Wat als u niet voldoet aan NIS2?

De boetes halen de krant, maar in de praktijk komt de eerste schade zelden van een toezichthouder. Hij komt van een opdrachtgever die zaken doet met iemand anders.

Wat een toezichthouder kan opleggen

Dat voorlaatste punt is uitzonderlijk in het Nederlandse recht: een toezichthouder kan een bestuurder tijdelijk verbieden een leidinggevende functie uit te oefenen bij die entiteit.

Waarvoor u beboet kunt worden

• zich niet registreren in het entiteitenregister
• geen of onvoldoende maatregelen nemen
• een significant incident niet of te laat melden
• niet meewerken aan toezicht
• een bindende instructie negeren

Merk op dat de meeste hiervan losstaan van de vraag of u daadwerkelijk gehackt bent. Te laat melden is een zelfstandige overtreding, ook als het incident zelf klein was.

Hoe toezichthouders in de praktijk optreden

De eerste stap is vrijwel nooit een boete. Het patroon is: informatieverzoek, gesprek, aanwijzing met een termijn, en pas daarna een sanctie als er niets gebeurt. Het onderscheid dat gemaakt wordt is tussen organisaties die aantoonbaar bezig zijn en organisaties die niets hebben gedaan.

Daarom is een plan met data erin zoveel waard, ook als u nog niet klaar bent. "Wij zijn ermee bezig en dit is ons plan" is een wezenlijk andere positie dan "wij wisten het niet".

Het risico dat eerder komt

Uw plichtige klanten moeten hun leveranciers beoordelen. Kunt u niets laten zien, dan wordt u een risico in hun dossier. Dat leidt niet tot een boete maar tot een aanbesteding die u niet wint of een contract dat niet wordt verlengd.

Dat gebeurt nu al, terwijl de eerste boetes nog jaren op zich kunnen laten wachten.

Wat u vandaag kunt doen

• Stel vast of u eronder valt en leg het vast: gratis check
• Registreer u als dat geldt, dat is een uur werk
• Regel de meldketen, zodat u de 24 uur haalt
• Maak een plan met data en laat zien dat u bezig bent

Hoe u laat zien dat u bezig bent

Het onderscheid dat een toezichthouder maakt is niet tussen klaar en niet klaar, maar tussen bezig en niets gedaan. Dat is een lage drempel en veel organisaties halen hem onnodig niet.

Wat volstaat om aan de goede kant te staan: een vastgelegde conclusie dat u onder de wet valt, een registratie, een risicoanalyse hoe beknopt ook, en een plan met data erbij waaruit blijkt wat wanneer geregeld wordt. Dat is samen twee dagen werk en het verandert uw positie fundamenteel.

Wat u vooral niet doet

Niets vastleggen omdat het toch nog niet af is. Dat is de meest gemaakte fout. Een half dossier met een plan erbij is aanzienlijk sterker dan een leeg dossier met goede bedoelingen, want alleen het eerste is aantoonbaar.

En: geen dingen opschrijven die niet kloppen. Een beleid waarin staat dat u maandelijks logging controleert terwijl dat nooit gebeurt, is bij een controle schadelijker dan geen beleid. U levert dan zelf het bewijs dat u weet wat er moet en het niet doet.

Uw positie bepaalt welk scenario reëel is

• Essentiële entiteit met herhaalde overtredingen. Hier is het volledige instrumentarium in beeld, inclusief het tijdelijke bestuursverbod. Dit scenario komt pas in beeld na een lange reeks gemiste stappen, niet na één misser.
• Belangrijke entiteit, eerste keer aangesproken. Reken op een informatieverzoek en een aanwijzing met termijn, geen boete als eerste stap.
• Klein bedrijf dat er per ongeluk onder blijkt te vallen. Toezichthouders houden in de praktijk rekening met proportionaliteit. Aantoonbaar en snel corrigeren weegt zwaarder dan de omvang van de organisatie.

Het onderscheid tussen essentiële en belangrijke entiteiten zit hem niet in de zwaarte van de zorgplicht, die is gelijk, maar in het toezichtsregime: essentiële entiteiten worden proactief gecontroleerd, belangrijke pas na een signaal.

Wat een verkeerde inschatting kost

De duurste inschattingsfout is denken dat stilzitten geen keuze is. Niets doen wordt door een toezichthouder niet gezien als neutraal, maar als het ontbreken van elke inspanning, en dat weegt zwaarder mee dan een organisatie die wel bezig is maar nog niet klaar is. Het tweede risico is overhaast reageren op een informatieverzoek met toezeggingen die niet haalbaar zijn; een gemiste eigen deadline in een handhavingstraject is schadelijker dan een reële planning vooraf.

De volgorde zodra u een signaal krijgt

1. Reageer op een informatieverzoek binnen de gestelde termijn, ook als het antwoord onvolledig is.
2. Leg bij elk antwoord een reële datum vast waarop het ontbrekende stuk klaar is.
3. Betrek het bestuur meteen, niet pas als er een aanwijzing ligt.
4. Documenteer elke stap die u zet vanaf het moment van het signaal; dat dossier is uw verdediging bij een vervolgstap.

De denkfout: wachten tot het duidelijker wordt

Veel organisaties stellen actie uit omdat de wet nieuw is en de eerste zaken nog moeten uitwijzen hoe streng er gehandhaafd wordt. Die afwachtende houding is precies de fout waar toezichthouders het scherpst op reageren, want ze maakt het onderscheid tussen bezig en niets gedaan zichtbaar in uw nadeel. Wachten op duidelijkheid van anderen is zelf al het signaal dat u niets doet.

Veelgestelde vragen

Zijn er al boetes uitgedeeld in Nederland?

De wet geldt sinds 15 augustus 2026 en toezichthouders zijn begonnen met informeren en inventariseren. Reken erop dat handhaving toeneemt naarmate de wet langer geldt.

Beschermt een verzekering mij tegen boetes?

Maar beperkt. Bestuursrechtelijke boetes zijn in Nederland grotendeels niet verzekerbaar.

Wat als ik te laat begin?

Begin dan alsnog en leg vast wanneer u wat doet. Aantoonbaar bezig zijn weegt zwaar in de beoordeling.

Kan ik persoonlijk aansprakelijk worden gesteld?

Bij ernstige nalatigheid wel. Zie bestuurdersaansprakelijkheid.

Word ik gewaarschuwd voordat er een boete komt?

In vrijwel alle gevallen wel, via een informatieverzoek en een aanwijzing met termijn. Een boete als allereerste stap is uitzonderlijk.

Telt het mee als wij zelf een incident melden waarbij bleek dat wij nog niet volledig op orde waren?

Ja, en meestal in uw voordeel. Zelf melden en meewerken weegt positief mee ten opzichte van pas reageren als de toezichthouder erachter komt.

Verschilt de aanpak per sector?

De wet is gelijk, maar het toezicht ligt vaak bij een sectorale toezichthouder die de eigen sector kent en daar rekening mee houdt.