Uitvoeringsverordening (EU) 2024/2690 · Richtlijn (EU) 2022/2555, artikel 21, lid 2
NIS2-maatregelen: wat artikel 21, lid 2, vraagt
- Voor wie het geldt
- Elf soorten digitale aanbieders, van DNS en cloud tot onlinemarktplaatsen en vertrouwensdiensten.
- De data
- In werking sinds 7 november 2024, zonder overgangstermijn.
- Het ene wat u moet doen
- Controleer eerst uw soort entiteit. Hoort die bij de elf, dan geldt de bijlage volledig en noemt elke afdeling de regel van artikel 21, lid 2, die zij beantwoordt.
NIS2 noemt tien kopjes en zegt dat de maatregelen passend en proportioneel moeten zijn. Deze verordening zegt welke: 161 genummerde vereisten. Zij bereikt elf soorten entiteiten en niemand anders, dus begin daar.
Kies uw soort entiteit en het antwoord verschijnt hier, met de bepalingen waarop het rust.
Bekijk de dertien afdelingenIn één oogopslag
De dertien afdelingen, en het punt van artikel 21, lid 2, dat elk beantwoordt
De koppeling is die van de verordening zelf: elk afdelingskopje noemt het punt van artikel 21, lid 2, dat het uitvoert. Twee noemen er meer dan één, dus een afdeling kan twee of drie van uw NIS2-regels tegelijk beantwoorden.
| Afdeling | Vereisten | Voert uit |
|---|---|---|
| 1Beleid inzake de beveiliging van netwerk- en informatiesystemen | 8 | 21(2)(a) |
| 2Risicobeheerbeleid | 11 | 21(2)(a) |
| 3Incidentenbehandeling | 22 | 21(2)(b) |
| 4Bedrijfscontinuïteit en crisisbeheer | 14 | 21(2)(c) |
| 5Beveiliging van de toeleveringsketen | 8 | 21(2)(d) |
| 6Beveiliging bij het verwerven, ontwikkelen en onderhouden van netwerk- en informatiesystemen | 31 | 21(2)(e) |
| 7Beleid en procedures om de doeltreffendheid van maatregelen voor het beheer van cyberbeveiligingsrisico’s te beoordelen | 3 | 21(2)(f) |
| 8Basispraktijken op het gebied van cyberhygiëne en opleiding op het gebied van cyberbeveiliging | 8 | 21(2)(g) |
| 9Cryptografie | 3 | 21(2)(h) |
| 10Beveiligingsaspecten ten aanzien van personeel | 10 | 21(2)(i) |
| 11Toegangscontrole | 21 | 21(2)(i), 21(2)(j) |
| 12Beheer van activa | 13 | 21(2)(i) |
| 13Milieu- en fysieke beveiliging | 9 | 21(2)(c), 21(2)(e), 21(2)(i) |
Wat dit heeft vervangen
Commission Implementing Regulation (EU) 2018/151, repealed by Article 15. Wie nog met de oudere regels voor aanbieders van digitale diensten werkt, werkt met een ingetrokken handeling.
Elk vereiste hierboven is geciteerd uit het Publicatieblad, in uw taal, via de catalogus die deze pagina leest. Gelezen op 17 oktober 2026. De Nederlandse tekst draagt zijn rectificatie: Corrigendum R(03), OJ L, 2026/90675 of 7 August 2026, to point 9.2(c)(viii) of the Annex, in Dutch. EUR-Lex
Vragen die mensen stellen
- Geldt dit voor elke NIS2-entiteit?
- Nee, en dit wordt het makkelijkst verkeerd begrepen. Artikel 1 noemt 11 soorten en noemt ze de relevante entiteiten. Een ziekenhuis, een bank of een energiebedrijf is essentieel of belangrijk onder NIS2 en valt geheel buiten deze bijlage. Artikel 21, lid 2, bindt ze nog op eigen voorwaarden; wat deze verordening toevoegt is het detail voor de 11 die zij noemt.
- Hoe verschilt dit van NIS2 zelf?
- NIS2 noemt tien kopjes en zegt dat de maatregelen passend en proportioneel moeten zijn, waarmee niemand iets kan. Deze verordening zegt welke: 161 genummerde vereisten in dertien afdelingen, elk met het punt van artikel 21, lid 2, dat het uitvoert.
- Verandert de grootte van het bedrijf wat wij verschuldigd zijn?
- Niet of, alleen hoe. Artikel 2, lid 1, past de bijlage toe op de relevante entiteiten zonder eigen groottedrempel. Artikel 2, lid 2, vraagt vervolgens bij de uitvoering rekening te houden met uw risicoblootstelling, uw grootte en de waarschijnlijkheid van incidenten. Grootte vormt de maatregel, zij verontschuldigt hem niet.
- Is een klein incident ooit meldingsplichtig?
- Gezamenlijk wel, en dat is de valkuil. Artikel 4 laat incidenten die afzonderlijk niet significant zijn gelden als één significant incident. Drie voorwaarden, alle drie: minstens twee keer binnen zes maanden, dezelfde kennelijke oorzaak, en samen het criterium van financieel verlies van artikel 3, lid 1, punt a).
- Wat is er met de oude regels gebeurd?
- Commission Implementing Regulation (EU) 2018/151, repealed by Article 15. Het was de verordening over de beveiligingseisen en incidentmelding voor aanbieders van digitale diensten onder de eerste NIS-richtlijn, en wie die nog gebruikt, gebruikt een ingetrokken handeling.
Eén account, de 161 vereisten er al in
Beantwoord de vraag over uw soort entiteit eenmaal en de 161 vereisten verschijnen met de regel van artikel 21, lid 2, die elk beantwoordt, zodat het werk dat u al voor NIS2 deed hier meetelt.
Wat het van u vraagt
161 eisen in 1 groepen
Beheersmaatregelen
161- 1.1.1 Beleid inzake de beveiliging van netwerk- en informatiesystemen
- 1.1.2 Beleid inzake de beveiliging van netwerk- en informatiesystemen
- 1.2.1 Taken, verantwoordelijkheden en bevoegdheden
en nog 158
Zie ook:NIS2Gratis tools