NIS2

Met NIS2 heeft de EU de cyberbeveiligingsverplichtingen uitgebreid naar vele duizenden bedrijven. In Duitsland gelden de voorschriften sinds december 2025. De richtlijn betreft niet alleen firewalls en noodplannen, maar ook de omgang met hardware over de gehele levenscyclus. Stand: 10/2026.

Wat regelt NIS2?

NIS2 vervangt de eerste NIS-richtlijn van 2016 en geldt sinds januari 2023. De lidstaten moesten haar vóór oktober 2024 in nationaal recht omzetten. Duitsland heeft dat gedaan met de NIS2-implementatie- en cyberbeveiligingsversterkingswet (NIS2UmsuCG). Zij werd op 5 december 2025 afgekondigd en trad op 6 december 2025 in werking. De kernverplichtingen staan in de herziene BSI-wet (BSIG).

Bereik	Wat NIS2 vereist (vereenvoudigd)
Toepassingsgebied	Entiteiten in vastgestelde sectoren, in de regel vanaf 50 medewerkers of meer dan € 10 miljoen omzet en balanstotaal; ‘bijzonder belangrijk’ in de regel vanaf 250 medewerkers of meer dan € 50 miljoen omzet en € 43 miljoen balanstotaal
Registratie	Registratie bij het BSI; de termijn voor de eerste registratie liep af op 6 maart 2026
Risicobeheer	Technische, operationele en organisatorische maatregelen, onder meer inzake toegangscontrole, beheer van activa, toeleveringsketen en cryptografie
Meldplichten	Aanzienlijke beveiligingsincidenten: eerste melding binnen 24 uur, melding binnen 72 uur, eindmelding na een maand
Bedrijfsleiding	Keurt de maatregelen goed en houdt er toezicht op, moet deelnemen aan opleidingen en is aansprakelijk bij schending van plichten
Sancties	Boetes tot € 10 miljoen of 2% van de omzet (bijzonder belangrijk), respectievelijk tot € 7 miljoen of 1,4% (belangrijk)

Of uw bedrijf is getroffen, hangt af van sector, omvang en activiteit. Het BSI biedt daarvoor een betrokkenheidstoets aan. Exploitanten van kritieke installaties (KRITIS) zijn onderworpen aan aanvullende verplichtingen. Dit artikel vervangt geen juridisch advies.

Wat NIS2 betekent voor uit gebruik genomen IT

Tot de risicobeheersmaatregelen behoort uitdrukkelijk het beheer van activa, dus van de IT-voorraden. Wie weet welke apparaten en gegevensdragers er zijn en waar ze zich bevinden, kan ze ook tot het einde veilig sturen. Een gestructureerde IT-assetmanagement is daarvoor de basis.

Aan het einde van de levensduur van een apparaat tellen vooral drie punten:

• Gegevens en toegang: Op oude apparaten staan vaak toegangsgegevens, certificaten, VPN-profielen of configuraties. Ze moeten veilig worden gewist, anders ontstaat er een toegangspoort.
• Toeleveringsketen: Dienstverleners voor transport, wissing en vernietiging maken deel uit van de toeleveringsketen. U moet hun beveiligingsmaatregelen toetsen en contractueel vastleggen.
• Bevindingen: Auditors verwachten gedocumenteerde processen. Wis- en vernietigingscertificaten per apparaat bewijzen dat het proces werkt.

Waar u bij de keuze van een dienstverlener op moet letten, laat de gids zien Een ITAD-aanbieder kiezen.

NIS2, ISMS en ISO/IEC 27001

NIS2 schrijft geen bepaald managementsysteem voor. Veel bedrijven voeren de verplichtingen echter uit met een ISMS , vaak volgens ISO/IEC 27001. De maatregelencatalogus daarvan bevat al eisen voor de veilige afvoer of het hergebruik van apparaten en voor het wissen van informatie. Een certificering vervangt de wettelijke verplichtingen niet, maar maakt het bewijs eenvoudiger.

NIS2 en Second IT

Second IT is gecertificeerd volgens ISO/IEC 27001 en werkt met gedocumenteerde werkwijzen: eigen beveiligde logistiek met verzegeling en gps-bewaking, registratie van serienummers bij de goederenontvangst, toegangscontrole en camerabewaking, wissing met Blancco inclusief certificaat per apparaat en vernietiging in eigen huis volgens DIN 66399 (tot en met H-5 en E-5). Meer over de Gegevensbeveiliging bij Second IT.

Veelgestelde vragen over NIS2

Sinds wanneer geldt NIS2 in Duitsland?

De NIS2-implementatiewet trad op 6 december 2025 in werking. Een algemene overgangstermijn voor de verplichtingen bestaat niet. De eerste registratie bij het BSI was voorzien tot 6 maart 2026 (stand: 10/2026).

Vereist NIS2 uitdrukkelijk gecertificeerde gegevensverwijdering?

Nee, NIS2 noemt geen bepaalde wismethoden. De plicht tot passende risicobeheersmaatregelen omvat echter ook de veilige omgang met gegevensdragers tot en met de afvoer. Gedocumenteerde wissing per apparaat is een praktisch bruikbaar bewijs.

Geldt NIS2 ook voor dienstverleners van kleine bedrijven?

Een dienstverlener valt niet automatisch onder NIS2 alleen omdat hij voor getroffen bedrijven werkt. Getroffen entiteiten moeten echter rekening houden met de veiligheid van hun toeleveringsketen en geven eisen daarom vaak contractueel door.

Welke bedrijven worden door NIS2 getroffen?

Getroffen zijn entiteiten in vastgestelde sectoren, in de regel vanaf 50 medewerkers. Er zijn ‘belangrijke’ en ‘bijzonder belangrijke’ entiteiten. Of uw bedrijf daartoe behoort, hangt af van sector, omvang en activiteit. Het BSI biedt daarvoor een betrokkenheidstoets aan.

Welke meldtermijnen gelden bij een beveiligingsincident volgens NIS2?

Bij een aanzienlijk beveiligingsincident is een eerste melding binnen 24 uur nodig. Binnen 72 uur volgt een verdere melding, na een maand de eindmelding. De meldingen gaan naar het BSI. De bedrijfsleiding moet de maatregelen goedkeuren en erop toezien.