NIS2-omzetting per land: wetten, datums en autoriteiten

De omzetting van NIS2 per land verloopt ongelijk. Op 4 november 2026 zijn nationale wetten tot omzetting van NIS2 van kracht in 24 van de 27 EU-lidstaten; Frankrijk, Ierland en Spanje hebben de hunne nog niet aangenomen. Welke nationale wet van toepassing is, hangt vooral af van waar elke entiteit gevestigd is, en die wet geldt vanaf haar eigen inwerkingtreding, niet vanaf de EU-datum van 18 oktober 2024.

De omzetting van NIS2 verwijst naar de nationale handelingen waarmee elke lidstaat Richtlijn (EU) 2022/2555 in bindend recht omzet: toepassingsgebied, essentiële en belangrijke entiteiten, registratie, risicobeheersmaatregelen, incidentmelding, toezicht en boetes. Omdat NIS2 een richtlijn is, zijn organisaties gebonden door hun nationale wet, niet door de tekst van de richtlijn zelf.

Deze tracker vermeldt per lidstaat de nationale wet, de status ervan, de datum van inwerkingtreding, de registratiestap voor entiteiten en de bevoegde autoriteit. Hij verandert vaak: elke rij is gecontroleerd aan de hand van officiële bronnen (publicatiebladen, nationale cyberbeveiligingsagentschappen, de Europese Commissie). Waar een punt niet kon worden bevestigd, staat in de tabel "nog te bevestigen".

Wat eiste de EU, en wanneer?

• 27 december 2022: NIS2 bekendgemaakt in het Publicatieblad (L 333); de richtlijn trad in werking op 16 januari 2023.
• 17 oktober 2024: uiterste datum waarop de lidstaten hun nationale maatregelen moesten vaststellen en bekendmaken (artikel 41). Dezelfde dag stelde de Commissie Uitvoeringsverordening (EU) 2024/2690 vast, die de technische maatregelen en de drempels voor een "significant incident" voor bepaalde digitale aanbieders nader uitwerkt.
• 18 oktober 2024: de nationale maatregelen worden van toepassing; de eerste NIS-richtlijn (EU) 2016/1148 wordt ingetrokken (artikel 44).
• 17 januari 2025: die digitale aanbieders (DNS, cloud, datacenters, beheerde diensten, onlineplatforms…) bezorgen hun gegevens aan hun autoriteit voor het register van ENISA (artikel 27).
• 17 april 2025: de lidstaten stellen hun lijst van essentiële en belangrijke entiteiten op (artikel 3(3)), die ten minste om de twee jaar moet worden herzien.

Welke lidstaten heeft de Commissie vervolgd wegens te late omzetting?

De meeste lidstaten haalden de termijn niet. De Commissie leidde in drie stappen inbreukprocedures in:

België, Kroatië, Italië en Litouwen kregen geen brief: zij hadden hun omzettingsmaatregelen op dat moment al meegedeeld. Nederland liet zijn wet op 15 augustus 2026 in werking treden, ongeveer vijf weken na de verwijzing.

Waar staat elke lidstaat op 4 november 2026?

Termijnen die al verstreken zijn, blijven gelden voor entiteiten die later onder het toepassingsgebied komen: zij registreren zich binnen de nationale termijn (bijvoorbeeld drie maanden in Duitsland, 60 dagen in Tsjechië, 30 dagen in Hongarije, Roemenië en Slovenië).

Volgende data om in het oog te houden

• 29 november 2026: parlementsverkiezingen in Spanje; de nieuwe Cortes komen samen op 23 december 2026 (Koninklijk Besluit 806/2026).
• 1 januari 2027: uiterste datum voor de eerste registratie in Oostenrijk.
• 1 januari tot 28 februari 2027: jaarlijkse registratieperiode in Italië.
• 8 maart 2027 (indicatief): stemming in de plenaire vergadering van het Europees Parlement over de voorgestelde wijziging van NIS2.
• 3 april 2027: in Polen moeten essentiële en belangrijke entiteiten aan de nieuwe verplichtingen voldoen.

België, Frankrijk, Nederland, Duitsland en Luxemburg: wat u moet weten

• België: de wet van 26 april 2024 (bekendgemaakt in het Belgisch Staatsblad op 17 mei 2024) en het koninklijk besluit van 9 juni 2024 zijn van toepassing sinds 18 oktober 2024. Entiteiten moesten zich uiterlijk op 18 maart 2025 registreren op Safeonweb@work. Essentiële entiteiten moeten een periodieke conformiteitsbeoordeling ondergaan op basis van CyberFundamentals (CyFun) of ISO/IEC 27001; het CCB legde 18 april 2026 vast als hun eerste mijlpaal. Autoriteit: Centrum voor Cybersecurity België (CCB), CSIRT CERT.be.
• Frankrijk: nog geen NIS2-wet. Het wetsontwerp betreffende de weerbaarheid van kritieke infrastructuur en de versterking van de cyberbeveiliging (dat ook CER en een deel van DORA omzet) werd op 12 maart 2025 aangenomen door de Senaat en op 10 september 2025 door een bijzondere commissie van de Assemblée nationale, en daarna van de agenda gehaald van de vergaderingen van 7 en 9 oktober 2026; op 4 november 2026 was geen nieuwe datum bevestigd. ANSSI biedt al een vrijwillige voorregistratie aan op MonEspaceNIS2.
• Nederland: de Cyberbeveiligingswet (wet van 8 juli 2026, Stb. 2026, 187) is op 15 augustus 2026 in werking getreden en heeft de Wbni vervangen; de verplichtingen gelden vanaf die datum. Registratie in het entiteitenregister van het NCSC (mijn.ncsc.nl) is vanaf die datum verplicht (Rijksoverheid). Voor de opleiding van bestuurders geldt een termijn van twee jaar. Het toezicht is per sector georganiseerd (RDI, ILT, IGJ, DNB…).
• Duitsland: de wet tot omzetting van de NIS2-richtlijn (bekend als NIS2UmsuCG, wet van 2 december 2025, BGBl. 2025 I nr. 301) werd op 5 december 2025 bekendgemaakt en trad op 6 december 2025 in werking. Ze wijzigt de BSI-wet (BSIG). Registratie bij het BSI (BSI-portaal, toegang via "Mein Unternehmenskonto" met een ELSTER-certificaat) moest binnen drie maanden gebeuren, uiterlijk op 6 maart 2026.
• Luxemburg: de wet van 5 mei 2026 over maatregelen voor een hoog niveau van cyberbeveiliging is van toepassing sinds 10 mei 2026. Entiteiten moesten zich uiterlijk op 10 juli 2026 zelf registreren bij het Institut luxembourgeois de régulation (ILR) (persbericht van de regering). De CSSF is de autoriteit voor bankwezen en infrastructuur voor de financiële markt. CSIRT's: GOVCERT.LU (staat, kritieke entiteiten) en CIRCL (alle andere).

Valt mijn kleine onderneming onder NIS2?

Meestal niet rechtstreeks, tenzij ze middelgroot is of actief is in een sector die ongeacht de omvang onder de richtlijn valt. De size-cap-regel van artikel 2(1) brengt entiteiten van een in bijlage I of II opgenomen type binnen het toepassingsgebied als ze ten minste middelgroot zijn in de zin van Aanbeveling 2003/361/EG:

Uitzonderingen gelden ongeacht de omvang (artikel 2(2) tot (4)): aanbieders van openbare elektronische-communicatienetwerken of -diensten, verleners van vertrouwensdiensten, registers voor topleveldomeinnamen, DNS-dienstverleners en domeinnaamregistratiediensten; entiteiten die een lidstaat aanwijst, bijvoorbeeld omdat ze de enige nationale aanbieder van een essentiële dienst zijn of omdat een verstoring aanzienlijke gevolgen zou hebben voor de openbare veiligheid, de openbare beveiliging of de volksgezondheid; kritieke entiteiten in de zin van de CER-richtlijn (EU) 2022/2557; en overheidsinstanties van de centrale overheid. Lidstaten kunnen ook lokale overheden en onderwijsinstellingen onder de richtlijn brengen (artikel 2(5)): zie ons observatorium over NIS2 en lokale besturen.

Essentieel of belangrijk? Artikel 3 bepaalt de categorie. Beide hebben dezelfde verplichtingen (risicobeheersmaatregelen op grond van artikel 21, incidentmelding op grond van artikel 23, verantwoordingsplicht van het bestuursorgaan op grond van artikel 20). Het verschil zit in het toezicht (proactief voor essentiële entiteiten, achteraf voor belangrijke) en in de maximale boetes, die het nationale recht moet vaststellen op ten minste 10 miljoen euro of 2 % van de wereldwijde jaaromzet (het hoogste bedrag) voor essentiële entiteiten, en 7 miljoen euro of 1,4 % voor belangrijke entiteiten (artikel 34). Onze gids over essentiële en belangrijke entiteiten behandelt de details.

Twee punten die kleine ondernemingen vaak over het hoofd zien:

• Groepsgegevens tellen mee. Volgens de aanbeveling worden het personeelsbestand en de financiële gegevens van verbonden ondernemingen en partnerondernemingen opgeteld, zodat een dochteronderneming met 30 werknemers van een grote groep "groot" kan zijn. Overweging 16 laat de lidstaten toe rekening te houden met de onafhankelijkheid van de entiteit (eigen informatiesystemen en diensten) om onevenredige resultaten te vermijden; nationale wetten gebruiken deze mogelijkheid op verschillende manieren.
• Buiten het toepassingsgebied betekent niet: geen gevolgen. Klanten die onder de richtlijn vallen, moeten de beveiliging van hun toeleveringsketen beheren (artikel 21(2)(d)) en vereisten via contracten en vragenlijsten doorgeven aan hun leveranciers.

Welke wet geldt voor een groep met entiteiten in meerdere landen?

In de regel volgt elke entiteit de wet van de lidstaat waar ze gevestigd is (artikel 26(1)). Een groep met dochterondernemingen in België, Nederland en Duitsland past dus drie nationale wetten toe, registreert elke dochteronderneming op drie verschillende portalen en meldt incidenten aan drie reeksen autoriteiten.

De regel van de hoofdvestiging (artikel 26(1)(b) en (2)) is de uitzondering. Die geldt voor DNS-dienstverleners, registers voor topleveldomeinnamen, domeinnaamregistratiediensten, aanbieders van cloudcomputingdiensten, aanbieders van datacentrumdiensten, aanbieders van netwerken voor de levering van inhoud, aanbieders van beheerde diensten, aanbieders van beheerde beveiligingsdiensten, en aanbieders van onlinemarktplaatsen, onlinezoekmachines en platforms voor socialenetwerkdiensten. Zij vallen alleen onder de lidstaat van hun hoofdvestiging in de EU: waar de besluiten over de maatregelen voor het beheer van cyberbeveiligingsrisico's overwegend worden genomen; zo niet, waar de cyberbeveiligingsactiviteiten worden uitgevoerd; zo niet, de vestiging met het grootste aantal werknemers in de EU. Aanbieders van openbare elektronische communicatie vallen onder elke lidstaat waar zij diensten verlenen, en overheidsinstanties onder de lidstaat die ze heeft opgericht.

In de praktijk, voor een groep:

1. Maak een lijst van elke juridische entiteit, haar land, haar NIS2-sector en haar omvang, berekend met groepsgegevens.
2. Ga na of een van die entiteiten een dienst verleent die onder de regel van de hoofdvestiging valt, en documenteer waar de besluiten over cyberbeveiliging worden genomen.
3. Registreer elke entiteit in elk betrokken land, binnen de termijn van dat land (zie de tabel).
4. Bouw één basisniveau voor de groep (bijvoorbeeld ISO/IEC 27001, CyberFundamentals of, voor digitale aanbieders, Uitvoeringsverordening (EU) 2024/2690) en voeg daar de nationale specifieke punten aan toe: meldportalen, conformiteitsbeoordeling, lokale termijnen.
5. Vergeet niet dat boetes worden berekend op de wereldwijde omzet van de onderneming waartoe de entiteit behoort, wat in een groep de groepsomzet kan betekenen.

Financiële entiteiten die onder DORA vallen, volgen DORA voor ICT-risicobeheer en incidentmelding (artikel 4 van NIS2, lex specialis): zie DORA vs NIS2.

Wat moet u nu doen?

1. Zoek met behulp van de tabel hierboven het land (of de landen) waarvan de wet van toepassing is op elk van uw entiteiten.
2. Controleer toepassingsgebied en categorie met de tool of de richtsnoeren van dat land, en registreer u als u dat nog niet hebt gedaan.
3. Noteer de nationale termijnen die op de registratie volgen (conformiteitsbeoordeling, opleiding van bestuurders, eerste verslagen).
4. Bereid de incidentmelding aan het juiste CSIRT voor, binnen 24 uur, 72 uur en één maand (artikel 23): zie onze gids over NIS2-incidentmelding.
5. Beoordeel uw maatregelen op grond van artikel 21. De gratis NIS2-zelfevaluatie van ResiPlan (7 vragen) geeft een eerste score; de pagina over het NIS2-kader vat de richtlijn samen.

FAQ

Is NIS2 van toepassing in een land dat de richtlijn nog niet heeft omgezet?

Niet rechtstreeks op ondernemingen: een richtlijn verbindt de lidstaten. Zolang de nationale wet niet van kracht is, blijven organisaties onder de nationale regels die de eerste NIS-richtlijn hebben omgezet, voor de exploitanten die op grond daarvan zijn aangewezen. De verplichtingen op grond van NIS2 beginnen met de inwerkingtreding van de nationale wet.

Verandert de verwijzing naar het Hof iets voor ondernemingen in Frankrijk, Ierland of Spanje?

Nee. Een verwijzing naar het Hof van Justitie kan leiden tot financiële sancties voor de staat, niet voor ondernemingen. Ze verhoogt de druk om de nationale wet aan te nemen, die vervolgens de verplichtingen en termijnen vastlegt.

Mijn registratietermijn is verstreken. Wat nu?

Registreer u nu en bewaar een verslag van uw analyse van het toepassingsgebied. Verschillende autoriteiten, zoals het CCB in België, hebben aangekondigd dat ze op zoek gaan naar entiteiten die zich niet hebben geregistreerd en handhavingsmaatregelen kunnen nemen.

Zullen de NIS2-regels opnieuw veranderen?

Mogelijk. In januari 2026 stelde de Commissie een gerichte wijziging van NIS2 voor (COM(2026) 13, procedure 2026/0012(COD)) om de richtlijn te vereenvoudigen en af te stemmen op de herziene cyberbeveiligingsverordening. Op 4 november 2026 zit het voorstel nog in de commissiefase van het Europees Parlement; de huidige nationale wetten blijven van toepassing tot het is aangenomen en omgezet.

Bronnen

• Richtlijn (EU) 2022/2555 (NIS2), EUR-Lex: artikelen 2, 3, 20, 21, 23, 26, 27, 34, 41 en 44, overweging 16
• Uitvoeringsverordening (EU) 2024/2690 van de Commissie, EUR-Lex
• Aanbeveling 2003/361/EG van de Commissie (definitie van kmo's), EUR-Lex
• Richtlijn (EU) 2022/2557 (CER), EUR-Lex
• Europese Commissie, omzetting van NIS2 per lidstaat
• Europese Commissie: aanmaningsbrieven, 28 november 2024; met redenen omklede adviezen, 7 mei 2025; verwijzing naar het Hof van Justitie, 8 juli 2026
• ENISA, technische uitvoeringsrichtsnoeren voor NIS2 (juni 2025)
• Europees Parlement, Wetgevend Observatorium, 2026/0012(COD)
• Nationale bronnen, naast de publicatiebladen waarnaar in de tabel wordt verwezen: pagina van de Commissie over NIS2 in België; Sénat, wetgevingsdossier van het Franse wetsontwerp; Rijksoverheid, 7 juli 2026; Regering van Luxemburg, 6 juli 2026; Oostenrijks ondernemingsserviceportaal; Pools ministerie van Digitale Zaken; Zweedse NCSC