NIS2-omzetting, lidstaat voor lidstaat: wat het register van de Commissie zelf laat zien

Elk advocatenkantoor met een cyberbeveiligingspraktijk publiceert een tracker van de NIS2-omzetting, en geen twee komen overeen, omdat elk de lezing van één persoon is van wat 27 parlementen hebben voortgebracht. Er is één lijst die geen lezing is: het register van nationale maatregelen die de lidstaten zelf aan de Commissie hebben meegedeeld op grond van artikel 41 van Richtlijn (EU) 2022/2555, dat EUR-Lex toont onder het tabblad „nationale omzetting” van de richtlijn en dat het Publicatiebureau als data bewaart. Het is de lijst waaraan de inbreukbesluiten van de Commissie worden getoetst. Dit artikel is dat register, gelezen op 12 september 2026, met de volledige lijst van elke meegedeelde maatregel, per lidstaat, op een eigen pagina, en de twee conclusies die het register draagt en die de trackers doorgaans vertroebelen.

Wat het register is

Artikel 41(1) droeg de lidstaten op „de maatregelen vast te stellen en bekend te maken die nodig zijn om aan deze richtlijn te voldoen” uiterlijk op 17 oktober 2024, „de Commissie daarvan onverwijld in kennis te stellen” en die maatregelen toe te passen vanaf 18 oktober 2024. Elke maatregel die een lidstaat meedeelt, wordt één record: de titel die de lidstaat eraan gaf, in zijn eigen taal; het soort handeling; de datum; de datum van mededeling; en, waar de lidstaat ze heeft opgegeven, de inwerkingtreding en het nationale publicatieblad. De CELLAR-opslag van het Publicatiebureau koppelt elk record aan de richtlijn, waardoor een machine de hele verzameling in één keer kan lezen en de pagina en de dataset achter dit artikel opnieuw worden gegenereerd in plaats van overgetypt.

Twee eigenschappen van het register wegen zwaarder dan welke regel erin ook. Het bevat alleen wat is meegedeeld: een lidstaat waarvan het parlement vorige maand een wet heeft aangenomen die nog niet is gemeld, toont niets, en een lidstaat die zijn kader van 2018 voor de beveiliging van netwerk- en informatiesystemen als gedeeltelijke omzetting heeft meegedeeld, toont dat kader, hoezeer een latere handeling het ook vervangt. En het zegt niet welke van de maatregelen van een lidstaat „de NIS2-wet” is. De tabel hieronder noemt er één per lidstaat, gekozen volgens een uitgesproken regel: de meegedeelde maatregel van de hoogste rang waarvan de titel de richtlijn, cyberbeveiliging of de beveiliging van netwerk- en informatiesystemen noemt, de nieuwste als er meerdere zijn. Dat is onze lezing, en de pagina markeert die als zodanig.

Wat het op 12 september 2026 laat zien

25 van de 27 lidstaten hebben ten minste één maatregel meegedeeld, samen 303 maatregelen. 24 hebben een handeling meegedeeld die de richtlijn of cyberbeveiliging in de titel noemt. Spanje en Ierland hebben niets meegedeeld. Frankrijk heeft 15 teksten meegedeeld, elk daarvan gedateerd tussen 2005 en 2023: de wet, het decreet en het besluit van 2018 waarmee de eerste NIS-richtlijn werd omgezet, artikelen van het defensiewetboek en interministeriële instructies over de beveiliging van de informatiesystemen van de staat, en geen handeling die NIS2 noemt.

De data vertellen de rest. Zes van de 24 hoofdhandelingen zijn gedateerd op of vóór de deadline van 17 oktober 2024: die van Kroatië, de vroegste, van februari 2024; de Belgische wet van april 2024, in werking vanaf 18 oktober 2024, de dag waarop de richtlijn van toepassing werd; die van Letland, Litouwen en Italië in de zomer en het najaar van 2024; en die van Slowakije, de wet van 2018 zoals gewijzigd, in werking sinds 1 januari 2025. De overige 18 zijn gedateerd na de deadline, en zes daarvan traden in 2026 in werking: Estland en Zweden in januari, Bulgarije in februari, Polen in april, Luxemburg in mei, en Nederland, waarvan de Cyberbeveiligingswet van 8 juli 2026 geldt vanaf 15 augustus 2026 en de nieuwste handeling in het register is.

Het aantal maatregelen zegt iets over hoe lidstaten melden, niet over hoeveel wetgeving ze hebben. De 83 records van Tsjechië omvatten handelingen die al in 2004 zijn meegedeeld en later aan de richtlijn zijn gekoppeld; de 39 van Hongarije en de 28 van Estland volgen hetzelfde patroon van het melden van het omringende wetboek; de 20 van Duitsland zijn grotendeels de eigen uitvoeringsregels van de deelstaten voor hun administraties, één voor één meegedeeld, naast de federale wet van december 2025. Bulgarije, Cyprus, Italië, Luxemburg, Malta en Slovenië hebben elk één handeling meegedeeld.

Het register, één regel per lidstaat

De volledige lijst achter elke regel, met soorten, data, publicatiebladen en nationale links, staat op de omzettingspagina, en dezelfde records zitten in de datasets die StandardOS uit primaire bronnen publiceert.

Wat een softwarebedrijf ermee doet

Welke van deze wetten u raakt, wordt bepaald door artikel 26, niet door waar uw klanten zitten. Een essentiële of belangrijke entiteit valt onder de bevoegdheid van de lidstaat waar zij is gevestigd. Voor de digitale aanbieders van artikel 26(1)(b), waaronder cloudcomputingdiensten, datacentra, aanbieders van beheerde diensten en beheerde beveiligingsdiensten, onlinemarktplaatsen, zoekmachines en sociale netwerken, gaat de bevoegdheid naar de lidstaat van de hoofdvestiging in de Unie, in artikel 26(2) gedefinieerd als de lidstaat „waar de beslissingen in verband met de maatregelen voor het beheer van cyberbeveiligingsrisico's overwegend worden genomen”. De wet van één lidstaat, één toezichthouder, één registratie, hoe verspreid uw gebruikers ook zijn. Dezelfde aanbieders moesten op grond van artikel 27(2) uiterlijk op 17 januari 2025 hun naam, sector, adressen, contactgegevens, bediende lidstaten en IP-bereiken bij de bevoegde autoriteit indienen, voor het register van Enisa. Of de richtlijn uw bedrijf raakt, als essentiële of belangrijke entiteit, en onder de wet van welke lidstaat, wordt hier schriftelijk beantwoord.

De delen die per lidstaat verschillen, zijn de delen die een nationale handeling vastlegt: wie toezicht houdt, waar en wanneer u zich registreert, hoe de boetes binnen de plafonds van de richtlijn worden vastgesteld, en de vorm en het kanaal van de incidentmelding. De delen die overal gelijk zijn, zijn die van de richtlijn zelf: de maatregelen van artikel 21, sectie voor sectie tegenover ISO 27001; de klokken van artikel 23, die voor een bedrijf dat naast een dienst ook een product levert naast die van de CRA lopen; en, voor cloud- en andere digitale aanbieders, de incidentdrempels van Uitvoeringsverordening (EU) 2024/2690, die rechtstreeks geldt en helemaal geen omzetting nodig heeft. Een bedrijf in een van de twee lidstaten waarvoor het register leeg is, staat niet buiten de richtlijn: de verordening geldt er vandaag voor, en de vraag of NIS2 of de CRA zijn wet is heeft hetzelfde antwoord als overal elders.

Bronnen

• Richtlijn (EU) 2022/2555 (NIS2), artikel 26(1) en (2), artikel 27(1) en (2), artikel 41(1).
• De nationale uitvoeringsmaatregelen die in CELLAR, de opslag van het Publicatiebureau achter EUR-Lex, aan CELEX 32022L2555 zijn gekoppeld, gelezen via SPARQL op 12 september 2026; titels, soorten en data zoals meegedeeld.
• Uitvoeringsverordening (EU) 2024/2690 van de Commissie, artikel 1.

Dit is geen juridisch advies. Het register legt vast wat de lidstaten hebben meegedeeld; of een lidstaat de richtlijn juist of volledig heeft omgezet, is een vraag voor de Commissie en uiteindelijk voor het Hof, en dit artikel beantwoordt haar niet.