De Europese Commissie onderneemt juridische stappen tegen Nederland omdat de verplichtingen uit de NIS2-richtlijn nog niet zijn nagekomen. Volgens berichtgeving van AG Connect kan dit uiteindelijk leiden tot een stevige financiële sanctie.
Wat is er gebeurd?
Nederland wordt door de Europese Commissie naar het Europese Hof verwezen vanwege het uitblijven van volledige naleving van de NIS2-verplichtingen. De richtlijn verplicht EU-lidstaten om strengere eisen voor cybersecurity en digitale weerbaarheid in nationale wetgeving te verwerken.
De zaak is relevant omdat NIS2 niet alleen technische beveiliging raakt, maar ook bestuur, toezicht, incidentafhandeling en ketenrisico’s. Het juridische traject laat zien dat de Europese Commissie druk zet op lidstaten die achterlopen met de omzetting van de richtlijn.
Waarom is dit relevant voor BIO2?
BIO2 is bedoeld als normenkader voor informatiebeveiliging binnen de overheid. Hoewel BIO2 en NIS2 verschillende rollen hebben, raken ze in de praktijk dezelfde kernvraag: hoe organiseert een organisatie aantoonbare digitale weerbaarheid?
Voor overheidsorganisaties is dit extra belangrijk. Zij moeten niet alleen voldoen aan interne beveiligingsnormen, maar krijgen ook te maken met Europese verwachtingen rond risicobeheersing, incidentrespons, continuïteit en leveranciersmanagement.
De stap van de Europese Commissie maakt duidelijk dat cybersecurityverplichtingen niet vrijblijvend zijn. BIO2 kan organisaties helpen om maatregelen gestructureerd te borgen, maar moet wel in samenhang worden bekeken met NIS2, ISO 27001 en relevante sectorale verplichtingen.
Wat betekent dit voor organisaties?
Organisaties doen er verstandig aan om niet te wachten op de volledige nationale uitwerking voordat zij maatregelen treffen. De richting van NIS2 is duidelijk: cybersecurity moet bestuurlijk worden belegd en aantoonbaar worden beheerst.
- Breng in kaart of de organisatie onder NIS2 of afgeleide nationale wetgeving kan vallen.
- Voer een gap-analyse uit ten opzichte van bestaande kaders zoals BIO2, ISO 27001 en ISO 27002.
- Leg verantwoordelijkheden voor informatiebeveiliging vast op bestuurs- en managementniveau.
- Controleer of incidentprocessen, meldlijnen en crisisprocedures actueel zijn.
- Besteed expliciet aandacht aan leveranciers, ketenafhankelijkheden en uitbesteding.
- Zorg dat beveiligingsmaatregelen aantoonbaar zijn gedocumenteerd en periodiek worden beoordeeld.
Voor organisaties in en rond de digitale overheid is vooral de samenhang van belang. NIS2 vraagt om weerbaarheid op organisatieniveau, terwijl BIO2 helpt om beveiligingsmaatregelen concreet en controleerbaar in te richten.
Conclusie
De verwijzing van Nederland naar het Europese Hof onderstreept dat NIS2 hoog op de Europese agenda staat. Ook als nationale wetgeving nog in ontwikkeling is, blijft de noodzaak voor organisaties onveranderd: werk aan aantoonbare risicobeheersing, incidentvoorbereiding en ketenweerbaarheid.
Voor BIO2-gebruikers is dit een duidelijk signaal om de eigen beveiligingsaanpak niet alleen als compliance-oefening te zien, maar als fundament voor digitale continuïteit en bestuurlijke verantwoordelijkheid.
Bron: AG Connect