Richtlijn (EU) 2022/2555
NIS2, voor een softwarebedrijf
Sinds 18 oktober 2024 bereikt NIS2 een bedrijf via zijn entiteitstype en zijn omvang, 67 types in de twee bijlagen; de vraag is welk type u bent.
Beantwoord hierboven om de bepaling voor uw geval te lezen; het volledige instrument neemt uw antwoorden mee.
Doorgaan in de gratis bepalingDe volledige bepaling beantwoordt elke vraag en bewaart de lezing als gedateerd document voor €29.
In één oogopslag
Vijf tools, gratis, zonder account
- Gratis controleValt uw bedrijf onder NIS2, en is het essentieel of belangrijk?Vijf vragen uit artikel 2, artikel 3 en artikel 26 tegenover de 67 soorten entiteiten van de bijlagen I en II, met als resultaat een schriftelijke bepaling met de wet van de lidstaat en wat rechtstreeks geldt.
- GidsWaar u zich registreert, lidstaat voor lidstaatDe autoriteit, de weg en de wet voor elk van de zevenentwintig, met de leesdatum.
- TermijnDe incidentklok: 24 uur, 72 uur, één maandHet moment van kennisneming erin; de drie termijnen van artikel 23, lid 4, het CSIRT van de staat, en de vroegtijdige waarschuwing, de melding en het eindverslag geschreven met de onderdelen van de richtlijn.
- KoppelingNIS2 gekoppeld aan ISO 27001De 13 bijlagesecties van de uitvoeringsverordening tegenover de ISO 27001-maatregelen die eraan voldoen, en de twee plekken waar ze meer vraagt.
- GidsHet omzettingsregister, lidstaat voor lidstaatElke nationale maatregel die aan de Commissie is meegedeeld, 305 uit 25 van de 27 lidstaten, met de wet die elke lidstaat zijn NIS2-wet noemt en de lidstaten waarvoor het register leeg is.
- GidsDe lidstaten, elk een paginaWat in elk van de 27 lidstaten geldt, uit de registers: de NIS2-wet, het CSIRT, de CRA-coördinator en -toezichthouder, de AVG-autoriteit, de accreditatie-instantie, met beide toepassingsgebiedhulpmiddelen vooraf ingevuld voor de lidstaat.
- GidsEen gratis leveranciersprofielVoor een leverancier van een NIS2-bedrijf: de vragen van de klant over de tien maatregelen één keer beantwoorden, en één link delen.
- GidsNIS2 voor kleine bedrijven: valt u eronder?Meestal niet door de omvang. Enkele diensten vallen er bij elke omvang onder, en klanten die eronder vallen vragen hoe dan ook naar uw beveiliging.
Elk gratis sjabloon op één pagina
Twee instrumenten en een register
De richtlijn, van toepassing vanaf
18 oktober 2024
Een richtlijn bindt via nationaal recht. 25 van de 27 lidstaten hadden op 23 oktober 2026 ten minste één omzettingsmaatregel aan de Commissie meegedeeld; het register noemt de wet die elk zijn NIS2-wet noemt.
De uitvoeringsverordening
13 secties, rechtstreekse werking
Uitvoeringsverordening (EU) 2024/2690 legt de technische maatregelen en de incidentdrempels voor cloud- en andere digitale aanbieders vast, dezelfde tekst in elke lidstaat, zonder omzetting. Ze is geschreven vanuit ISO 27001.
Het register, uiterlijk op
17 januari 2025
Aanbieders van cloudcomputing-, datacentrum-, beheerde, marktplaats-, zoekmachine- en socialenetwerkdiensten moesten op grond van artikel 27 hun naam, adressen, bediende lidstaten en IP-bereiken bij hun bevoegde autoriteit indienen voor het register van Enisa.
De registratie in Oostenrijk, uit de pagina's van de autoriteit(in het Engels)
NIS2-registratie, in een week geregeld: € 490
Toepassingsgebied bepaald en elk veld voorbereid, in 5 werkdagen.
16 artikelen, uit de primaire bronnen
Welke wet, en wat die aan ISO 27001 toevoegt
- ArtikelNIS2 voor een SaaS-bedrijf: u bent een aanbieder van cloudcomputingdiensten, en dit volgt eruitOverweging 33 van de richtlijn noemt software als dienst als een clouddienstmodel, zodat een SaaS-bedrijf van middelgrote omvang of groter als aanbieder van cloudcomputingdiensten een entiteit van NIS2 is: belangrijk onder de plafonds voor middelgrote ondernemingen, essentieel erboven.
- ArtikelNIS2 voor managed service providers en MSSP's: een entiteit van bijlage I per definitie, en de leverancier waar de due diligence van elke klant terechtkomtArtikel 6(39) maakt iedereen die ICT voor klanten installeert, beheert, exploiteert of onderhoudt, ter plaatse of op afstand, tot aanbieder van beheerde diensten, en artikel 6(40) maakt wie helpt bij het beheer van cyberbeveiligingsrisico's tot MSSP.
- ArtikelNIS2 voor onlinemarktplaatsen, zoekmachines en sociale netwerken: de digitale aanbieders van bijlage II, en waarom ze nooit essentieel zijn door omvangDrie definities, geleend uit drie andere handelingen, bepalen of een platform een digitale aanbieder onder NIS2 is: een marktplaats waar consumenten overeenkomsten op afstand sluiten, een zoekmachine die in beginsel alle websites doorzoekt, een platform waar eindgebruikers zich verbinden en delen.
- ArtikelEssentieel of belangrijk onder NIS2: de omvangregel, de omvangonafhankelijke regels en de zeven manieren om essentieel te zijnOf NIS2 een bedrijf raakt, is artikel 2; of het essentieel of belangrijk is, is artikel 3; en het verschil is toezicht vooraf, een hoger boeteplafond en een strengere lezing van al het andere.
- ArtikelNIS2-registratie: de twee lijsten waarop u kunt staan, wat u indient, wanneer en bij wie (artikel 3(4) en artikel 27)NIS2 kent twee registraties, niet één. Elke essentiële en belangrijke entiteit dient vier gegevens in bij haar bevoegde autoriteit, zodat de lidstaat uiterlijk op 17 april 2025 zijn lijst kan opstellen (artikel 3(3) en (4)), met wijzigingen gemeld binnen twee weken.
- ArtikelDe tien maatregelen van artikel 21(2) NIS2 als checklist: elk punt geciteerd, de secties van de verordening erachter, en de ISO 27001-maatregelen die ze al voortbrengenArtikel 21(2) somt tien maatregelen op die elke essentiële en belangrijke entiteit moet nemen, van beleid inzake risicoanalyse tot multifactorauthenticatie.
- ArtikelNIS2 artikel 20 voor het bestuur: wat het bestuursorgaan moet goedkeuren, toezien en leren, de twaalf plaatsen waar de uitvoeringsverordening het noemt, en wat aansprakelijkheid betekentArtikel 20 van NIS2 verplicht het bestuursorgaan van een essentiële of belangrijke entiteit de maatregelen voor het beheer van cyberbeveiligingsrisico's goed te keuren, toe te zien op de uitvoering ervan, aansprakelijk gesteld te kunnen worden voor inbreuken van de entiteit op artikel 21, en een opleiding te volgen.
- ArtikelISO 27001 vs NIS2: wat het certificaat dekt en wat nietNIS2 is wet en ISO 27001 is een certificeerbare norm, dus het zijn geen alternatieven.
- ArtikelCRA of NIS2: welke geldt voor een softwarebedrijf, en kan het allebei zijn?De Cyber Resilience Act reguleert producten die in de handel worden gebracht; NIS2 reguleert entiteiten die diensten verlenen.
- ArtikelNIS2-omzetting, lidstaat voor lidstaat: wat het register van de Commissie zelf laat zienGeen tracker van een advocatenkantoor: de nationale maatregelen die de lidstaten aan de Commissie hebben meegedeeld als omzetting van Richtlijn (EU) 2022/2555, gelezen bij het Publicatiebureau op 12 september 2026. 25 van de 27 lidstaten hebben er ten minste één meegedeeld, 303 maatregelen in totaal; Spanje en Ierland geen; Frankrijk 15 teksten, waarvan geen enkele NIS2 noemt.
Melden
- ArtikelNIS2 of CRA: welke incidentklok loopt voor een softwarebedrijf, en wat maakt een incident 'significant'Beide wetten geven u 24 uur, 72 uur en een maand, en beide starten de klok wanneer u 'kennis krijgt'.
- ArtikelDe NIS2-incidentklok voor een softwarebedrijf: de vroegtijdige waarschuwing na 24 uur, de melding na 72 uur, het eindverslag na een maand, wat een incident significant maakt voor een cloudaanbieder, en een pagina die de drie meldingen schrijftArtikel 23, lid 4, van NIS2 laat drie klokken lopen vanaf het moment waarop een essentiële of belangrijke entiteit kennis neemt van een significant incident: een vroegtijdige waarschuwing binnen 24 uur, een incidentmelding binnen 72, en een eindverslag binnen een maand na die melding, met een tussentijds verslag op verzoek en een voortgangsverslag waar het incident nog gaande is.
- ArtikelAan welk CSIRT meldt u onder de CRA? Aan de coördinator van uw hoofdvestiging, alle 27 met naamArtikel 14 stuurt de melding naar het CSIRT dat de lidstaat van uw hoofdvestiging als coördinator heeft aangewezen; ENISA publiceerde alle 27 op 10 september 2026.
Wat kopers vragen
- ArtikelWelke EU-landen ISO 27001 noemen in openbare aanbestedingen: 1.548 Duitse berichten, 829 Poolse, en Griekenland heeft het hoogste aandeelOver 365 dagen komt ISO 27001 voor in 3.415 TED-berichten.
- ArtikelISO 27001 vs SOC 2 in Europa: waar kopers werkelijk om vragenVerkoopt u in Europa, haal dan ISO 27001: EU-aanbestedingen noemden het in een jaar 3.405 keer, tegenover 104 voor SOC 2, en het lag voor in elk van de twaalf maanden achter dat getal.
- ArtikelDORA voor een softwareleverancier: de contractclausules van artikel 30 die uw bankklant stuurt, het informatieregister waarin u komt te staan, en wat ISO 27001 al beantwoordtSinds 17 januari 2025 beheert elke bank, verzekeraar, beleggingsonderneming en betalingsinstelling in de Unie haar softwareleveranciers onder Verordening (EU) 2022/2554, DORA.
Wat het van u vraagt
34 eisen in 5 groepen
Verplichtingen
5- 20(1) Het bestuur keurt de beveiligingsmaatregelen goed en bewaakt ze
- 20(2) Train het bestuur en bied het personeel hetzelfde aan
- 21(1) Neem evenredige maatregelen tegen de risico's voor uw systemen
en nog 2
Plichten
10- 21(4) Corrigeer elke niet-conforme maatregel zonder uitstel
- 23(1) Meld significante incidenten aan het CSIRT of de autoriteit
- 23(2) Informeer afnemers over significante cyberdreigingen
en nog 7
Beheersmaatregelen
10- 21(2)(a) Heb een risicoanalyse en een beveiligingsbeleid
- 21(2)(b) Handel incidenten af volgens een geschreven procedure
- 21(2)(c) Houd back-ups, een herstelplan en crisisbeheer
en nog 7
Clausules
1- 23(3) Beoordeel significantie naar verstoring, verlies of schade
Termijnen
8- 23(4)(a) Stuur de vroegtijdige waarschuwing binnen 24 uur
- 23(4)(b) Stuur de incidentmelding binnen 72 uur
- 23(4)(d) Stuur het eindverslag binnen een maand na de melding
en nog 5
Elf van de dertien secties van artikel 21 zijn een ISO 27001-systeem; de andere twee zijn registraties
StandardOS houdt de ISO 27001-dossiers bij die elf van de dertien secties van de uitvoeringsverordening beantwoorden, het incidentdossier waarvan de klokken van artikel 23 lopen, en het bewijs waar een toezichthouder of auditor om vraagt, in één werkruimte, in zes talen.
Data worden gelezen uit artikel 27 en artikel 41 van de richtlijn en nooit op deze pagina getypt. Dit is geen juridisch advies, en de richtlijn is de tekst om te lezen: Richtlijn (EU) 2022/2555.
Zie ook:NIS2-software voor adviseursArtikelenGratis toolsOpen datasets