Deur Tom Meevis, prokureur by Law & More
Kubersekuriteit is nie meer bloot 'n tegniese aangeleentheid nie. Dit is ook 'n regs- en bestuurskwessie wat feitlik elke organisasie van enige grootte raak.
Met die Europese NIS2-richtlijn en die Nederlandse Kuberveiligheidswet verskuif die verantwoordelikheid vir digitale veerkragtigheid stewig na die bestuursraad. Die Nederlandse Kuberveiligheidswet tree op 15 Augustus 2026 in werking. Sake-eienaars, direkteure en nakomingsbeamptes moet dus op kort kennisgewing die volgende vasstel:
- of hul organisasie binne die bestek van die nuwe reëls val;
- watter verpligtinge daaruit voortvloei;
- watter maatreëls nodig is;
- en hoe die organisasie aan daardie verpligtinge kan voldoen.
Hierdie artikel stel die hoofelemente van NIS2 en die Nederlandse Wet op Kuberveiligheid uiteen: die omvang, die sorgplig, die kennisgewingsplig, raadsverantwoordelikheid, afdwinging en die stappe wat organisasies nou kan neem.
Wat is NIS2?
NIS2 is die formele benaming van Richtlijn (EU) 2022/2555. Dit volg die eerste Europese netwerk- en inligtingsekuriteitsrichtlijn op, wat algemeen as NIS1 bekend staan.
Lidstate moes NIS2 teen 17 Oktober 2024 in nasionale wetgewing omsit. Vanaf 18 Oktober 2024 het NIS2 die vorige richtlijn formeel vervang.
Die doel daarvan is om die vlak van kuberveerkragtigheid binne die Europese Unie te verhoog en beter in lyn te bring. Dit loop langs twee hooflyne. Eerstens, 'n breër omvang: baie meer organisasies val onder die reëls as onder NIS1. Tweedens, verskerpte toesig en strenger afdwinging, met 'n wyer gereedskapskis en duideliker verantwoordelikhede vir direkteure.
Waar NIS1 onderskei het tussen operateurs van noodsaaklike dienste en digitale diensverskaffers, werk NIS2 met noodsaaklike entiteite en belangrike entiteite. Daardie onderskeid is nie bloot terminologies nie: dit bepaal onder andere die intensiteit van toesig en die vlak van potensiële boetes.
Watter organisasies val onder NIS2?
NIS2 is van toepassing op organisasies wat aktief is in agtien aangewese sektore, verdeel in sektore van hoë kritieke aard en ander kritieke sektore.
Sektore van hoë kritieke belang sluit in energie, vervoer, bankwese, finansiële markinfrastruktuur, gesondheidsorg, drinkwater en afvalwater, digitale infrastruktuur, IKT-diensbestuur vir sakegebruikers, openbare administrasie en ruimte.
Die ander kritieke sektore sluit in pos- en koerierdienste, afvalbestuur, chemikalieë, voedsel, vervaardiging, digitale verskaffers en navorsingsinstellings.
Die groottedrempel
Binne hierdie sektore is die hoofreël dat 'n organisasie onder NIS2 val waar dit kwalifiseer as 'n mediumgrootte of groot onderneming. Die kriteria is ten minste 50 werknemers, of 'n jaarlikse omset of balansstaattotaal van meer as 10 miljoen euro.
Daar is uitsonderings op hierdie hoofreël. Sekere organisasies val binne die bestek ongeag grootte, omdat hul dienste as besonder krities beskou word:
- verskaffers van openbare elektroniese kommunikasienetwerke en -dienste;
- trustdiensverskaffers;
- domeinnaamregistrasiediensverskaffers;
- topvlak-domeinnaamregisters;
- openbare sektor liggame.
Vanaf 15 Augustus 2026 geld die nuwe verpligtinge vir meer as 8 000 organisasies in Nederland. Dit is 'n aansienlike uitbreiding in vergelyking met die aantal wat deur die huidige Wet op Netwerk- en Inligtingstelselsekuriteit gedek word.
Organisasies wat hulself voorheen nie as deel van 'n kritieke sektor beskou het nie, kan dus gevang word, insluitend mediumgrootte vervaardigers, voedselprodusente, navorsingsinstellings en digitale diensverskaffers. Dit is belangrik dat organisasies self verantwoordelik is om te bepaal of hulle binne die bestek val. Geen brief van 'n toesighouer sal aankom wat hulle dit meedeel nie.
Die sorgplig: watter maatreëls is nodig?
Die kern van NIS2 en die Nederlandse Wet op Kuberveiligheid is die sorgplig. Essensiële en belangrike entiteite moet toepaslike en proporsionele tegniese, operasionele en organisatoriese maatreëls tref om die risiko's vir hul netwerk- en inligtingstelsels te bestuur.
Die reëls identifiseer die onderwerpe wat die beleid in elk geval moet aanspreek:
- risiko-analise en inligtingsekuriteitsbeleid;
- hantering van voorvalle;
- besigheidskontinuïteit, rugsteunbestuur en rampherstel;
- voorsieningskettingsekuriteit;
- kuberhigiëne en personeelopleiding;
- beleid vir die hantering van kwesbaarheid;
- multifaktor-verifikasie;
- beveiligde kommunikasie;
- kriptografie;
- periodieke assessering van die doeltreffendheid van die maatreëls.
Die maatreëls moet proporsioneel wees tot die grootte van die organisasie en die risiko's waaraan dit werklik blootgestel is. 'n Kleiner belangrike entiteit hoef dus nie dieselfde maatreëls te tref as 'n groot noodsaaklike entiteit in 'n hoërisikosektor nie.
Dit maak nie die sorgplig opsioneel nie. Organisasies moet kan staaf watter risiko's hulle geïdentifiseer het, watter maatreëls hulle geneem het en waarom daardie maatreëls gepas is. Nie net die maatreëls self nie, maar ook die manier waarop hulle geweeg, aangeteken en periodiek geëvalueer word, is onderhewig aan toesig.
Kennisgewingsplig na 'n voorval
Saam met die sorgplig, lê NIS2 'n gefaseerde kennisgewingsplig vir beduidende voorvalle op. Waar 'n voorval 'n aansienlike impak op die kontinuïteit van dienste het of kan hê, geld die volgende sperdatums in breë terme:
- binne 24 uur, 'n vroeë waarskuwing aan die nasionale rekenaarsekuriteitsvoorvalreaksiespan of die bevoegde owerheid;
- binne 72 uur, 'n formele kennisgewing met 'n aanvanklike assessering van die erns en impak;
- binne een maand uiterlik, 'n finale verslag wat die voorval, die waarskynlike oorsaak daarvan, die maatreëls wat getref is en enige grensoverschrijdende gevolge beskryf.
Hierdie sperdatums maak dit noodsaaklik om vooraf duidelike prosedures op te stel. Die organisasie moet weet wanneer 'n voorval aanmeldbaar is, wie gemagtig is om aan te meld, watter inligting beskikbaar moet wees, wie koördineer, en hoe die raad en die toesighouer ingelig word.
'n Organisasie wat slegs probeer om 'n kennisgewingsproses tydens 'n voorval op te stel, loop 'n aansienlike risiko om nie betyds of volledig te kan rapporteer nie.
Raad se verantwoordelikheid
'n Belangrike element van NIS2 is dat die verantwoordelikheid vir die bestuur van kuberrisiko uitdruklik by die bestuursraad geplaas word. Die raad moet die sekuriteitsmaatreëls goedkeur, toesig hou oor die implementering daarvan, die organisasie se kuberrisiko's kan assesseer en self voldoende opleiding ondergaan.
Kubersekuriteit kan dus nie meer as die verantwoordelikheid van die IT-afdeling alleen beskou word nie. Dit is 'n onderwerp van bestuur wat deel moet vorm van gereelde besluitneming en risikobestuur.
Die richtlijn spreek ook uitdruklik die persoonlike aanspreeklikheid van senior bestuur aan waar die organisasie versuim om te voldoen. Teken die betrokkenheid van die direksie dienooreenkomstig aan, byvoorbeeld deur opleiding wat onderneem is, direksiebesluite, goedgekeurde beleid, risikobepalings, verslagdoening en toesig oor implementering te dokumenteer.
Die Nederlandse implementering
Die Nederlandse implementering van NIS2 is aansienlik vertraag. Die omsettingstermyn van 17 Oktober 2024 is nie nagekom nie.
Op 8 Julie 2026 het die Europese Kommissie besluit om Nederland, saam met Ierland, Spanje en Frankryk, na die Hof van Justisie van die Europese Unie te verwys omdat hulle nie omssettingsmaatreëls aangemeld het nie. Nederland was dus onder die Europese Unie se vier agterlopers.
Die tydsberekening is treffend. Een dag tevore, op 7 Julie 2026, het die Senaat die Wet op Kuberveiligheid en die Wet op die Veerkragtigheid van Kritieke Entiteite goedgekeur. Of die feit dat die Wet aangeneem is voordat die verwysing gestuur is, die uitslag van die verrigtinge beïnvloed, bly nog te besien; dit is vir die Hof om te besluit.
Beide wette tree op 15 Augustus 2026 in werking. Die Wet op Kuberveiligheid implementeer die NIS2-richtlijn; die Wet op die Veerkragtigheid van Kritieke Entiteite implementeer die Europese CER-richtlijn, wat gemik is op die veerkragtigheid van kritieke infrastruktuur. Organisasies wat deur laasgenoemde gedek word, sal vanaf 15 Augustus 2026 formeel as kritieke entiteite aangewys word.
Met inwerkingtreding verval die huidige Wet op Netwerk- en Inligtingstelselsekuriteit (Wbni). Vir organisasies wat reeds daardeur gedek word, beteken dit swaarder verpligtinge; vir organisasies wat vir die eerste keer binne die bestek val, 'n heeltemal nuwe regime.
Registrasie by die NCSC
'n Belangrike nuwe verpligting is registrasie by die Nasionale Kuberveiligheidsentrum. Essensiële en belangrike entiteite moet in die nasionale entiteitsregister ingeskryf word. Daardie registrasie is verpligtend vanaf 15 Augustus 2026 en verloop deur die MijnNCSC-portaal, met behulp van eHerkenning vir gewone organisasies en SSOnRijk vir openbare sektorliggame. Wysigings aan die geregistreerde data moet binne veertien dae gerapporteer word.
Registrasie is nie bloot 'n administratiewe formaliteit nie. Sodra hulle geregistreer is, kan organisasies skakel met die dienste van hul CSIRT, wat produkte en dienste verskaf om veerkragtigheid sowel as ondersteuning in die geval van 'n voorval te verhoog. Berei die registrasie betyds voor, sodat implementering nie eers na inwerkingtreding begin nie.
Toesig en afdwinging
Die Wet op Kuberveiligheid maak voorsiening vir 'n gedifferensieerde toesighoudende regime. Essensiële entiteite is onderhewig aan proaktiewe toesig: die toesighouer kan voortdurend en op eie inisiatief kontroleer, sonder enige spesifieke voorval of sein. Belangrike entiteite is onderhewig aan reaktiewe toesig, waar die toesighouer in beginsel optree in reaksie op 'n voorval, 'n klagte of 'n ander konkrete sein.
Toesig is verdeel oor verskeie owerhede. Vanaf 15 Augustus 2026 hou die Nederlandse Owerheid vir Digitale Infrastruktuur toesig oor organisasies in nege sektore; ander toesighouers word vir ander sektore aangewys. Stel vas watter toesighouer bevoeg is vir u organisasie.
Die handhawingsinstrumente is breed en sluit in:
- 'n sekuriteitskandering of sekuriteitsoudit;
- 'n bindende instruksie;
- 'n administratiewe afdwingingsbevel of 'n bevel onderhewig aan 'n boetebetaling;
- publikasie van 'n oortreding;
- 'n administratiewe boete;
- vir noodsaaklike entiteite: opskorting van 'n sertifisering, 'n magtiging of 'n raadslid.
Vir noodsaaklike entiteite is die maksimum boete minstens 10 miljoen euro of 2% van die totale wêreldwye jaarlikse omset, wat ook al die hoogste is. Vir belangrike entiteite is dit minstens 7 miljoen euro of 1.4% van die wêreldwye jaarlikse omset, weer eens wat die hoogste is. Die uiteindelike vlak hang af van die omstandighede van die saak, insluitend die aard, erns en duur van die oortreding, die graad van skuld en die maatreëls wat geneem is.
Wat kan jou organisasie nou doen?
- Doen 'n selfassessering. Stel vas of die organisasie in 'n aangewese sektor aktief is en aan die groottedrempel voldoen.
- Bepaal die korrekte kategorie. Stel vas of die organisasie kwalifiseer as 'n noodsaaklike of belangrike entiteit, en watter toesighouer bevoeg is.
- Berei die registrasie voor. Versamel die data wat benodig word vir registrasie by die NCSC via MijnNCSC.
- Toets die sorgpligmaatreëls. Assesseer bestaande maatreëls oor risiko-analise, voorvalreaksie, besigheidskontinuïteit, voorsieningskettingsekuriteit, kuberhigiëne, kwesbaarhede, multifaktor-verifikasie en kriptografie.
- Stel die kennisgewingsproses op. Teken aan wie bepaal of 'n voorval aanmeldbaar is, wie kennis gee, en hoe die 24-uur, 72-uur en een-maand sperdatums nagekom word.
- Betrek die raad demonstreerbaar. Teken aan watter besluite die raad geneem het, watter opleiding onderneem is en hoe toesig oor implementering uitgeoefen word.
- Sluit die voorsieningsketting in. 'n Groot deel van kwesbaarhede ontstaan nie binne die organisasie self nie, maar by verskaffers en diensverskaffers. Hersien u kontrakte oor sekuriteitsreëlings, kennisgewingspligte en ouditregte.
Ter afsluiting
Die Wet op Kuberveiligheid en die Wet op die Veerkragtigheid van Kritieke Entiteite verteenwoordig 'n aansienlike verskerping van kuberveiligheidsverpligtinge. 'n Breër omvang, konkrete sorgpligmaatreëls, streng kennisgewingstermyne, persoonlike verantwoordelikheid vir direkteure en 'n aansienlike handhawingsinstrumentstel beteken dat organisasies hierdie onderwerp nie kan laat staan nie. Met die inwerkingtreding op 15 Augustus 2026 is voorbereidingstyd kort.
Law & More help besighede, direkteure en voldoeningsbeamptes om hul posisie onder NIS2 en die Nederlandse Kuberveiligheidswet te bepaal, die sorgpligmaatreëls op te stel en te toets, die registrasie by die NCSC voor te berei, en die kuberveiligheidsbeleid wettiglik vas te lê.
Wil u hê dat u organisasie se posisie onder die nuwe reëls beoordeel word? Kontak ons gerus vir 'n bespreking sonder enige verpligting.
Algemene vrae
Hieronder beantwoord ons die vrae wat ons die meeste oor hierdie onderwerp gevra word.
Wanneer tree die Nederlandse Wet op Kuberveiligheid in werking?
Op 15 Augustus 2026 het die Senaat die Wet op Kuberveiligheid en die Wet op die Veerkragtigheid van Kritieke Entiteite op 7 Julie 2026 goedgekeur. Met inwerkingtreding verval die huidige Wet op die Sekuriteit van Netwerk- en Inligtingstelsels (Wbni).
Val my organisasie onder NIS2?
Dit hang af van jou sektor en jou grootte. NIS2 dek agtien aangewese sektore en, binne daardie sektore, as 'n hoofreël organisasies met ten minste 50 werknemers of 'n jaarlikse omset of balansstaattotaal van meer as EUR 10 miljoen. Sekere partye word gedek ongeag grootte.
Sal ek in kennis gestel word as my organisasie binne die bestek val?
Nee. Organisasies is self verantwoordelik vir die bepaling of hulle onder die Wet op Kuberveiligheid val. Wag loop die risiko dat verpligtinge van toepassing is voordat die assessering gedoen is.
Wat is die verskil tussen 'n essensiële en 'n belangrike entiteit?
Dit bepaal die intensiteit van toesig en die vlak van potensiële boetes. Essensiële entiteite is onderhewig aan proaktiewe toesig, waar die toesighouer op eie inisiatief kan kontroleer. Belangrike entiteite is onderhewig aan reaktiewe toesig, aangespoor deur 'n voorval, klagte of ander sein.
Wat behels die sorgplig?
Die neem van gepaste en proporsionele tegniese, operasionele en organisatoriese maatreëls om die risiko's vir u netwerk- en inligtingstelsels te bestuur, wat sake soos risiko-analise, voorvalhantering, besigheidskontinuïteit, voorsieningskettingsekuriteit, kuberhigiëne, kwesbaarhede, multifaktor-verifikasie en kriptografie dek. U moet kan staaf waarom die gekose maatreëls gepas is.
Watter kennisgewingstermyne geld na 'n voorval?
'n Vroeë waarskuwing binne 24 uur, 'n formele kennisgewing binne 72 uur met 'n aanvanklike assessering van die erns en impak, en 'n finale verslag binne hoogstens een maand. Stel die kennisgewingsproses vooraf op.
Moet my organisasie registreer?
Ja. Registrasie in die nasionale entiteitsregister is verpligtend vanaf 15 Augustus 2026 en verloop deur MijnNCSC, deur eHerkenning te gebruik of, vir openbare sektorliggame, SSOnRijk. Veranderinge moet binne veertien dae aangemeld word. Sodra u geregistreer is, kan u aan u CSIRT se dienste koppel.
Watter verantwoordelikheid rus by die direksie?
Die direksie moet die sekuriteitsmaatreëls goedkeur, toesig hou oor die implementering daarvan, die kuberrisiko's kan assesseer en self opleiding ondergaan. Die richtlijn spreek die persoonlike aanspreeklikheid van senior bestuur vir nie-nakoming aan, dus moet besluite, opleiding en toesig aantoonbaar aangeteken word.
Hoe hoog is die boetes?
Vir noodsaaklike entiteite ten minste 10 miljoen euro of 2% van die wêreldwye jaarlikse omset; vir belangrike entiteite ten minste 7 miljoen euro of 1.4%, in elke geval wat ook al die hoogste is. Die uiteindelike vlak hang af van faktore soos die aard, erns en duur van die oortreding en die graad van skuld.
Wie hou toesig oor nakoming?
Dit wissel per sektor. Vanaf 15 Augustus 2026 hou die Nederlandse Owerheid vir Digitale Infrastruktuur toesig oor organisasies in nege sektore; ander toesighouers word vir ander sektore aangewys. Stel vas watter toesighouer bevoeg is vir u organisasie.
Waarom is Nederland na die Hof van Justisie verwys?
Vir laat omsetting van NIS2. Op 8 Julie 2026 het die Europese Kommissie besluit om Nederland, saam met Ierland, Spanje en Frankryk, na die Hof van Justisie te verwys omdat hulle nie omsettingsmaatreëls aangemeld het nie. Die feit dat die Kuberveiligheidswet 'n dag vroeër aangeneem is, beëindig nie op sigself daardie verrigtinge nie.
Geld dit ook vir my verskaffers?
Voorsieningskettingsekuriteit is een van die sorgpligonderwerpe. 'n Groot deel van kwesbaarhede ontstaan by verskaffers en diensverskaffers. Hersien u kontrakte oor sekuriteitsreëlings, kennisgewingspligte en ouditregte.
