NIS2 (Richtlijn (EU) 2022/2555) legt middelgrote en grote organisaties in 18 sectoren verplichtingen op voor cyberbeveiligingsmaatregelen en incidentmelding. Het is een richtlijn: de verplichtingen volgen uit de nationale wet van de lidstaat. Voor jou als inkoper is vooral de toeleveringsketen relevant. Organisaties die eronder vallen moeten de beveiligingspraktijken van hun directe leveranciers en dienstverleners meewegen (Art. 21(2)(d) en 21(3)), en dat zie je terug in de vragen en contractclausules bij de inkoop van cloud en software.
Feiten en data laatst gecontroleerd: 11 oktober 2026 · Deze pagina geeft algemene informatie en is geen juridisch advies; controleer voor jouw situatie de tekst van de richtlijn en de nationale wet.
De richtlijn is in werking getreden, twintig dagen na publicatie in het Publicatieblad op 27 december 2022 (Art. 45).
Uiterste datum waarop lidstaten de omzettingsmaatregelen moeten vaststellen en bekendmaken (Art. 41(1)).
Lidstaten moeten de omzettingsmaatregelen vanaf deze datum toepassen (Art. 41(1)). Uitvoeringsverordening (EU) 2024/2690 verschijnt op deze dag in het Publicatieblad.
Duitsland: de wet tot omzetting van NIS2 is in werking getreden, na afkondiging op 5 december 2025 (volgens het BSI).
De Europese Commissie besluit Ierland, Spanje, Frankrijk en Nederland naar het Hof van Justitie van de EU te verwijzen, omdat zij geen maatregelen tot omzetting van NIS2 hadden gemeld.
Nederland: de Cyberbeveiligingswet is in werking getreden.
NIS2 geldt voor publieke en private entiteiten van een type dat in Bijlage I (sectoren met hoge kritikaliteit) of Bijlage II (andere kritieke sectoren) staat, die als middelgrote onderneming gelden of boven die grens uitkomen, en die diensten verlenen of activiteiten uitvoeren in de Unie (Art. 2(1)). De grootte volgt Aanbeveling 2003/361/EG. Art. 3(4) van de bijlage bij die aanbeveling is voor NIS2 niet van toepassing.
Bijlage I bevat onder meer energie, vervoer, bankwezen, gezondheidszorg, digitale infrastructuur, ICT-dienstenbeheer (business-to-business) en overheid. Bijlage II bevat onder meer post, afvalbeheer, chemie, voedsel, maakindustrie, digitale aanbieders (online marktplaatsen, zoekmachines, socialenetwerkplatforms) en onderzoek. Onder digitale infrastructuur vallen onder meer aanbieders van cloudcomputing, datacenterdiensten en contentdistributienetwerken; managed service providers en managed security service providers staan onder ICT-dienstenbeheer. Softwareleveranciers staan niet als zodanig in de bijlagen.
Essentiële entiteiten zijn onder meer entiteiten uit Bijlage I die boven de grens voor middelgrote ondernemingen uitkomen, en ongeacht hun grootte gekwalificeerde vertrouwensdienstverleners, topleveldomeinregisters en DNS-aanbieders (Art. 3(1)). Alle andere entiteiten uit de bijlagen zijn belangrijke entiteiten (Art. 3(2)). Sommige entiteiten vallen ongeacht hun grootte onder de richtlijn, bijvoorbeeld aanbieders van openbare elektronische-communicatienetwerken of -diensten, vertrouwensdienstverleners, de enige aanbieder van een essentiële dienst in een lidstaat en aanbieders van domeinnaamregistratie (Art. 2(2) tot en met (4)). Bij essentiële entiteiten omvat het toezicht onder meer regelmatige en gerichte beveiligingsaudits (Art. 32(2)). Bij belangrijke entiteiten is het toezicht achteraf (Art. 33).
Het bestuursorgaan van een essentiële of belangrijke entiteit keurt de maatregelen voor cyberbeveiligingsrisicobeheer goed, ziet toe op de uitvoering en kan aansprakelijk worden gesteld voor overtredingen van Art. 21 (Art. 20(1)). Bestuurders moeten opleidingen volgen om risico's en beveiligingspraktijken te kunnen beoordelen (Art. 20(2)).
Art. 21 vraagt passende en evenredige technische, operationele en organisatorische maatregelen volgens een all-hazards-benadering, met minimaal tien onderdelen (Art. 21(1) en (2)(a) tot en met (j)). Voor wie software en clouddiensten inkoopt zijn deze het meest relevant, naast de meldplicht en de boetes:
Lidstaten moesten de omzettingsmaatregelen uiterlijk op 17 oktober 2024 vaststellen en bekendmaken en vanaf 18 oktober 2024 toepassen (Art. 41(1)). Op 8 juli 2026 heeft de Europese Commissie besloten Ierland, Spanje, Frankrijk en Nederland naar het Hof van Justitie van de EU te verwijzen, omdat zij geen maatregelen tot omzetting hadden gemeld. Omdat NIS2 een richtlijn is en lidstaten een hoger beveiligingsniveau mogen vastleggen (Art. 5), kunnen de nationale regels verschillen. Stand op 11 oktober 2026 voor vier landen:
NIS2 verplicht je leverancier niet rechtstreeks, tenzij die zelf onder de richtlijn valt, bijvoorbeeld als aanbieder van cloudcomputing, datacenterdiensten of managed services. De verplichting ligt bij de entiteit die inkoopt: zij beveiligt haar toeleveringsketen en weegt daarbij de praktijken van haar directe leveranciers mee (Art. 21(2)(d) en 21(3)).
Uitvoeringsverordening (EU) 2024/2690, gepubliceerd op 18 oktober 2024, werkt Art. 21(2) technisch uit voor onder meer DNS-aanbieders, aanbieders van cloudcomputing, datacenterdiensten en contentdistributienetwerken, managed service providers, managed security service providers, online marktplaatsen, zoekmachines en socialenetwerkplatforms, en bepaalt wanneer een incident voor hen significant is (Art. 1 en 3). Hun beleid voor beveiliging van de toeleveringsketen bevat selectiecriteria voor leveranciers: cyberbeveiligingspraktijken, kwaliteit en veerkracht van producten en diensten, en de mogelijkheid om leveranciers te diversifiëren en lock-in te beperken (punt 5.1.2). Ze leggen eisen vast in contracten (punt 5.1.4), houden een register van directe leveranciers bij (punt 5.2) en toetsen leveranciers periodiek opnieuw (punt 5.1.6). Voor andere organisaties is de bijlage niet rechtstreeks bindend. Je kunt de punten wel als checklist gebruiken:
De CRA (Verordening (EU) 2024/2847) stelt eisen aan producten met digitale elementen en hun fabrikanten. NIS2 gaat over het risicobeheer van entiteiten. Volgens overweging 12 van de CRA is NIS2 van toepassing op cloudcomputingdiensten, inclusief SaaS, PaaS en IaaS, en volgens overweging 13 kunnen lidstaten op grond van NIS2 aanvullende eisen stellen aan ICT-producten die essentiële en belangrijke entiteiten gebruiken.
DORA (Verordening (EU) 2022/2554) geldt volgens overweging 28 van NIS2 als sectorspecifieke Uniehandeling voor financiële entiteiten. De DORA-bepalingen over ICT-risicobeheer, melding van ICT-incidenten, testen en ICT-derdenrisico gelden dan in plaats van de NIS2-bepalingen over risicobeheer, melding en toezicht. Art. 4 beschrijft wanneer sectorspecifieke eisen gelijkwaardig zijn.
Als een inbreuk op Art. 21 of 23 een datalek kan betekenen, informeert de bevoegde autoriteit de AVG-toezichthouder. Heeft die voor hetzelfde gedrag een boete opgelegd, dan legt de NIS2-autoriteit daarvoor geen boete op grond van Art. 34 op (Art. 35).
De tekst van Art. 21(3) noemt het land van vestiging van een leverancier niet. De richtlijn vraagt om te kijken naar kwetsbaarheden, producten en cyberbeveiligingspraktijken. De gecoördineerde risicobeoordelingen op Unieniveau mogen wel technische en, waar relevant, niet-technische risicofactoren meenemen (Art. 22(1)).
De score sluit op een paar punten aan bij onderwerpen die NIS2 benoemt. Cryptografie en encryptie (Art. 21(2)(h)) raken aan sleutelsoevereiniteit (CKS). Het beperken van lock-in en het ophalen van gegevens bij einde contract (punt 5.1.2(d) en 5.1.4(h) van de uitvoeringsverordening) raken aan portabiliteit (PLS). Waar gegevens staan en waar een leverancier en zijn moederbedrijf gevestigd zijn (DRS en JES), en of software open source of zelf te hosten is (SRS), staan als zodanig niet in Art. 21. Je kunt ze wel meenemen in je eigen risicobeoordeling. De score is geen nalevingsbeoordeling van NIS2 en bewijst niet dat jij of een leverancier aan de richtlijn voldoet.
Wil je weten hoe jouw eigen softwarestack scoort op digitale soevereiniteit? Doe de gratis assessment.
Doe de gratis assessmentDat hangt af van het type organisatie, de sector en de grootte. Het type moet in Bijlage I of II staan en de organisatie moet minstens middelgroot zijn, tenzij een uitzondering voor kleine entiteiten geldt (Art. 2). Controleer de nationale wet en de toezichthouder in jouw land.
Nee, de verplichtingen van Art. 21 liggen bij de essentiële of belangrijke entiteit zelf. Een cloudaanbieder kan daarnaast zelf onder NIS2 vallen, omdat aanbieders van cloudcomputing in Bijlage I staan.
Een vroegtijdige waarschuwing binnen 24 uur nadat je van het significante incident weet, een incidentmelding binnen 72 uur en een eindverslag uiterlijk een maand na die melding (Art. 23(4)).
Voor overtreding van Art. 21 of 23 moeten lidstaten maxima toestaan van minstens 10 miljoen euro of 2 % van de wereldwijde jaaromzet voor essentiële entiteiten, en minstens 7 miljoen euro of 1,4 % voor belangrijke entiteiten (Art. 34(4) en (5)).
Het bestuursorgaan keurt de beveiligingsmaatregelen goed, houdt toezicht en kan aansprakelijk worden gesteld voor overtredingen van Art. 21 (Art. 20(1)). Nationale regels voor publieke instellingen en ambtenaren blijven daarbij onverlet.
Niet alle. Op 8 juli 2026 verwees de Commissie Ierland, Spanje, Frankrijk en Nederland naar het Hof van Justitie. Nederland en Duitsland hebben hun wet inmiddels in werking laten treden; in Frankrijk ligt het wetsontwerp nog bij het parlement.