NIS2 & DORA Compliance Consulting

NIS2 is de Europese richtlijn voor netwerk- en informatiebeveiliging, de opvolger van NIS1. In Nederland wordt zij geïmplementeerd via de Cyberbeveiligingswet. NIS2 legt essentiële en belangrijke entiteiten een zorgplicht (passende technische en organisatorische maatregelen) en een meldplicht voor significante incidenten op, en introduceert toezicht en bestuurdersverantwoordelijkheid.

Dat hangt af van uw sector en omvang. NIS2 heeft een veel bredere reikwijdte dan NIS1 en raakt onder meer energie, transport, gezondheidszorg, drinkwater, digitale infrastructuur, overheid, post, afvalbeheer en de productie van kritieke producten. Of u een essentiële of belangrijke entiteit bent bepaalt de strengheid van het toezicht: essentiële entiteiten staan onder proactief toezicht, belangrijke entiteiten onder reactief toezicht. Wij stellen uw scope vast in een readiness-scan.

NIS2 verbreedt de reikwijdte naar meer sectoren, verzwaart de zorgplicht, voert expliciete bestuurdersverantwoordelijkheid in, kent een gefaseerde meldplicht (een eerste melding doorgaans binnen 24 uur) en geeft toezichthouders ruimere handhavings- en sanctiebevoegdheden dan onder NIS1 het geval was.

DORA (de Digital Operational Resilience Act) is een Europese verordening die de digitale operationele weerbaarheid van de financiële sector regelt en van toepassing is sinds 17 januari 2025. DORA stelt eisen aan ICT-risicobeheer, incidentrapportage, het testen van weerbaarheid (waaronder threat-led penetration testing) en het beheer van risico's bij externe ICT-dienstverleners.

DORA geldt voor een breed scala aan financiële entiteiten, waaronder banken, verzekeraars, betaalinstellingen, beleggingsondernemingen en aanbieders van cryptodiensten, en strekt zich uit tot kritieke externe ICT-dienstverleners van die entiteiten.

We beginnen met een gap-analyse tegen het relevante kader, prioriteren de bevindingen naar risico, en stellen een concrete roadmap op. Vervolgens begeleiden we de implementatie via een gematchte specialist uit ons netwerk en valideren we de technische maatregelen met onze offensieve diensten (penetratietest of, waar vereist, threat-led penetration testing). U houdt één aanspreekpunt; wij beheren de opdracht van begin tot eind.

De meeste kaders, waaronder NIS2, DORA, ISO 27001 en SOC 2, verwachten aantoonbare technische toetsing van uw maatregelen. Een penetratietest, en onder DORA een threat-led penetration test, levert dat bewijs. Wij koppelen het readinesstraject direct aan onze offensieve diensten, zodat compliance niet op papier blijft maar daadwerkelijk getoetst is.

DORA is van kracht sinds 17 januari 2025. NIS2 wordt in Nederland geïmplementeerd via de Cyberbeveiligingswet (Cbw). De Tweede Kamer heeft het wetsvoorstel op 15 april 2026 aangenomen; het ligt nu bij de Eerste Kamer voor de laatste behandeling, met inwerkingtreding voorzien op 1 juli 2026. Voorbereiden kan en moet echter nu al, omdat de zorgplicht geldt vanaf de inwerkingtreding zonder ruime overgangstermijn. De boetes zijn fors: voor essentiële entiteiten tot 10 miljoen euro of 2% van de wereldwijde jaaromzet, en voor belangrijke entiteiten tot 7 miljoen euro of 1,4% van de jaaromzet, telkens het hoogste bedrag. Daarnaast geldt bestuurdersaansprakelijkheid: bestuurders moeten de maatregelen goedkeuren en op de uitvoering toezien.