Commissie noemt als minimumkader voor maximale boetes: voor essentiële entiteiten minimaal €10 mln of 2% wereldwijde omzet; voor belangrijke entiteiten minimaal €7 mln of 1,4% wereldwijde omzet (afhankelijk van nationale uitwerking).
Kies voor de juiste oplossing
We leveren onze diensten via een wereldwijd netwerk van meer dan 12.000 medewerkers, 200+ vestigingen en meer dan 20 alarmcentrales. Samen bieden we op maat gemaakte lokale services, ondersteund door teams van experts, 24/7 per dag, 365 dagen per jaar.
Global network
