NIS2 is geen AVG, maar de twee raken elkaar. Deze gids beoordeelt de softwarecategorieën voor Nederlandse organisaties die onder de Cyberbeveiligingswet vallen, met de RDI als een van de toezichthouders. Voor het juridische kader verwijzen we naar onze gids NIS2-richtlijn: omzetting in Nederland.
De Nederlandse context: Cyberbeveiligingswet en RDI
De NIS2-richtlijn is in Nederland omgezet via de Cyberbeveiligingswet (Cbw), die de oude Wet beveiliging netwerk- en informatiesystemen (Wbni) vervangt en het toepassingsbereik fors uitbreidt. Kernpunten voor uw softwarekeuze:
- Meer sectoren en organisaties vallen eronder, verdeeld in essentiële en belangrijke entiteiten.
- Registratieplicht bij de bevoegde autoriteit.
- Meldplicht incidenten: een vroegtijdige waarschuwing binnen 24 uur, een volledige melding binnen 72 uur en een eindrapport binnen één maand.
- Toezicht door onder meer de Rijksinspectie Digitale Infrastructuur (RDI) en sectorale toezichthouders; het NCSC fungeert als CSIRT en meldpunt.
- Bestuurdersaansprakelijkheid: het bestuur is verantwoordelijk voor de goedkeuring en het toezicht op de maatregelen.
De boetes zijn fors: essentiële entiteiten riskeren tot 10 miljoen euro of 2 procent van de wereldwijde jaaromzet, belangrijke entiteiten tot 7 miljoen euro of 1,4 procent. Software die de meldtermijnen bewaakt en de maatregelen documenteert, is daarmee geen luxe.
Wie valt onder de Cyberbeveiligingswet?
De reikwijdte is fors uitgebreid ten opzichte van de oude Wbni. Grofweg vallen organisaties onder de Cyberbeveiligingswet als ze actief zijn in een aangewezen sector én een bepaalde omvang hebben (doorgaans middelgroot of groter, met sectorale uitzonderingen). NIS2 onderscheidt twee categorieën:
- Essentiële entiteiten — onder meer energie, drinkwater en afvalwater, transport, bankwezen, financiële marktinfrastructuur, gezondheidszorg, digitale infrastructuur en overheid. Zij staan onder het strengste toezicht, met de hoogste boetes.
- Belangrijke entiteiten — onder meer post- en koeriersdiensten, afvalbeheer, de chemische en levensmiddelensector, digitale aanbieders (zoals onlinemarktplaatsen en zoekmachines) en de verwerkende industrie.
De classificatie bepaalt de zwaarte van de eisen en het toezicht. Twijfelt u of u eronder valt, dan is dit de eerste vraag om te beantwoorden — nog vóór enige softwarekeuze. Bepaal ook of u naast NIS2 onder DORA valt (financiële sector); in dat geval gaat DORA als lex specialis voor.
Waarop beoordeelt u NIS2-software?
| Criterium | Waarom beslissend |
|---|---|
| Risicobeheer | NIS2 eist een risicogebaseerde aanpak (art. 21) |
| Asset- en leveranciersinventaris | Toeleveringsketen is expliciet in scope |
| Incidentmelding met klok | 24u / 72u / 1 maand-termijnen bewaken |
| TOM-documentatie | Aantoonbaarheid richting RDI |
| Bestuursrapportage | Bestuur moet goedkeuren en toezien |
| ISO 27001-aansluiting | Praktische norm om NIS2 in te vullen |
| EU-hosting | Vermijdt doorgifte-complicaties |
De softwarecategorieën, beoordeeld
GRC-/ISMS-platformen (Eramba, DataGuard, ServiceNow GRC) — dekken risicobeheer, TOM-documentatie, beleidsbeheer en auditverantwoording. Sterkste categorie voor NIS2-governance. Eramba is open source en betaalbaar; ServiceNow is enterprise-zwaar en -duur.
ISO 27001-tooling (Vanta, Sprinto, ISMS-suites) — automatiseren bewijsvoering voor een information security management system, dat NIS2 in de praktijk grotendeels invult. Sterk voor SaaS- en IT-bedrijven; minder gericht op de Nederlandse meldketen.
Incident- en SOC-tooling (SIEM, SOAR, ticketing) — nodig voor detectie en de operationele meldworkflow. Onmisbaar naast een GRC-tool, maar geen vervanging voor governance.
De vergelijkingstabel
Wat kost NIS2 compliance software?
De kosten hangen sterk af van uw classificatie en omvang:
- Belangrijke entiteit, mkb-formaat: 5.000 tot 20.000 euro per jaar voor een GRC-/ISMS-platform.
- Essentiële entiteit, middelgroot: 20.000 tot 60.000 euro per jaar, vaak inclusief SOC-diensten.
- Enterprise: 60.000+ euro, met ServiceNow-achtige suites en een eigen SOC.
Reken daarnaast op implementatie- en advieskosten; NIS2-conformiteit is deels een organisatorisch traject, niet alleen een tool.
Zo kiest u NIS2-software
- Bepaal eerst uw classificatie. Essentiële of belangrijke entiteit? Dat bepaalt de zwaarte van de eisen en dus van de tool.
- Begin bij risicobeheer en TOM-documentatie. Dat is de kern waarop de RDI toetst.
- Regel de meldketen apart. Zorg dat de 24u/72u/1-maand-termijnen operationeel bewaakt worden.
- Sluit aan op ISO 27001. Het is de meest praktische norm om NIS2 aantoonbaar in te vullen.
De overlap tussen NIS2 en de AVG
Voor Nederlandse organisaties die onder beide regimes vallen, loont het de overlap te benutten in plaats van twee gescheiden trajecten op te tuigen:
| Onderwerp | NIS2 | AVG |
|---|---|---|
| Beveiligingsmaatregelen | Art. 21 (risicogebaseerd) | Art. 32 |
| Incidentmelding | 24u/72u aan RDI/CSIRT | 72u aan de AP bij persoonsgegevens |
| Leveranciersbeheer | Toeleveringsketen | Verwerkersovereenkomsten (art. 28) |
| Bestuursverantwoordelijkheid | Expliciet | Accountability (art. 5) |
| Documentatie | TOM’s, risicoregister | Verwerkingsregister |
Een beveiligingsincident dat óók persoonsgegevens raakt, kan tegelijk een NIS2-incident én een AVG-datalek zijn — met twee meldketens en twee termijnen. Een geïntegreerde governance-aanpak voorkomt dat u die twee los organiseert en er één vergeet.
Implementatie-stappenplan
- Classificeer uw organisatie. Essentiële of belangrijke entiteit? Bepaal dit eerst; het stuurt de hele aanpak.
- Registreer bij de bevoegde autoriteit. De Cyberbeveiligingswet kent een registratieplicht.
- Voer een risicoanalyse uit en leg de TOM’s vast — dit is de kern waarop de RDI toetst.
- Richt de meldketen in. Zorg dat de 24u-vroegwaarschuwing, 72u-melding en het eindrapport binnen één maand operationeel zijn.
- Beleg de bestuursverantwoordelijkheid. Het bestuur moet de maatregelen goedkeuren en erop toezien; documenteer die goedkeuring.
- Sluit aan op ISO 27001 en uw AVG-verplichtingen om dubbel werk te vermijden.
Software ondersteunt stap 3 tot en met 6; stap 1 en 2 zijn juridisch-organisatorisch en gaan aan elke tool vooraf.
Veelgestelde vragen
Wat kost NIS2 compliance software in Nederland?
Voor een belangrijke entiteit op mkb-formaat doorgaans 5.000 tot 20.000 euro per jaar voor een GRC-/ISMS-platform. Essentiële entiteiten en grotere organisaties zitten eerder op 20.000 tot 60.000+ euro, vaak inclusief SOC-diensten. Implementatie en advies komen daar bovenop.
Voldoe ik met ISO 27001-software aan NIS2?
ISO 27001 vult de NIS2-beveiligingseisen grotendeels in en is de meest praktische norm om aantoonbaarheid te bereiken. Maar NIS2 stelt aanvullende eisen — met name de registratie- en meldplicht bij de Nederlandse autoriteiten — die ISO-tooling niet automatisch afdekt. Combineer daarom governance-, ISMS- en meldtooling.
Is NIS2-software hetzelfde als AVG-software?
Wie houdt toezicht op NIS2 in Nederland?
Onder meer de Rijksinspectie Digitale Infrastructuur (RDI) en sectorale toezichthouders, afhankelijk van uw sector. Het NCSC fungeert als CSIRT en meldpunt. De Cyberbeveiligingswet legt de precieze verdeling vast.
Wat zijn de boetes bij niet-naleving van NIS2?
Essentiële entiteiten riskeren tot 10 miljoen euro of 2 procent van de wereldwijde jaaromzet, belangrijke entiteiten tot 7 miljoen euro of 1,4 procent. Bovendien introduceert NIS2 persoonlijke bestuurdersaansprakelijkheid: het bestuur moet de maatregelen goedkeuren en erop toezien, en kan aansprakelijk worden gehouden bij nalatigheid. Dat maakt aantoonbaarheid — via TOM-documentatie en een risicoregister — direct een bestuursbelang.
Wanneer moet ik een incident melden onder NIS2?
De Cyberbeveiligingswet volgt de gefaseerde meldplicht van NIS2: een vroegtijdige waarschuwing binnen 24 uur na kennisname van een significant incident, een volledige melding binnen 72 uur, en een eindrapport binnen één maand. Raakt het incident ook persoonsgegevens, dan geldt daarnaast de 72-uursmeldplicht aan de AP — twee aparte ketens die u parallel moet inrichten.
Waarom governance vóór tooling komt
Een veelgemaakte fout is meteen software aanschaffen zonder eerst de organisatorische basis te leggen. NIS2 is primair een governancekader: het bestuur moet risico’s begrijpen, maatregelen goedkeuren en verantwoordelijkheden beleggen. Tooling ondersteunt dat, maar vervangt het niet. Begin daarom met de classificatievraag, de risicoanalyse en de bestuurlijke verankering; kies pas daarna de software die bij uw classificatie en sector past. Een dure GRC-suite zonder een bestuur dat de risico’s daadwerkelijk stuurt, levert een vals gevoel van veiligheid — en houdt bij de RDI geen stand.
Conclusie
Zie ook: AI Act-compliancesoftware, de Cyberbeveiligingswet en NIS2 vs AVG.