# NIS2: reikwijdte en plichten (FAQ)

> 40 vragen over NIS2: reikwijdte en plichten, in gewone taal: wat u controleert, wat NetSenX laat zien en wat een sensor niet ziet.

Source page: https://netsenx.com/nl/faq/nis2

## Heb ik NDR nodig voor NIS2?

NIS2 noemt NDR niet, maar verplicht u incidenten te detecteren en af te handelen en significante incidenten binnen vaste termijnen te melden. Artikel 21 rekent incidentafhandeling tot de verplichte maatregelen voor risicobeheer; artikel 23 vraagt een vroegtijdige waarschuwing binnen 24 uur, een melding binnen 72 uur en een eindverslag binnen een maand. Netwerkmonitoring is een praktische manier om incidenten op tijd te ontdekken en het bewijs voor die meldingen te bewaren; NetSenX bewaakt de termijnen van artikel 23 per incident. De plichten liggen bij uw organisatie: geen enkel hulpmiddel vervult ze alleen. In Nederland is NIS2 omgezet in de Cyberbeveiligingswet.

https://netsenx.com/nl/faq/do-i-need-ndr-for-nis2

## Vereist NIS2 netwerkmonitoring?

NIS2 noemt netwerkmonitoring en NDR niet bij naam, maar artikel 21 rekent incidentafhandeling tot de verplichte maatregelen voor risicobeheer, en artikel 23 vereist dat significante incidenten binnen vaste termijnen worden gemeld. Een incident dat u niet hebt opgemerkt, kunt u niet melden; continue netwerkmonitoring is daarom een praktische manier om aan beide te voldoen.

https://netsenx.com/nl/faq/does-nis2-require-network-monitoring

## Wat zijn de meldtermijnen voor incidenten onder NIS2?

Volgens artikel 23, lid 4: een vroegtijdige waarschuwing binnen 24 uur nadat u kennis hebt gekregen van een significant incident, een incidentmelding binnen 72 uur, een tussentijds verslag op verzoek van de toezichthouder en een eindverslag uiterlijk een maand na de melding. Nationale wetten kunnen dit nader uitwerken; controleer daarom de regels in uw land.

https://netsenx.com/nl/faq/what-are-the-nis2-incident-reporting-deadlines

## Geldt NIS2 voor middelgrote bedrijven?

In het algemeen geldt NIS2 voor entiteiten in de sectoren van bijlagen I en II die ten minste middelgroot zijn volgens Aanbeveling 2003/361/EG (50 of meer werknemers, of een jaaromzet en een balanstotaal die allebei boven 10 miljoen euro liggen) en voor sommige entiteiten ongeacht hun omvang. Uw nationale toezichthouder of juridisch adviseur kan bevestigen of uw organisatie eronder valt.

https://netsenx.com/nl/faq/does-nis2-apply-to-mid-sized-companies

## Dient NetSenX de NIS2-melding voor ons in?

Nee. NetSenX volgt de termijnen van artikel 23 voor elk incident, bewaart de alerts en het auditlog waarop de melding steunt, en bereidt voor uw FG een datalekmelding volgens artikel 33 AVG voor; de meldingen aan het CSIRT of de bevoegde autoriteit dient uw organisatie zelf in.

https://netsenx.com/nl/faq/does-netsenx-submit-the-nis2-report-for-us

## Wat zijn de boetes onder NIS2?

Volgens artikel 34 van Richtlijn (EU) 2022/2555 moeten lidstaten maximale boetes mogelijk maken van ten minste 10 miljoen euro of 2% van de totale wereldwijde jaaromzet, als dat hoger is, voor essentiële entiteiten, en van ten minste 7 miljoen euro of 1,4% voor belangrijke entiteiten. Dat zijn ondergrenzen voor het maximum, niet de boete die iemand echt betaalt: nationale wetten bepalen de exacte bedragen, welke overtredingen beboet worden en de procedure, en toezichthouders wegen factoren als ernst en duur van de overtreding en de medewerking van het bedrijf. Duitsland bijvoorbeeld bepaalt in § 65 van de BSIG tot 10 of 7 miljoen euro, oplopend tot 2% of 1,4% van de wereldwijde omzet voor entiteiten met een totale omzet boven 500 miljoen euro. Controleer de bedragen die voor u gelden in de wet van uw land.

https://netsenx.com/nl/faq/what-are-the-nis2-fines

## Wie is in een bedrijf verantwoordelijk voor NIS2?

Het bestuursorgaan. Artikel 20 van NIS2 eist dat de bestuursorganen van essentiële en belangrijke entiteiten de maatregelen voor het beheer van cyberbeveiligingsrisico's goedkeuren, toezien op de uitvoering en aansprakelijk kunnen worden gesteld voor inbreuken, en dat hun leden een opleiding volgen. In de praktijk kunnen bestuurders of de raad die verantwoordelijkheid niet bij IT of een dienstverlener neerleggen, ook al doen anderen het werk: zij keuren de maatregelen goed, krijgen regelmatig rapportages en moeten kunnen aantonen dat er toezicht was. Nationale wetten vullen dit in. In Duitsland bijvoorbeeld verplicht § 38 van de BSIG het bestuur de maatregelen uit te voeren en te bewaken, maakt het aansprakelijk tegenover de entiteit volgens het vennootschapsrecht en eist regelmatige opleiding. Wijs een persoon aan voor de dagelijkse aansturing en notuleer elke beoordeling.

https://netsenx.com/nl/faq/who-is-responsible-for-nis2-in-a-company

## Geldt NIS2 voor een bedrijf met minder dan 50 medewerkers?

Meestal niet rechtstreeks, maar er zijn uitzonderingen, en het kan u via uw klanten bereiken. NIS2 geldt in het algemeen voor entiteiten in de genoemde sectoren die volgens de EU-definitie ten minste middelgroot zijn, kort gezegd 50 of meer werknemers, of een jaaromzet en balanstotaal die allebei boven 10 miljoen euro liggen. Artikel 2, lid 2, brengt sommige entiteiten ongeacht hun omvang onder de richtlijn, zoals aanbieders van openbare elektronische communicatie, verleners van vertrouwensdiensten, registers voor topleveldomeinen en DNS-dienstverleners, en entiteiten die een lidstaat als kritiek aanmerkt. Ga ook na of uw groep als één onderneming telt, want cijfers van partner- en verbonden ondernemingen kunnen worden opgeteld. Ook buiten de reikwijdte kunt u vragenlijsten verwachten, omdat klanten die eronder vallen leveranciersrisico moeten beheersen volgens artikel 21. Het laatste woord hebben uw nationale wet en toezichthouder.

https://netsenx.com/nl/faq/is-nis2-mandatory-for-companies-with-fewer-than-50-staff

## Kan een kleine dochteronderneming door haar groep onder NIS2 vallen?

Ja, dat kan. NIS2 meet de omvang met de EU-definitie van kleine en middelgrote ondernemingen (Aanbeveling 2003/361/EG van de Commissie), waarbij personeel, omzet en balanstotaal van partner- en verbonden ondernemingen in beginsel bij de eigen cijfers worden opgeteld. Een dochter met 30 medewerkers in een groot concern kan dus als groot tellen en eronder vallen als ze in een genoemde sector actief is. Nationale wetten kunnen dit verzachten: in Duitsland telt § 28 lid 4 van de BSIG de groepscijfers niet mee als de onderneming qua inrichting en beheer van haar IT-systemen onafhankelijk is van haar partner- of verbonden ondernemingen. Breng elke juridische entiteit in de groep in kaart met sector en groepscijfers, controleer de nationale regels in elk land waar ze actief is en leg de uitkomst vast.

https://netsenx.com/nl/faq/can-a-small-subsidiary-be-in-nis2-scope-because-of-its-group

## Onze klant valt onder NIS2. Moeten wij ook voldoen?

Niet aan de wet zelf, tenzij u er zelf onder valt, maar in de praktijk wel aan de eisen van uw klant. Artikel 21, lid 2, onder d, verplicht entiteiten die eronder vallen de beveiliging van de toeleveringsketen te regelen, inclusief beveiligingsaspecten van hun relaties met directe leveranciers en dienstverleners, en artikel 21, lid 3, vraagt hen rekening te houden met de kwetsbaarheden en beveiligingspraktijken van elke directe leverancier. Uw klant stuurt dus vragenlijsten, vraagt om bewijs en neemt beveiligings- en meldclausules op in het contract. Antwoord naar waarheid, leg vast wat u hebt en onderhandel over plichten die bij uw omvang passen. Het contract bindt u ook waar de richtlijn dat niet doet. NetSenX helpt bij één terugkerende vraag, inbraakdetectie: netwerkdetectie in elk abonnement, ook in Free, een alertgeschiedenis en een auditlog om te laten zien, met klantgegevens opgeslagen in de EU.

https://netsenx.com/nl/faq/our-customer-is-in-nis2-scope-do-we-have-to-comply

## Wat vraagt NIS2 van een middelgroot bedrijf dat eronder valt?

Grofweg vier dingen. Ten eerste governance: het bestuursorgaan keurt de cyberbeveiligingsmaatregelen goed, ziet erop toe en volgt een opleiding (artikel 20). Ten tweede risicobeheer: passende en evenredige technische, operationele en organisatorische maatregelen op basis van een allesomvattende benadering van gevaren, die ten minste de tien gebieden van artikel 21, lid 2, dekken, van risicoanalyse en incidentafhandeling tot back-ups, toeleveringsketen, cryptografie, toegangsbeheer en multifactorauthenticatie. Ten derde melden: significante incidenten gaan in stappen naar het CSIRT of de bevoegde autoriteit, een vroegtijdige waarschuwing binnen 24 uur, een melding binnen 72 uur en een eindverslag binnen een maand (artikel 23). Ten vierde registratie en toezicht zoals de nationale wet bepaalt. Evenredig betekent afgestemd op uw omvang en blootstelling. NetSenX helpt bij detectie, incidentbewijs en termijnbewaking; de rest is uw programma.

https://netsenx.com/nl/faq/what-does-nis2-require-from-a-mid-sized-company

## Wat zijn de tien risicobeheermaatregelen uit artikel 21 van NIS2?

Artikel 21, lid 2, noemt de minimale gebieden die elke entiteit die eronder valt moet dekken. In gewone taal: beleid voor risicoanalyse en beveiliging van informatiesystemen; incidentafhandeling; bedrijfscontinuïteit, zoals back-upbeheer, herstel na rampen en crisisbeheer; beveiliging van de toeleveringsketen; beveiliging bij aanschaf, ontwikkeling en onderhoud van systemen, inclusief omgaan met en melden van kwetsbaarheden; beleid om te beoordelen of de maatregelen werken; basale cyberhygiëne en training; beleid voor cryptografie en, waar passend, versleuteling; personeelsbeveiliging, toegangsbeleid en beheer van bedrijfsmiddelen; en multifactor- of continue authenticatie, beveiligde spraak-, video- en tekstcommunicatie en, waar passend, beveiligde noodcommunicatie. Elke maatregel moet passend en evenredig zijn aan uw risico's. Nationale wetten nemen de lijst over. NetSenX ondersteunt incidentafhandeling en bewijs van effectiviteit, niet de hele lijst.

https://netsenx.com/nl/faq/what-are-the-ten-nis2-article-21-measures

## Wat is het verschil tussen essentiële en belangrijke entiteiten onder NIS2?

Vooral de manier van toezicht en de maximale boetes, niet de plichten zelf. Beide moeten de risicobeheermaatregelen van artikel 21 toepassen en significante incidenten melden volgens artikel 23. Volgens artikel 3 zijn essentiële entiteiten grofweg grote bedrijven in de sectoren van bijlage I, plus sommige entiteiten ongeacht hun omvang, zoals gekwalificeerde verleners van vertrouwensdiensten, registers voor topleveldomeinen en DNS-dienstverleners, en entiteiten die een lidstaat aanwijst; belangrijke entiteiten zijn de overige entiteiten uit bijlage I en II die eronder vallen. Essentiële entiteiten krijgen toezicht vooraf, met inspecties en audits op elk moment (artikel 32), belangrijke entiteiten toezicht achteraf, als er aanwijzingen voor niet-naleving zijn (artikel 33). De maximale boetes verschillen volgens artikel 34. Nationale wetten gebruiken eigen termen; controleer die van uw land.

https://netsenx.com/nl/faq/what-is-the-difference-between-essential-and-important-entities

## Welke sectoren vallen onder NIS2?

Achttien sectoren in twee bijlagen. Bijlage I, sectoren met een hoge kriticiteit, omvat energie, vervoer, bankwezen, infrastructuur voor de financiële markt, gezondheidszorg, drinkwater, afvalwater, digitale infrastructuur, beheer van ICT-diensten voor zakelijke klanten (managed service- en managed security service-providers), overheid en ruimtevaart. Bijlage II, andere kritieke sectoren, omvat post- en koeriersdiensten, afvalstoffenbeheer, chemische stoffen, productie en distributie van levensmiddelen, vervaardiging (medische hulpmiddelen; computers, elektronische en optische producten; elektrische apparatuur; machines; motorvoertuigen; andere transportmiddelen), digitale aanbieders (onlinemarktplaatsen, zoekmachines en sociale netwerken) en onderzoek. Elke sector is verdeeld in soorten entiteiten, dus lees de precieze tekst voor uw activiteit, niet alleen de sectornaam. Drempels voor omvang en nationale keuzes bepalen daarna of een bepaald bedrijf eronder valt.

https://netsenx.com/nl/faq/which-sectors-does-nis2-cover

## Zijn bestuurders onder NIS2 persoonlijk aansprakelijk?

Dat kan, op de manier die het nationale recht bepaalt. Artikel 20, lid 1, verplicht lidstaten ervoor te zorgen dat de bestuursorganen van essentiële en belangrijke entiteiten aansprakelijk kunnen worden gesteld voor inbreuken op hun plicht om de cyberbeveiligingsmaatregelen goed te keuren en erop toe te zien. Voor essentiële entiteiten laat artikel 32 toezichthouders bovendien, als uiterste middel, om een tijdelijk verbod vragen voor een persoon om leidinggevende functies uit te oefenen als opgedragen maatregelen uitblijven. Hoe aansprakelijkheid in de praktijk werkt, verschilt per land: Duitsland bijvoorbeeld maakt het bestuur volgens het vennootschapsrecht aansprakelijk tegenover de entiteit voor schuldig veroorzaakte schade (§ 38 lid 2 BSIG) en staat een tijdelijk verbod toe voor onbetrouwbare bestuurders van bijzonder belangrijke entiteiten (§ 61 lid 9). Controleer uw nationale recht en uw bestuurdersaansprakelijkheidsverzekering, en notuleer dat u de maatregelen goedkeurde en beoordeelde.

https://netsenx.com/nl/faq/are-managers-personally-liable-under-nis2

## Is cyberbeveiligingstraining voor het bestuur verplicht onder NIS2?

Ja, voor de leden van bestuursorganen van entiteiten die eronder vallen; hoe vaak laat de richtlijn aan nationaal recht over. Artikel 20, lid 2, eist dat die leden een opleiding volgen om voldoende kennis en vaardigheden te verwerven om risico's te herkennen en praktijken voor het beheer van cyberbeveiligingsrisico's en hun gevolgen voor de diensten van de entiteit te beoordelen, en moedigt aan medewerkers regelmatig een vergelijkbare opleiding te bieden. NIS2 noemt geen uren of certificaten. Nationale wetten vullen aan: in Duitsland verplicht § 38 lid 3 BSIG bijvoorbeeld het bestuur regelmatig aan trainingen deel te nemen. Een zinnig programma behandelt dreigingen, het risicobeeld van het bedrijf, de plichten van het bestuur en de meldtermijnen, en bevat een tabletop-oefening. Bewaar presentielijsten en materiaal als bewijs. NetSenX geeft geen trainingen; de alerts in gewone taal zijn bruikbaar als realistische voorbeelden.

https://netsenx.com/nl/faq/is-management-training-mandatory-under-nis2

## Wat moeten bestuurders goedkeuren volgens artikel 20 van NIS2?

De maatregelen voor het beheer van cyberbeveiligingsrisico's die de entiteit neemt op grond van artikel 21, en zij moeten ook toezien op de uitvoering ervan. In de praktijk keurt het bestuur een korte reeks documenten en besluiten goed: de risicoanalyse en de prioriteiten die daaruit volgen, het beveiligingsbeleid voor de tien gebieden van artikel 21, lid 2, de procedure voor incidentafhandeling en melding, het continuïteits- en back-upplan, de aanpak van leveranciersbeveiliging, en budget en eigenaren per gebied. Goedkeuren is geen eenmalige handtekening: het bestuur moet regelmatig rapportages krijgen over de werking van de maatregelen, besluiten over tekortkomingen en zijn besluiten vastleggen. Vraag om bewijs, niet alleen om beleid: hersteltests, dekking van de monitoring, het incidentregister. NetSenX levert bewijs voor detectie en incidentafhandeling op het netwerk; de rest goedkeuren blijft de taak van het bestuur.

https://netsenx.com/nl/faq/what-do-board-members-approve-under-nis2-article-20

## Hoe kan een directeur controleren of de cybermaatregelen echt werken?

Door om tests en resultaten te vragen in plaats van beschrijvingen. NIS2 noemt zelf beleid en procedures om de effectiviteit van de maatregelen te beoordelen als verplicht gebied (artikel 21, lid 2, onder f). Nuttige controles zonder technische kennis: laat IT een echt systeem uit een back-up herstellen en meld hoe lang dat duurde; vraag naar het aandeel accounts met multifactorauthenticatie en de lijst met uitzonderingen; vraag naar de datum van de laatste externe penetratietest en welke bevindingen nog openstaan; vraag welke netwerksegmenten bewaakt worden en laat een recente alert zien met wat ermee is gedaan; en houd eens per jaar een korte tabletop-oefening. Vergelijk de antwoorden per kwartaal. NetSenX levert het detectiedeel in gewone taal: alertgeschiedenis, de lijst met bewaakte segmenten en een auditlog van beslissingen.

https://netsenx.com/nl/faq/how-can-a-managing-director-check-cyber-measures-work

## Dekt NetSenX alle maatregelen uit artikel 21 van NIS2?

Nee. NetSenX ondersteunt er een paar en is eerlijk over de rest. Het helpt vooral bij incidentafhandeling (artikel 21, lid 2, onder b): netwerkdetectie van C2-beaconing, scans, laterale beweging en ongebruikelijk uitgaand datavolume in elk abonnement, ook in Free, met termijnbewaking per incident volgens artikel 23. Het levert bewijs voor het beoordelen van effectiviteit (onder f): alertgeschiedenis, bewaakte segmenten en een auditlog van beslissingen, met pdf-rapporten vanaf Starter. Het geeft gedeeltelijk zicht op de toeleveringsketen (onder d), door te tonen wat externe sessies van leveranciers op uw netwerk doen, en op beheer van bedrijfsmiddelen (onder i), via de netwerkkaart. Het schrijft geen beleid, maakt geen back-ups, beheert geen toegang, dwingt geen multifactorauthenticatie af, traint geen personeel en handelt geen kwetsbaarheidsmeldingen af. Geen enkele tool regelt naleving alleen: NIS2 is een organisatorisch programma.

https://netsenx.com/nl/faq/does-netsenx-cover-all-nis2-article-21-measures

## Maakt het kopen van een beveiligingstool ons NIS2-conform of geregistreerd?

Nee. Naleving betekent dat uw organisatie onder toezicht van het bestuursorgaan de risicobeheermaatregelen van artikel 21 heeft genomen en significante incidenten meldt zoals artikel 23 eist; een tool kan een deel van dat werk ondersteunen, maar het niet voor u doen. Registratie is een aparte juridische stap: valt u eronder, dan levert u uw gegevens aan bij de nationale autoriteit via de procedure die uw wet voorschrijft, zoals de registratie bij het BSI in Duitsland op grond van § 33 BSIG, en geen leverancier kan dat voor u doen door u software te verkopen. Wees voorzichtig met producten die worden verkocht als garantie voor naleving. NetSenX ondersteunt detectie, incidentbewijs en bewaking van NIS2-termijnen, en zegt wat het niet doet; of u eronder valt, en registreren, blijft bij u.

https://netsenx.com/nl/faq/does-buying-a-security-tool-make-us-nis2-compliant

## Bij welke NIS2-taken helpt software, en bij welke niet?

Software helpt bij taken die gegevens opleveren of analyseren; beslissen, juridische verantwoordelijkheid dragen of zelf gedrag veranderen kan ze niet. Tools helpen bij het opsporen van incidenten (netwerk- en endpointdetectie), het bewaren van bewijs en bewaken van meldtermijnen, kwetsbaarheden- en patchbeheer, het afdwingen van multifactorauthenticatie, het draaien en testen van back-ups, een inventaris van bedrijfsmiddelen en het verzamelen van auditbewijs. Ze kunnen niet bepalen of u eronder valt, u niet registreren, geen maatregelen goedkeuren namens het bestuursorgaan, niet beoordelen of een incident significant is, geen meldingen indienen, geen leverancierscontracten onderhandelen en niemand een training laten volgen. Plan beide kolommen: de tools en, naast elke tool, de persoon die beslist. NetSenX dekt netwerkdetectie, incidentbewijs en bewaking van NIS2-termijnen; meldingen dient het nooit voor u in.

https://netsenx.com/nl/faq/which-nis2-tasks-can-software-help-with

## Schrijft NIS2 een bepaalde beveiligingstool voor, zoals inbraakdetectie?

Nee. NIS2 is technologieneutraal: artikel 21 eist passende en evenredige maatregelen die rekening houden met de stand van de techniek, relevante normen en de uitvoeringskosten, maar noemt geen productcategorie. In de praktijk kunt u incidenten niet afhandelen (artikel 21, lid 2, onder b) of op tijd melden (artikel 23) zonder een manier om ze op te sporen, dus de meeste entiteiten combineren endpointbeveiliging, logverzameling en netwerkdetectie naar gelang hun risico. Nationaal recht kan voor sommige entiteiten concreter zijn: in Duitsland verplicht § 31 lid 2 BSIG exploitanten van kritieke installaties systemen voor aanvalsdetectie in te zetten, terwijl andere entiteiten onder de algemene maatregelen van § 30 vallen. Kies tools op basis van de risico's in uw analyse en leg vast waarom.

https://netsenx.com/nl/faq/does-nis2-require-a-specific-security-tool

## Wat gebeurt er als we groeien of een bedrijf overnemen en de NIS2-drempel overschrijden?

U valt eronder vanaf het moment dat u aan de criteria van uw nationale wet voldoet, en de termijnen voor registratie en maatregelen gaan lopen. Groei in personeel of omzet, of een overname waardoor u deel wordt van een grotere groep, kan veranderen of u als middelgroot of groot telt en in welke categorie u valt. Controleer de cijfers bij elke jaarafsluiting en vóór elke overname, met de EU-methode voor personeel, omzet en balanstotaal, inclusief partner- en verbonden ondernemingen. Nationale wetten bepalen wanneer plichten ingaan: in Duitsland eist § 33 lid 1 BSIG registratie uiterlijk drie maanden nadat een entiteit voor het eerst of opnieuw als bijzonder belangrijk of belangrijk geldt. Bouw de risicobeheermaatregelen op vóór u de drempel passeert, niet erna, en neem de beveiliging van de overnamekandidaat mee in de due diligence.

https://netsenx.com/nl/faq/what-if-we-cross-the-nis2-size-threshold

## Wie beslist of ons bedrijf onder NIS2 valt?

In de meeste landen beoordeelt u het eerst zelf, aan de hand van de criteria in uw nationale wet, en de autoriteit kan de uitkomst bevestigen of corrigeren. NIS2 geeft het kader: sector en soort entiteit uit bijlage I of II, omvang volgens de EU-definitie en de uitzonderingen die ongeacht omvang gelden (artikel 2). Lidstaten moeten een lijst van essentiële en belangrijke entiteiten opstellen (artikel 3, lid 4) en rekenen er in de praktijk meestal op dat bedrijven zich zelf registreren; sommige schrijven ook bedrijven aan die zij eronder vinden vallen. In Duitsland kan het BSI een entiteit zelf registreren als die dat nalaat (§ 33 lid 3 BSIG). Leg uw beoordeling dus vast: activiteiten, sectorindeling, groepscijfers, conclusie en wie die goedkeurde. Is de uitkomst onduidelijk, vraag het dan aan de nationale autoriteit of een advocaat. Een leverancier kan deze beslissing niet voor u nemen.

https://netsenx.com/nl/faq/who-decides-whether-we-are-in-nis2-scope

## Moeten we ons onder NIS2 registreren, en waar?

Meestal wel, als u eronder valt, bij de autoriteit die uw nationale wet aanwijst. Artikel 3, lid 4, van NIS2 verplicht lidstaten een lijst van essentiële en belangrijke entiteiten op te stellen en entiteiten te laten aanleveren: ten minste naam, adres en actuele contactgegevens, inclusief e-mailadressen, IP-reeksen en telefoonnummers, de lidstaat en de sector en subsector. Bepaalde digitale aanbieders, zoals DNS- en cloudaanbieders, datacenters en managed service- en managed security service-providers, registreren zich volgens artikel 27 in het land van hun hoofdvestiging. Procedure en termijn zijn nationaal: in Duitsland eist § 33 BSIG registratie bij het BSI binnen drie maanden nadat een entiteit voor het eerst als zodanig geldt, en melding van wijzigingen binnen twee weken. Controleer de regels en het portaal in uw land en bewaar de bevestiging.

https://netsenx.com/nl/faq/do-we-have-to-register-under-nis2

## Waarom sturen klanten ons ineens NIS2-leveranciersvragenlijsten?

Omdat NIS2 hen verantwoordelijk maakt voor de beveiliging van hun toeleveringsketen. Artikel 21, lid 2, onder d, eist dat entiteiten die eronder vallen de beveiliging van de toeleveringsketen regelen, inclusief beveiligingsaspecten van hun relaties met directe leveranciers en dienstverleners, en artikel 21, lid 3, vraagt hen rekening te houden met kwetsbaarheden, productkwaliteit en beveiligingspraktijken van elke leverancier. Hun auditors en toezichthouders vragen hoe ze dat deden, en een vragenlijst is de gebruikelijke eerste stap, vaak gevolgd door contractclausules over beveiligingsmaatregelen, incidentmelding en auditrechten, in Nederland vaak ketenzorgplicht genoemd. Zie het als een verkoopvraag: een snel, eerlijk en onderbouwd antwoord helpt de klant te behouden. Houd een standaard antwoordpakket klaar: beleid, eventuele certificeringen, incidentafhandeling, datalocatie en monitoring. NetSenX levert in elk abonnement bewijs voor het monitoringdeel.

https://netsenx.com/nl/faq/why-are-customers-sending-nis2-supplier-questionnaires

## Hoe beantwoorden we ‘hebt u inbraakdetectie?’ in een vragenlijst van een klant?

Precies: wat u hebt, waar, en wie reageert. Een goed antwoord noemt het soort detectie (netwerk, endpoint of beide), welke locaties en segmenten het dekt, hoe alerts een persoon bereiken en hoe snel, en welk bewijs u kunt leveren. Bijvoorbeeld: netwerkdetectie draait op de segmenten van het hoofdkantoor en het magazijn via een sensor op een mirrorpoort; alerts gaan per e-mail naar de IT-manager en onze IT-dienstverlener; we houden een alertgeschiedenis en een auditlog van beslissingen bij; endpointbeveiliging draait op alle laptops en servers. Ontbreekt er iets, zoals nachtdekking, zeg dat dan en noem wat u in plaats daarvan doet. Met NetSenX kunt u antwoorden dat netwerkdetectie in elk abonnement aanwezig is, met alertgeschiedenis, auditlog, pdf-rapporten vanaf Starter en klantgegevens opgeslagen in de EU.

https://netsenx.com/nl/faq/how-to-answer-do-you-have-intrusion-detection-on-a-questionnaire

## Waar moet een bedrijf beginnen bij de voorbereiding op NIS2?

Bij uitzoeken of en hoe u eronder valt, en daarna bij het dichten van de gaten die bij een echt incident het meeste pijn doen. Een praktische volgorde: bevestig reikwijdte en categorie onder uw nationale wet en registreer u als dat moet; wijs een eigenaar op bestuursniveau aan en informeer het bestuur over zijn plichten; maak een lijst van kritieke systemen, gegevens en leveranciers; zorg dat u een incident zou opmerken, via endpoint- en netwerkdetectie, en dat iemand de alerts ontvangt; schrijf een korte procedure voor respons en melding die de stappen van 24 uur, 72 uur en een maand uit artikel 23 haalt; test een herstel uit back-ups; zet multifactorauthenticatie aan voor e-mail, externe toegang en beheeraccounts; werk daarna de overige maatregelen uit artikel 21 af in een risicogebaseerd plan dat het bestuur goedkeurt. NetSenX kan de stappen detectie en termijnbewaking afdekken in elk abonnement, ook in Free.

https://netsenx.com/nl/faq/what-should-a-company-do-first-to-prepare-for-nis2

## Hoe voert een mkb-bedrijf een cyberrisicoanalyse uit voor NIS2?

Eenvoudig, concreet en herhaald, in plaats van omvangrijk en theoretisch. NIS2 vraagt beleid voor risicoanalyse (artikel 21, lid 2, onder a) en een allesomvattende benadering van gevaren, dus neem naast aanvallen ook brand, stroomuitval en menselijke fouten mee. Een werkbare methode: noteer de diensten die het bedrijf draaiende houden en de systemen, gegevens en leveranciers waarvan elk afhangt; beschrijf per dienst wat er mis kan gaan, hoe waarschijnlijk dat is en wat het zou kosten; noteer bestaande maatregelen en tekortkomingen; rangschik de tekortkomingen naar impact; en spreek met het bestuur eigenaren en data af voor de belangrijkste. Eén pagina per kritieke dienst is genoeg om te beginnen. Herzie de analyse jaarlijks en na elk incident of grote wijziging. NetSenX voert de analyse niet uit, maar de alerts en de netwerkkaart tonen welke risico's zich echt op uw netwerk voordoen.

https://netsenx.com/nl/faq/how-do-smes-do-a-cyber-risk-assessment-for-nis2

## Heeft mijn land NIS2 al omgezet in nationale wetgeving?

Kijk op de website van uw overheid of nationale cyberbeveiligingsautoriteit, want het antwoord verschilt per land en verandert in de tijd. NIS2 is een richtlijn en geldt voor bedrijven via nationale wetten; artikel 41 legde de datum vast waarop lidstaten die moesten hebben aangenomen, en verscheidene waren te laat. In Duitsland herschreef de NIS2UmsuCG de BSI-wet (BSIG); andere landen hebben eigen wetten aangenomen of werken er nog aan, vaak met andere namen, autoriteiten, registratieportalen en details. In Nederland gaat het om de Cyberbeveiligingswet; controleer de actuele stand. Zolang uw nationale wet niet in werking is, binden de plichten, termijnen en boetes u niet op dezelfde manier, maar klanten en verzekeraars kunnen al maatregelen op NIS2-niveau vragen, en eerdere nationale regels kunnen blijven gelden. Plan met de richtlijn als basis en pas aan als uw wet definitief is.

https://netsenx.com/nl/faq/has-my-country-transposed-nis2

## Eist NIS2 multifactorauthenticatie?

Ze noemt het als verplicht gebied, waar passend. Artikel 21, lid 2, onder j, omvat het gebruik van multifactorauthenticatie of continue authenticatie, beveiligde spraak-, video- en tekstcommunicatie en beveiligde noodcommunicatiesystemen binnen de entiteit, waar passend. ‘Waar passend’ laat ruimte voor een risicogebaseerde keuze, maar voor de accounts waar aanvallers het vaakst op mikken, is het moeilijk te verantwoorden het niet te gebruiken: e-mail, externe toegang en VPN, beheerdersaccounts, cloudconsoles, back-upsystemen en financiële applicaties. Begin daar, gebruik waar mogelijk authenticator-apps of hardwaresleutels in plaats van sms, neem ook accounts van dienstverleners mee en houd een lijst bij van gedocumenteerde uitzonderingen met de reden. Verzekeraars vragen meestal naar dezelfde accounts. NetSenX biedt zelf tweestapsverificatie in elk abonnement; MFA voor uw andere systemen beheert het niet.

https://netsenx.com/nl/faq/does-nis2-require-multi-factor-authentication

## Eist NIS2 versleuteling?

Ze eist beleid en procedures voor het gebruik van cryptografie en, waar passend, versleuteling (artikel 21, lid 2, onder h). Dat betekent op papier vastleggen waar en hoe uw bedrijf versleutelt: gegevens onderweg (TLS voor websites, e-mail en externe toegang), opgeslagen gegevens (schijfversleuteling op laptops, versleutelde back-ups en databases) en het beheer van sleutels en certificaten, inclusief wie erbij kan en hoe ze worden vernieuwd. Baseer de keuzes op actuele aanbevelingen van uw nationale autoriteit, zoals het NCSC in Nederland, of van ENISA, en houd een overzicht bij van waar cryptografie wordt gebruikt, zodat u zwakke algoritmen kunt vervangen als de adviezen veranderen. NetSenX analyseert metadata van verkeer en ontsleutelt nooit; waar de agent pakketten vastlegt, op Linux of als SPAN- of TAP-sensor, leest hij TLS-handshakes, wat helpt te zien welke verbindingen zwakke of verouderde versleuteling gebruiken.

https://netsenx.com/nl/faq/does-nis2-require-encryption

## Eist NIS2 back-ups en een bedrijfscontinuïteitsplan?

Ja. Artikel 21, lid 2, onder c, noemt bedrijfscontinuïteit, zoals back-upbeheer en herstel na een calamiteit, en crisisbeheer onder de minimale maatregelen. In de praktijk moet een entiteit die eronder valt kunnen laten zien: welke diensten en systemen kritiek zijn en hoe lang ze mogen uitvallen; back-ups van die systemen, zo bewaard dat een aanvaller die het netwerk beheerst ze niet kan wissen of versleutelen, bijvoorbeeld offline of onveranderbaar; hersteltests met vastgelegde uitkomsten en tijden; een herstelvolgorde; en een crisisplan met rollen, contactlijsten op papier en een manier om te communiceren zonder bedrijfs-e-mail. Oefen het minstens jaarlijks. Toezichthouders en verzekeraars vragen allebei om bewijs van hersteltests. NetSenX maakt geen back-ups en herstelt niets; het kan een alert geven als een apparaat veel bestandsshares gaat aanraken of data naar buiten stuurt, wat vaak aan een ransomware-blokkade voorafgaat.

https://netsenx.com/nl/faq/does-nis2-require-backups-and-business-continuity

## Wat zegt NIS2 over de beveiliging van de toeleveringsketen?

Dat entiteiten die eronder vallen de beveiligingsrisico's van hun leveranciers en dienstverleners moeten beheersen. Artikel 21, lid 2, onder d, omvat de beveiliging van de toeleveringsketen, inclusief beveiligingsaspecten van de relaties tussen elke entiteit en haar directe leveranciers of dienstverleners, en artikel 21, lid 3, eist dat rekening wordt gehouden met de specifieke kwetsbaarheden van elke directe leverancier, de algemene kwaliteit van producten en de beveiligingspraktijken van leveranciers, inclusief hun procedures voor veilige ontwikkeling. Artikel 22 voegt gecoördineerde EU-risicobeoordelingen van kritieke toeleveringsketens toe. In de praktijk: houd een lijst bij van leveranciers met toegang tot uw systemen of gegevens, rangschik ze naar risico, vraag de risicovollere om bewijs, neem beveiligings- en meldclausules op in contracten, beperk en bewaak hun toegang, en herzie jaarlijks. NetSenX toont wat externe sessies van leveranciers op uw netwerk doen en geeft een alert als ze zich naar andere apparaten verspreiden.

https://netsenx.com/nl/faq/what-does-nis2-say-about-supply-chain-security

## Eist NIS2 een inventaris van IT-middelen?

Ja, als onderdeel van een verplicht gebied. Artikel 21, lid 2, onder i, omvat personeelsbeveiliging, toegangsbeleid en beheer van bedrijfsmiddelen, en systemen waarvan u niet weet dat u ze hebt, zijn moeilijk te beschermen, te patchen of te herstellen. Een bruikbare inventaris vermeldt per apparaat, systeem en clouddienst: wat het is, waar het draait, wie de eigenaar is, hoe kritiek het is, welke gegevens het bevat en of het nog ondersteund en gepatcht wordt. Houd hem actueel door bronnen te combineren: apparaatbeheer, inkoopgegevens, cloudaccounts en wat u echt op het netwerk ziet. Onbekende apparaten zijn een veelvoorkomende vondst, van oude servers tot kleine computers in een stopcontact. In elk abonnement toont de netwerkkaart van NetSenX de apparaten die op bewaakte segmenten zijn gezien, met gemelde naam en wanneer ze voor het eerst en het laatst zijn gezien, wat helpt te vinden wat de papieren inventaris miste.

https://netsenx.com/nl/faq/does-nis2-require-an-asset-inventory

## Wie houdt toezicht op NIS2, en wat mag de toezichthouder doen?

De bevoegde autoriteit die uw nationale wet aanwijst, vaak de nationale cyberbeveiligingsautoriteit of een sectortoezichthouder. De artikelen 32 en 33 geven toezichthouders toezichts- en handhavingsbevoegdheden: inspecties ter plaatse en toezicht op afstand, regelmatige, gerichte en ad-hocaudits, beveiligingsscans, verzoeken om informatie en om bewijs van de maatregelen, bindende instructies en bevelen om tekortkomingen te herstellen, bevelen om klanten over dreigingen te informeren, en boetes. Essentiële entiteiten kunnen op elk moment proactief worden gecontroleerd, belangrijke meestal achteraf, als er aanwijzingen zijn voor niet-naleving. In Duitsland oefent het BSI deze bevoegdheden uit op grond van §§ 61 en 62 BSIG, inclusief het laten uitvoeren van audits door onafhankelijke instanties. Bereid u voor door uw documentatie actueel te houden, zodat u een verzoek in dagen kunt beantwoorden en niet in maanden.

https://netsenx.com/nl/faq/who-supervises-nis2-and-what-can-they-do

## Geldt NIS2 voor bedrijven die buiten de EU gevestigd zijn?

Dat kan, als ze diensten in de EU verlenen. NIS2 geldt voor entiteiten die hun diensten in de Unie verlenen of er hun activiteiten verrichten (artikel 2), en artikel 26 bepaalt welke lidstaat bevoegd is: in de regel die waar de entiteit gevestigd is, met bijzondere regels voor aanbieders van openbare elektronische communicatie, voor de overheid en voor bepaalde digitale aanbieders, zoals DNS- en cloudaanbieders, datacenters, managed service- en managed security service-providers, onlinemarktplaatsen, zoekmachines en sociale netwerken, die vallen onder het land van hun hoofdvestiging in de EU. Een aanbieder van die digitale diensten die niet in de EU gevestigd is maar er diensten aanbiedt, moet een vertegenwoordiger in een lidstaat aanwijzen. Niet-EU-bedrijven buiten deze categorieën krijgen meestal met NIS2 te maken via de leverancierseisen van hun EU-klanten.

https://netsenx.com/nl/faq/does-nis2-apply-to-companies-outside-the-eu

## Welk bewijs zal een NIS2-toezichthouder vragen?

Bewijs dat de maatregelen bestaan, door het bestuur zijn goedgekeurd en echt werken. Verwacht verzoeken om: de beoordeling van de reikwijdte en de registratie; de risicoanalyse en het beveiligingsbeleid voor de gebieden van artikel 21, lid 2; notulen waaruit blijkt dat het bestuursorgaan ze goedkeurde en beoordeelde, en vastlegging van de opleiding van bestuurders; de procedure voor incidentafhandeling en het incidentregister, met de ingediende meldingen en hun tijdstip; resultaten van back-ups en hersteltests; de leverancierslijst met contracten en beoordelingen; de status van toegangsbeheer en multifactorauthenticatie; en resultaten van audits en penetratietests met de herstelacties die volgden. Het Duitse recht bijvoorbeeld verplicht entiteiten de naleving van hun risicobeheerplichten te documenteren. NetSenX levert incidentbewijs: alerts met tijd, apparaten en bestemmingen, NIS2-termijnen per incident, een auditlog van beslissingen en, vanaf Starter, pdf-rapporten.

https://netsenx.com/nl/faq/what-evidence-will-a-nis2-supervisor-ask-for

## Wat is Uitvoeringsverordening (EU) 2024/2690 onder NIS2?

Het is de handeling van de Commissie die voor bepaalde digitale entiteiten gedetailleerde technische en methodologische eisen stelt aan de maatregelen van artikel 21, en bepaalt wanneer een incident bij hen significant is. Ze geldt voor DNS-dienstverleners, registers voor topleveldomeinen, aanbieders van cloudcomputingdiensten, datacenterdiensten en netwerken voor inhoudslevering, managed service-providers, managed security service-providers, onlinemarktplaatsen, onlinezoekmachines, platforms voor sociale netwerken en verleners van vertrouwensdiensten. Voor hen beschrijft de verordening, die rechtstreeks geldt zonder omzetting, wat elke maatregel moet bevatten, van risicobeheer en incidentafhandeling tot toegangsbeheer en cryptografie. Het Duitse recht geeft haar voor deze soorten entiteiten voorrang. Hoort u er niet bij, dan is ze nog steeds een bruikbare, concrete checklist om uw eigen maatregelen te ordenen, en klanten van managed service-providers verwachten vaak dat leveranciers haar volgen.

https://netsenx.com/nl/faq/what-is-the-nis2-implementing-regulation-2024-2690

## Hoe verschillen nationale NIS2-wetten tussen EU-landen?

In namen, autoriteiten, procedures en sommige details, met een gemeenschappelijke kern. Elke nationale wet moet de kern van de richtlijn bevatten: de sectoren en omvangregels, de maatregelen van artikel 21, de plichten van bestuursorganen, de gefaseerde melding van artikel 23 en boetes van ten minste het niveau van artikel 34. Verschillen die u tegenkomt: wie de bevoegde autoriteit en het CSIRT zijn en hoe u ze bereikt; het registratieportaal en de termijnen; of meer entiteiten worden meegenomen, zoals sommige overheidsorganen of kleinere bedrijven; extra nationale eisen, zoals systemen voor aanvalsdetectie bij kritieke installaties in Duitsland (§ 31 lid 2 BSIG) of een aangewezen beveiligingsfunctionaris; en de procedure en de werkelijke hoogte van boetes. Bent u in meerdere landen actief, koppel dan elke dochter aan haar nationale wet en autoriteit en controleer de wet van elk land, want de lokale begrippen en termijnen beslissen.

https://netsenx.com/nl/faq/how-do-national-nis2-laws-differ

Algemene informatie, geen juridisch advies. Nationale wetten kunnen de hier aangehaalde EU-teksten aanvullen, bijvoorbeeld met termijnen, formulieren of meldkanalen: controleer de regels van uw eigen land.

FAQ: https://netsenx.com/nl/faq