NIS2: welke maatregelen moet ik minimaal nemen?
Vastgesteld 2026-06-14 · ≈ 1 min lezen · 
redactie Dirk Baaijen
NIS2 vraagt passende risicobeheersmaatregelen — van risicoanalyse, back-ups en toeleveringsketenbeveiliging tot toegangsbeheer, training en encryptie — plus bestuurlijke verantwoordelijkheid. Een praktische checklist voor transport en logistiek.
NIS2 schrijft geen exacte techniek voor, maar eist passende technische en organisatorische maatregelen op basis van je risico. De richtlijn noemt een basisset; hieronder vertaald naar een checklist.
De minimale maatregelen (art. 21)
- Risicoanalyse en beveiligingsbeleid — vastgelegd en actueel.
- Incidentafhandeling — detectie, respons, en de meldplicht (24/72 uur).
- Bedrijfscontinuïteit — back-ups, herstel, crisismanagement.
- Toeleveringsketenbeveiliging — eisen aan leveranciers en dienstverleners.
- Beveiliging bij aanschaf, ontwikkeling en onderhoud — incl.
kwetsbaarhedenbeheer.
- Beleid voor effectiviteitsmeting van je maatregelen.
- Basishygiëne en training — voor medewerkers én bestuur.
- Encryptie waar passend.
- Toegangsbeheer — incl. multifactor-authenticatie en accountbeheer.
Bestuurlijke verantwoordelijkheid (art. 20)
NIS2 legt de verantwoordelijkheid expliciet bij de directie/het bestuur: zij keuren de maatregelen goed, zien toe op naleving en moeten zich laten scholen. Cyberbeveiliging is een directiethema, geen IT-detail — met bestuurlijke aansprakelijkheid bij nalatigheid.
Wat te doen
- Doe een risicoanalyse en leg je beleid vast.
- Loop de checklist hierboven langs en dicht de gaten.
- Beleg de verantwoordelijkheid bij het bestuur en plan training.
Lees het hoofddossier: NIS2: cyberbeveiliging als bestuursverantwoordelijkheid. Of doe de Transport & Logistiek-scan.
Bronnen
- https://eur-lex.europa.eu/eli/dir/2022/2555/oj
Richtlijn (EU) 2022/2555 (NIS2): risicobeheersmaatregelen (art. 21) en bestuurlijke verantwoordelijkheid (art. 20). - https://digital-strategy.ec.europa.eu/en/policies/nis2-directive
Europese Commissie — NIS2: beheersmaatregelen en governance.
Lees ook
AI beveiligen in kritieke infrastructuur: waar AI Act, Cyber Resilience Act en NIS2 samenkomen
Eén AI-systeem in een haven valt vaak onder drie kaders tegelijk: de AI Act (art. 15) beveiligt het AI-systeem zelf, de Cyber Resilience Act het product, en NIS2 verplicht de exploitant als essentiële entiteit. Dit stuk legt uit hoe ze samenkomen en wie waarvoor verantwoordelijk is.
Dekt mijn ISO 27001-certificering de zorgplicht onder NIS2?
ISO 27001 dekt een groot deel van de NIS2-risicobeheermaatregelen, maar is geen automatische compliance. Meldplicht, bestuursverantwoordelijkheid, ketenrisico en registratie moet je apart afdekken.
De Nederlandse Cyberbeveiligingswet: zo wordt NIS2 in Nederland recht
De Cyberbeveiligingswet zet NIS2 om in Nederlands recht: zorgplicht, meldplicht en bestuursaansprakelijkheid. De wet is nog in behandeling en treedt naar verwachting later in werking dan de EU-deadline.