Wat zijn de boetes bij niet-naleving van NIS2?

Patrick de Veer · 09 jun 2026

NIS2-boetes kunnen oplopen tot 10 miljoen euro of 2% van de wereldwijde jaaromzet voor aanbieders van essentiële diensten, en tot 7 miljoen euro of 1,4% van de omzet voor belangrijke entiteiten. Welk bedrag van toepassing is, hangt af van de categorie waarin jouw organisatie valt en van de ernst van de overtreding. Hieronder beantwoorden we de meest gestelde vragen over NIS2-handhaving, aansprakelijkheid en wat je kunt doen om problemen te voorkomen.

Hoe hoog kunnen NIS2-boetes in de praktijk oplopen?

NIS2-boetes zijn ingedeeld in twee niveaus. Voor essentiële entiteiten zoals energiebedrijven, drinkwaterbeheerders en grote digitale infrastructuuraanbieders geldt een maximumboete van 10 miljoen euro of 2% van de totale wereldwijde jaaromzet. Voor belangrijke entiteiten, een bredere categorie waar veel middelgrote bedrijven onder vallen, ligt het maximum op 7 miljoen euro of 1,4% van de jaaromzet.

Naast geldboetes kunnen toezichthouders ook tijdelijke verboden opleggen, verplichte audits afdwingen of eisen dat een organisatie haar klanten en het publiek informeert over een beveiligingsincident. Die reputatieschade kan in de praktijk zwaarder wegen dan de boete zelf. De daadwerkelijke hoogte van een boete hangt af van factoren zoals de ernst van de overtreding, de mate van nalatigheid en of er al eerder waarschuwingen zijn gegeven.

Welke overtredingen leiden het snelst tot een sanctie?

Toezichthouders grijpen het snelst in bij twee situaties: het niet melden van een beveiligingsincident binnen de wettelijke termijn, en het structureel ontbreken van basismaatregelen zoals toegangsbeheer, encryptie of een incidentresponsplan. NIS2 stelt duidelijke meldplichten: een eerste melding moet binnen 24 uur na ontdekking van een significant incident plaatsvinden, en een volledige rapportage binnen 72 uur.

Andere overtredingen die snel tot handhaving leiden:

Geen risicoanalyse uitgevoerd of gedocumenteerd
Leveranciers en toeleveringsketens niet beoordeeld op beveiligingsrisico’s
Bestuur aantoonbaar niet betrokken bij cybersecuritybeleid
Geen herstelplan aanwezig na een incident

Het gaat niet alleen om wat er misgaat, maar ook om of je kunt aantonen dat je de juiste stappen hebt genomen. Organisaties die goed gedocumenteerd beleid hebben maar toch getroffen worden door een aanval, staan er juridisch veel beter voor dan organisaties die niets geregeld hadden.

Wie is persoonlijk aansprakelijk bij NIS2-overtredingen?

NIS2 introduceert persoonlijke aansprakelijkheid voor bestuurders en leidinggevenden. Dat betekent dat directeuren en managers niet langer kunnen zeggen dat cybersecurity een IT-probleem is. Als een organisatie de NIS2-verplichtingen niet naleeft, kunnen toezichthouders bestuurders persoonlijk aansprakelijk stellen, inclusief tijdelijke verboden op het uitoefenen van leidinggevende functies.

Dit is een van de meest ingrijpende veranderingen ten opzichte van de oude NIS-richtlijn. Bestuurders zijn nu wettelijk verplicht om cybersecuritymaatregelen goed te keuren, te begrijpen en actief te monitoren. Het volstaat niet om de verantwoordelijkheid volledig te delegeren aan een IT-afdeling of externe leverancier. Documenteer daarom beslissingen over beveiliging op bestuursniveau en zorg dat het management aantoonbaar betrokken is.

Geldt NIS2 ook voor kleine en middelgrote bedrijven?

NIS2 geldt in principe voor middelgrote en grote organisaties in aangewezen sectoren, maar kleine bedrijven zijn niet automatisch vrijgesteld. De richtlijn hanteert drempelwaarden: organisaties met meer dan 50 medewerkers én een jaaromzet of balanstotaal van meer dan 10 miljoen euro vallen in scope als ze actief zijn in een van de aangewezen sectoren. Kleinere bedrijven kunnen alsnog verplichtingen hebben als ze kritieke diensten leveren of onderdeel zijn van een toeleveringsketen van een grotere organisatie.

Voor het MKB zijn er twee praktische aandachtspunten. Ten eerste: ook als je zelf buiten de directe scope valt, kunnen grote klanten of opdrachtgevers eisen dat jij als leverancier aan NIS2-normen voldoet. Ten tweede: de verwachting is dat NIS2-achtige eisen zich de komende jaren verder verspreiden naar kleinere bedrijven via sectorspecifieke regelgeving en inkoopvereisten. Wie nu al werkt aan digitale weerbaarheid, loopt voor op die ontwikkeling.

Hoe verloopt het handhavingsproces bij NIS2?

Handhaving verloopt via de nationale toezichthouder, in Nederland het Rijksinspectoraat Digitale Infrastructuur (RDI) en in sommige sectoren andere toezichthouders zoals de ACM of DNB. Het proces begint doorgaans niet met een boete, maar met een audit, een informatieverzoek of een waarschuwing. Pas bij herhaalde of ernstige overtredingen volgen zwaardere sancties.

Het handhavingsproces ziet er in de praktijk zo uit:

Toezichthouder voert een controle uit of ontvangt een melding van een incident
Organisatie krijgt de kans om informatie te verstrekken en maatregelen te onderbouwen
Bij geconstateerde tekortkomingen volgt een verbeteringstraject of directe sanctie
Bij ernstige nalatigheid of herhaling worden boetes en andere maatregelen opgelegd

Toezichthouders hebben ook de bevoegdheid om proactief te controleren, zonder dat er eerst een incident heeft plaatsgevonden. Organisaties die in scope vallen, doen er goed aan om hun documentatie op orde te hebben voordat ze een verzoek ontvangen.

Wat kunnen bedrijven doen om NIS2-boetes te voorkomen?

De beste bescherming tegen NIS2-boetes is aantoonbaar beleid combineren met concrete technische maatregelen. Toezichthouders kijken niet alleen of je systemen veilig zijn, maar ook of je kunt bewijzen dat je actief werkt aan risicobeheer. Documentatie is daarin net zo belangrijk als de maatregelen zelf.

Concrete stappen die je kunt zetten:

Breng je huidige beveiligingsniveau in kaart via een risicoanalyse
Stel een incidentresponsplan op en test het regelmatig
Zorg voor meerfactorauthenticatie, encryptie en toegangsbeheer
Beoordeel de beveiliging van je leveranciers en leg afspraken vast
Betrek het bestuur actief bij cybersecuritybeslissingen en documenteer dat
Train medewerkers op basisveiligheid en bewustwording

Je hoeft dit niet in één keer perfect te regelen. Toezichthouders waarderen aantoonbare voortgang. Een organisatie die duidelijk werkt aan verbetering staat er anders voor dan een organisatie die niets heeft gedaan. Begin met de grootste risico’s en bouw van daaruit verder.

Benieuwd waar jouw bedrijf staat op het gebied van digitale weerbaarheid? Doe de gratis Digitale Weerbaarheid pre-scan en weet het in tien minuten. Geen registratie, direct resultaat.

Frequently Asked Questions

Wat is het verschil tussen een essentiële en een belangrijke entiteit onder NIS2?

Essentiële entiteiten zijn organisaties in sectoren die als cruciaal worden beschouwd voor de samenleving, zoals energie, transport, drinkwater en bancaire infrastructuur. Belangrijke entiteiten vormen een bredere categorie en omvatten onder andere digitale dienstverleners, afvalbeheer en bepaalde maakindustrieën. Het onderscheid is praktisch relevant: essentiële entiteiten staan onder strenger toezicht en krijgen hogere maximumboetes, terwijl voor belangrijke entiteiten reactief toezicht vaker de norm is.

Hoe weet ik of mijn bedrijf daadwerkelijk onder de NIS2-richtlijn valt?

Je valt in principe onder NIS2 als je actief bent in een van de aangewezen sectoren én voldoet aan de drempelwaarden van meer dan 50 medewerkers en een omzet of balanstotaal boven de 10 miljoen euro. De eerste stap is controleren of jouw sector op de NIS2-lijst staat — denk aan energie, gezondheidszorg, digitale infrastructuur, transport en financiële dienstverlening. Twijfel je? Raadpleeg dan de sectorale toezichthouder of een juridisch adviseur gespecialiseerd in cybersecuritywetgeving.

Wat moet ik precies melden bij een beveiligingsincident, en aan wie?

Bij een significant incident moet je binnen 24 uur een eerste melding doen bij de bevoegde nationale toezichthouder — in Nederland het RDI of een sectorspecifieke autoriteit zoals de ACM of DNB. Binnen 72 uur volgt een uitgebreidere rapportage met details over de aard van het incident, de getroffen systemen en de genomen maatregelen. Een 'significant incident' is een incident dat aanzienlijke verstoring van je dienstverlening veroorzaakt of kan veroorzaken; het is verstandig dit begrip vooraf intern te definiëren zodat je niet in tijdnood komt.

Kan een cyberverzekering de financiële schade van NIS2-boetes dekken?

De meeste cyberverzekeringen dekken de directe schade van een incident, zoals herstelkosten en bedrijfsonderbreking, maar dekken doorgaans geen boetes die voortvloeien uit wettelijke overtredingen. Boetes opgelegd door toezichthouders zijn in veel polissen expliciet uitgesloten. Een cyberverzekering is waardevol als aanvulling op je beveiligingsbeleid, maar vervangt de noodzaak om NIS2-compliant te zijn niet — investeer daarom primair in preventie en documentatie.

Hoe betrek ik het bestuur bij NIS2 zonder ze te overspoelen met technische details?

Vertaal cybersecurityrisico's naar zakelijke impact: denk aan omzetverlies bij uitval, reputatieschade bij een datalek of persoonlijke aansprakelijkheid bij nalatigheid. Presenteer twee à drie keer per jaar een beknopte risicorapportage op bestuursniveau en laat bestuurders formeel besluiten goedkeuren over beveiligingsmaatregelen. Documenteer die goedkeuringen zorgvuldig — juist dat papieren spoor is wat toezichthouders willen zien als bewijs van actieve betrokkenheid van de top.

Wat zijn veelgemaakte fouten bij de eerste stappen richting NIS2-compliance?

Een veelgemaakte fout is beginnen met technische maatregelen zonder eerst een risicoanalyse te doen, waardoor je investeert in oplossingen die niet aansluiten op de werkelijke risico's. Een andere valkuil is denken dat compliance een eenmalig project is: NIS2 vereist een doorlopend proces van monitoren, testen en verbeteren. Tot slot onderschatten veel organisaties het belang van leveranciersbeheer — de beveiliging van jouw toeleveringsketen is onderdeel van jouw verantwoordelijkheid.

Hoe lang duurt het gemiddeld om een organisatie NIS2-compliant te maken?

Dat hangt sterk af van je huidige beveiligingsniveau, maar reken voor een middelgrote organisatie die vanaf nul begint op zes tot twaalf maanden voor een solide basisniveau. Organisaties die al werken met frameworks zoals ISO 27001 of NEN 7510 hebben een voorsprong, omdat veel vereiste processen al bestaan. Prioriteer de onderdelen met het hoogste risico en de grootste compliance-gaten, en bouw van daaruit stapsgewijs verder — aantoonbare voortgang telt al mee in de ogen van de toezichthouder.