NIS2 jurist: juridisch advies en compliance bij de Cyberbeveiligingswet

NIS2 toepasbaarheid: valt jouw organisatie eronder?

De eerste vraag is vaak: geldt de NIS2 ook voor mijn organisatie? Dat lijkt eenvoudig, maar de werkelijkheid is minder zwart-wit. Natuurlijk richt de richtlijn zich op vitale sectoren zoals zorg, energie, transport, onderwijs en digitale infrastructuur. Maar ook organisaties die diensten of software leveren aan deze sectoren kunnen indirect met de verplichtingen te maken krijgen.

Binnen de aangewezen sectoren maakt de wet onderscheid tussen twee categorieën:

• Essentiële entiteiten: grote organisaties met 250 of meer medewerkers, een omzet van minimaal €50 miljoen én een balanstotaal vanaf €43 miljoen.

• Belangrijke entiteiten: middelgrote organisaties met 50 of meer medewerkers en een omzet en balanstotaal vanaf €10 miljoen.

Valt jouw organisatie niet in één van deze categorieën, dan lijkt de richtlijn in beginsel niet van toepassing. Toch kan de ketenverantwoordelijkheid ertoe leiden dat je er alsnog indirect door geraakt wordt.

Om hier duidelijkheid over te krijgen, bieden wij een NIS2 Quickscan (juridische toets). Daarmee brengen we in kaart of de richtlijn voor jou geldt, welke verplichtingen er spelen en welke eerste stappen je kunt zetten om compliant te worden.

Van analyse tot implementatie

Als blijkt dat NIS2 op jouw organisatie van toepassing is, begeleiden we je bij de vervolgstappen. We starten met een nulmeting en gapanalyse: waar voldoe je al en welke onderdelen vragen nog om verbetering?

Een verplicht onderdeel van NIS2 is de risicoanalyse. Veel organisaties weten niet precies hoe ze die moeten uitvoeren of vastleggen. Wij helpen je bij het opstellen van een risicoanalyse die niet alleen praktisch bruikbaar is, maar ook voldoet aan de juridische eisen.

Daarna volgt de implementatie: het aanpassen van contracten, het juridisch borgen van governance en verantwoordelijkheden en het opstellen van incidentresponsprocedures. Zo ontstaat een compleet en aantoonbaar compliance-programma waarmee je klaar bent voor de nieuwe wet.

Bestuurdersaansprakelijkheid onder NIS2

Een opvallende vernieuwing is dat bestuurders expliciet verantwoordelijk worden gemaakt voor naleving. Zij moeten beleid goedkeuren, toezicht houden op de uitvoering en beschikken over voldoende kennis om de impact van digitale risico’s te begrijpen.

Wordt er onvoldoende invulling gegeven aan die rol, dan kan dit leiden tot persoonlijke aansprakelijkheid bij ernstige nalatigheid. Cybersecurity is dus niet langer een technisch detail, maar een bestuurlijke kerntaak onder NIS2.

Wij ondersteunen bestuurders door governance en verantwoordelijkheden juridisch vast te leggen, contracten te toetsen en boardroomtrainingen te verzorgen. Zo laat je als bestuur zien dat je de verplichtingen serieus neemt en verklein je de kans op NIS2 bestuurdersaansprakelijkheid.

De zorgplicht: aantoonbaar grip op risico’s

Centraal in NIS2 staat de zorgplicht: organisaties moeten passende en evenredige maatregelen nemen om cyberrisico’s te beheersen. Dat gaat verder dan IT-beveiliging alleen.

De zorgplicht vraagt om een integrale aanpak: een actueel informatiebeveiligingsbeleid, periodieke risicoanalyses, een incident response plan en noodprocedures. Ook leveranciersmanagement hoort erbij: afspraken met partners moeten contractueel zijn vastgelegd en regelmatig worden getoetst.

Daarnaast vraagt NIS2 om structurele training en bewustwording, bij medewerkers én bij bestuurders. Digitale veiligheid moet een vast onderdeel van de organisatiecultuur zijn.

Wij helpen je om die zorgplicht concreet en werkbaar te maken. Afgestemd op jouw sector, risico’s en middelen, zodat je aantoonbaar voldoet aan de wet zonder onnodige ballast.

Praktische en juridische ondersteuning bij NIS2 compliance

Onze aanpak combineert kennis van ICT- en privacyrecht met ervaring in compliance en contracten. Wij adviseren niet alleen, maar helpen ook bij de implementatie. Denk aan het opstellen van beleid en procedures, het herzien van contracten, het inrichten van meldprocessen en het voorbereiden op toezicht of audits.

Zo weet je zeker dat je organisatie niet alleen technisch, maar ook juridisch klaar is voor de Cyberbeveiligingswet.