{"id":18310,"date":"2026-08-26T10:08:38","date_gmt":"2026-08-26T09:08:38","guid":{"rendered":"https:\/\/www.cranium.eu\/nis2-legal-considerations\/"},"modified":"2026-08-26T10:29:34","modified_gmt":"2026-08-26T09:29:34","slug":"nis2-juridische-aandachtspunten","status":"publish","type":"post","link":"https:\/\/www.cranium.eu\/nl\/nis2-juridische-aandachtspunten\/","title":{"rendered":"NIS2 voorbij IT: drie juridische aandachtspunten die organisaties niet uit het oog mogen verliezen"},"content":{"rendered":"\t\t<div data-elementor-type=\"wp-post\" data-elementor-id=\"18310\" class=\"elementor elementor-18310 elementor-18290\" data-elementor-settings=\"{&quot;element_pack_global_tooltip_width&quot;:{&quot;unit&quot;:&quot;px&quot;,&quot;size&quot;:&quot;&quot;,&quot;sizes&quot;:[]},&quot;element_pack_global_tooltip_width_tablet&quot;:{&quot;unit&quot;:&quot;px&quot;,&quot;size&quot;:&quot;&quot;,&quot;sizes&quot;:[]},&quot;element_pack_global_tooltip_width_mobile&quot;:{&quot;unit&quot;:&quot;px&quot;,&quot;size&quot;:&quot;&quot;,&quot;sizes&quot;:[]},&quot;element_pack_global_tooltip_padding&quot;:{&quot;unit&quot;:&quot;px&quot;,&quot;top&quot;:&quot;&quot;,&quot;right&quot;:&quot;&quot;,&quot;bottom&quot;:&quot;&quot;,&quot;left&quot;:&quot;&quot;,&quot;isLinked&quot;:true},&quot;element_pack_global_tooltip_padding_tablet&quot;:{&quot;unit&quot;:&quot;px&quot;,&quot;top&quot;:&quot;&quot;,&quot;right&quot;:&quot;&quot;,&quot;bottom&quot;:&quot;&quot;,&quot;left&quot;:&quot;&quot;,&quot;isLinked&quot;:true},&quot;element_pack_global_tooltip_padding_mobile&quot;:{&quot;unit&quot;:&quot;px&quot;,&quot;top&quot;:&quot;&quot;,&quot;right&quot;:&quot;&quot;,&quot;bottom&quot;:&quot;&quot;,&quot;left&quot;:&quot;&quot;,&quot;isLinked&quot;:true},&quot;element_pack_global_tooltip_border_radius&quot;:{&quot;unit&quot;:&quot;px&quot;,&quot;top&quot;:&quot;&quot;,&quot;right&quot;:&quot;&quot;,&quot;bottom&quot;:&quot;&quot;,&quot;left&quot;:&quot;&quot;,&quot;isLinked&quot;:true},&quot;element_pack_global_tooltip_border_radius_tablet&quot;:{&quot;unit&quot;:&quot;px&quot;,&quot;top&quot;:&quot;&quot;,&quot;right&quot;:&quot;&quot;,&quot;bottom&quot;:&quot;&quot;,&quot;left&quot;:&quot;&quot;,&quot;isLinked&quot;:true},&quot;element_pack_global_tooltip_border_radius_mobile&quot;:{&quot;unit&quot;:&quot;px&quot;,&quot;top&quot;:&quot;&quot;,&quot;right&quot;:&quot;&quot;,&quot;bottom&quot;:&quot;&quot;,&quot;left&quot;:&quot;&quot;,&quot;isLinked&quot;:true}}\" data-elementor-post-type=\"post\">\n\t\t\t\t<div class=\"elementor-element elementor-element-b0a55d2 e-con e-atomic-element e-flexbox-base e-default-div e-01748dc \" data-id=\"b0a55d2\" data-element_type=\"e-flexbox\" data-e-type=\"e-flexbox\" data-interaction-id=\"b0a55d2\" data-e-type=\"e-flexbox\" data-id=\"b0a55d2\">\n    \t\t<div class=\"elementor-element elementor-element-e951d2b elementor-widget elementor-widget-html\" data-id=\"e951d2b\" data-element_type=\"widget\" data-e-type=\"widget\" data-widget_type=\"html.default\">\n\t\t\t\t<div class=\"elementor-widget-container\">\n\t\t\t\t\t<div style=\"position:relative;padding-top:56.25%;\"><iframe data-src=\"https:\/\/player.mediadelivery.net\/embed\/585288\/2927a175-c24f-4b06-ab29-cddf2b650873?autoplay=true&loop=false&muted=true&preload=true&responsive=true\" style=\"border:0;position:absolute;top:0;height:100%;width:100%;\" allow=\"accelerometer;gyroscope;autoplay;encrypted-media;picture-in-picture;fullscreen;\" allowfullscreen=\"true\" src=\"data:image\/svg+xml;base64,PHN2ZyB3aWR0aD0iMSIgaGVpZ2h0PSIxIiB4bWxucz0iaHR0cDovL3d3dy53My5vcmcvMjAwMC9zdmciPjwvc3ZnPg==\" class=\"lazyload\" data-load-mode=\"0\"><\/iframe><\/div>\t\t\t\t<\/div>\n\t\t\t\t<\/div>\n\t\t\n<\/div>\n<div class=\"elementor-element elementor-element-3a233f6 e-con e-atomic-element e-flexbox-base e-default-div e-cdf1f16 \" data-id=\"3a233f6\" data-element_type=\"e-flexbox\" data-e-type=\"e-flexbox\" data-interaction-id=\"3a233f6\" data-e-type=\"e-flexbox\" data-id=\"3a233f6\">\n    \t\t<div class=\"elementor-element elementor-element-e810016 elementor-widget elementor-widget-text-editor\" data-id=\"e810016\" data-element_type=\"widget\" data-e-type=\"widget\" data-widget_type=\"text-editor.default\">\n\t\t\t\t<div class=\"elementor-widget-container\">\n\t\t\t\t\t\t\t\t\t<h2><strong>Key takeaways<\/strong><\/h2><ul style=\"font-weight: 400;\"><li><strong>De kwalificatie onder NIS2 vereist meer dan alleen een toetsing van de sector.<\/strong>\u00a0Ook de omvang van de organisatie moet worden beoordeeld, waarbij in bepaalde gevallen rekening moet worden gehouden met de Europese regels inzake verbonden en partnerondernemingen.<\/li><li><strong>Het onderscheid tussen essenti\u00eble en belangrijke entiteiten speelt vooral op het niveau van toezicht en handhaving.<\/strong>\u00a0De inhoudelijke cybersecurityverplichtingen zijn grotendeels vergelijkbaar voor beide, maar het toezichtregime en de mogelijke blootstelling aan sancties verschillen.<\/li><li><strong>De toepasselijke nationale NIS2-wet moet zorgvuldig worden bepaald.<\/strong>\u00a0Voor bepaalde digitale dienstverleners moet het toepasselijke recht en de bevoegde lidstaat worden bepaald op basis van de hoofdvestiging, en niet louter op basis van het land waarin diensten worden aangeboden.<\/li><li><strong>NIS2 strekt zich ook uit tot de toeleveringsketen.<\/strong>\u00a0Organisaties doen er goed aan hun bestaande leverancierscontracten te herbekijken, contracttemplates aan te passen en duidelijke cybersecurityrichtlijnen voor contractonderhandelingen te ontwikkelen.<\/li><\/ul>\t\t\t\t\t\t\t\t<\/div>\n\t\t\t\t<\/div>\n\t\t\n<\/div>\n<div class=\"elementor-element elementor-element-e5c05ea e-con e-atomic-element e-flexbox-base e-default-div e-5491a01 \" data-id=\"e5c05ea\" data-element_type=\"e-flexbox\" data-e-type=\"e-flexbox\" data-interaction-id=\"e5c05ea\" data-e-type=\"e-flexbox\" data-id=\"e5c05ea\">\n    \t\t<div class=\"elementor-element elementor-element-28ca03a elementor-widget elementor-widget-text-editor\" data-id=\"28ca03a\" data-element_type=\"widget\" data-e-type=\"widget\" data-widget_type=\"text-editor.default\">\n\t\t\t\t<div class=\"elementor-widget-container\">\n\t\t\t\t\t\t\t\t\t<h2><strong>NIS2 is meer dan een IT-project<\/strong><\/h2><div><p>Wanneer organisaties zich beginnen voor te bereiden op de hernieuwde Network and Information Security Directive, beter bekend als<span class=\"apple-converted-space\">\u00a0<\/span><strong><i>NIS2<\/i><\/strong>, verschuift de aandacht vaak meteen naar IT-systemen, cybersecuritymaatregelen en de behandeling van incidenten.<\/p><\/div><div><p>Hoewel deze elementen uiteraard centraal staan in een NIS2-complianceprogramma, is er ook een belangrijke<span class=\"apple-converted-space\">\u00a0<\/span><strong>juridische en governancecomponent<\/strong>.<\/p><\/div><div><p>Vooraleer technische maatregelen te implementeren, moeten organisaties een aantal fundamentele vragen beantwoorden: is NIS2 \u00fcberhaupt op ons van toepassing? Zo ja, welke nationale wetgeving is van toepassing? En welke gevolgen heeft NIS2 voor onze relaties met leveranciers?<\/p><\/div><div><p>Drie juridische aandachtspunten verdienen bijzondere aandacht.<\/p><\/div><h3><span style=\"color: #e23e45;\">1. Bepaal of uw organisatie binnen het toepassingsgebied valt<\/span><\/h3><p style=\"font-weight: 400;\">Een eerste stap is bepalen of de organisatie onder het toepassingsgebied van NIS2 valt. Daarbij zijn twee elementen bijzonder belangrijk.<\/p><ul><li>Ten eerste moet worden gekeken naar de<strong>sector<\/strong><strong> waarin de organisatie actief is<\/strong>. NIS2 is van toepassing op een brede waaier aan sectoren die als kritisch of zeer kritisch worden beschouwd, waaronder energie, transport, gezondheidszorg, digitale infrastructuur en bepaalde digitale diensten;<\/li><li>Ten tweede moet de<strong>omvang <\/strong><strong>van de organisatie<\/strong>\u00a0worden beoordeeld. Daarbij wordt in principe rekening gehouden met zowel het aantal werknemers als bepaalde financi\u00eble drempels.<\/li><\/ul><p style=\"font-weight: 400;\">Die omvangstoets is echter niet altijd zo eenvoudig als enkel kijken naar de cijfers van de betrokken juridische entiteit. De Europese regels inzake\u00a0<strong>partnerondernemingen en verbonden ondernemingen<\/strong>\u00a0kunnen vereisen dat ook gegevens van moedermaatschappijen, dochterondernemingen of andere verbonden entiteiten worden meegenomen. Afhankelijk van de aard van de band kunnen die gegevens proportioneel of volledig moeten worden geconsolideerd.<\/p><p style=\"font-weight: 400;\">Een onderneming die op zichzelf beschouwd buiten het toepassingsgebied lijkt te vallen, kan dus desalniettemin toch door NIS2 gevangen worden zodra de bredere groepsstructuur in rekening wordt gebracht.<\/p><p style=\"font-weight: 400;\">Het is daarom aangewezen om deze analyse goed te documenteren. Een duidelijk\u00a0<strong>NIS2<\/strong><strong>&#8211;<\/strong><strong>kwalificatierapport<\/strong>\u00a0kan vastleggen waarom een organisatie al dan niet binnen het toepassingsgebied valt en of zij als een\u00a0<strong>essenti\u00eble<\/strong>\u00a0dan wel\u00a0<strong>belangrijke entiteit<\/strong>\u00a0kwalificeert. Zo ontstaat ook een bruikbaar referentiekader voor toekomstige herbeoordelingen wanneer de onderneming, groepsstructuur of toepasselijke regelgeving wijzigt.<\/p><p style=\"font-weight: 400;\">Het onderscheid tussen essenti\u00eble en belangrijke entiteiten heeft niet zozeer een impact op de inhoudelijke cybersecuritymaatregelen die moeten worden genomen. Het heeft vooral gevolgen voor het\u00a0<strong>toezicht- en handhavingsregime<\/strong>, waardoor een correcte kwalificatie ook vanuit juridisch risicoperspectief relevant is.<\/p><h3><span style=\"color: #e23e45;\">2. Bepaal welke nationale NIS2-wetgeving van toepassing is<\/span><\/h3><div><p>NIS2 is een Europese richtlijn. Dat betekent dat de verplichtingen ervan worden omgezet in nationale wetgeving door de verschillende EU-lidstaten.<\/p><\/div><div><p>Het mag evenwel niet automatisch worden aangenomen dat, omdat een organisatie in Belgi\u00eb gevestigd of actief is, ook steeds de<span class=\"apple-converted-space\">\u00a0<\/span><strong>Belgische NIS2-wetgeving<\/strong><span class=\"apple-converted-space\">\u00a0<\/span>van toepassing zal zijn op al haar activiteiten.<\/p><\/div><div><p>Deze vraag is met name relevant voor organisaties die grensoverschrijdend actief zijn.Voor bepaalde dienstverleners, waaronder<span class=\"apple-converted-space\">\u00a0<\/span><strong>cloudcomputingdienstverleners<\/strong> <strong>en managed service providers<\/strong>, voorziet NIS2 in een vorm van<span class=\"apple-converted-space\">\u00a0<\/span><strong>one-stop-shopmechanisme<\/strong>. In dergelijke gevallen kan de toepasselijke wetgeving en bevoegde lidstaat worden bepaald aan de hand van de lidstaat waar de hoofdvestiging van de dienstverlener zich bevindt. In andere gevallen kan het zijn dat een organisatie die internationaal actief is aan een uiteenlopende waaier van nationale implementatiewetten van de NIS2 Richtlijn moet voldoen.<\/p><\/div><div><p>Voor internationale groepen en digitale dienstverleners moet de vraag naar het toepasselijke nationale regime of nationale regimes daarom deel uitmaken van de initi\u00eble juridische NIS2-analyse.<\/p><\/div><div><p>Een correcte beoordeling is belangrijk, omdat onder meer de bevoegde toezichthoudende autoriteit, eventuele registratieverplichtingen, het handhavingsproces, de praktische complianceverwachtingen en de deadlines hiervoor kunnen afhangen van de toepasselijke wetgeving.<\/p><\/div><h3><span style=\"color: #e23e45;\">3. Verlies de verantwoordelijkheid in de toeleveringsketen niet uit het oog<\/span><\/h3><div><p>Een derde belangrijk juridisch aandachtspunt betreft de<span class=\"apple-converted-space\">\u00a0<\/span><strong>leveranciers en dienstverleners<\/strong><span class=\"apple-converted-space\">\u00a0<\/span>van de organisatie.<\/p><\/div><div><p>NIS2 vereist immers uitdrukkelijk dat organisaties rekening houden met cybersecurityrisico\u2019s die voortvloeien uit hun toeleveringsketen en hun relaties met rechtstreekse leveranciers en dienstverleners.<\/p><\/div><div><p>Cybersecurity compliance stopt dus niet aan de grenzen van de eigen organisatie.<\/p><\/div><div><p>Vanuit juridisch perspectief betekent dit dat moet worden nagegaan of bestaande contractuele afspraken voldoende bescherming bieden. Organisaties doen er bijvoorbeeld goed aan oudere leverancierscontracten te herbekijken en na te gaan of daarin passende cybersecurityverplichtingen, meldingsverplichtingen bij incidenten, auditrechten en samenwerkingsmechanismen zijn opgenomen.<\/p><\/div><div><p>Dezelfde oefening moet ook voor toekomstige contracten worden gemaakt.<\/p><\/div><div><p>Standaard aankoopvoorwaarden, IT-contracten en leveranciersmodellen moeten worden nagekeken en waar nodig aangepast om ze<span class=\"apple-converted-space\">\u00a0<\/span><strong>NIS2-proof<\/strong><span class=\"apple-converted-space\">\u00a0<\/span>te maken.<\/p><\/div><div><p>Voor organisaties die regelmatig leverancierscontracten onderhandelen, kan het daarnaast nuttig zijn om een<span class=\"apple-converted-space\">\u00a0<\/span><strong>contracting playbook<\/strong><span class=\"apple-converted-space\">\u00a0<\/span>op te stellen of een bestaand playbook te actualiseren. Daarin kunnen onder meer de gewenste cybersecurityclausules, minimale contractuele vereisten, aanvaardbare fallback-posities en situaties waarin bijkomende juridische of securityreview nodig is, worden vastgelegd.<\/p><\/div>\t\t\t\t\t\t\t\t<\/div>\n\t\t\t\t<\/div>\n\t\t\n<\/div>\n<div class=\"elementor-element elementor-element-386401e e-con e-atomic-element e-flexbox-base e-default-div e-a395478 \" data-id=\"386401e\" data-element_type=\"e-flexbox\" data-e-type=\"e-flexbox\" data-interaction-id=\"386401e\" data-e-type=\"e-flexbox\" data-id=\"386401e\">\n    \t\t<div class=\"elementor-element elementor-element-0ff9fa6 elementor-widget elementor-widget-text-editor\" data-id=\"0ff9fa6\" data-element_type=\"widget\" data-e-type=\"widget\" data-widget_type=\"text-editor.default\">\n\t\t\t\t<div class=\"elementor-widget-container\">\n\t\t\t\t\t\t\t\t\t<h2><strong>Van NIS2 naar een juridisch onderbouwd compliancekader<\/strong><\/h2><p style=\"font-weight: 400;\">Een succesvolle implementatie van NIS2 vereist aldus meer dan alleen technische maatregelen. Organisaties moeten ervoor zorgen dat hun cybersecurityprogramma wordt ondersteund door een duidelijke juridische analyse die verzekert dat de juiste zaken op de juiste momenten worden geimplementeerd.<\/p><p style=\"font-weight: 400;\">Daarbij staan drie vragen centraal:<\/p><p style=\"font-weight: 400;\"><strong><em>Hoe is NIS2 op onze organisatie van toepassing? Welke nationale NIS2-regelgeving geldt voor ons? En zijn onze leverancierscontracten afgestemd op onze cybersecurityverantwoordelijkheden?<\/em><\/strong><\/p><p><span style=\"font-weight: 400;\">Door deze vragen vroeg in het proces te beantwoorden, krijgen organisaties een duidelijker beeld van hun regelgevend risico en kan NIS2 worden vertaald van een louter technische <\/span><\/p>\t\t\t\t\t\t\t\t<\/div>\n\t\t\t\t<\/div>\n\t\t\n<\/div>\n\t\t<\/div>\n\t\t","protected":false},"excerpt":{"rendered":"<p>Key takeaways De kwalificatie onder NIS2 vereist meer dan alleen een toetsing van de sector.\u00a0Ook de omvang van de organisatie moet worden beoordeeld, waarbij in bepaalde gevallen rekening moet worden gehouden met de Europese regels inzake verbonden en partnerondernemingen. Het onderscheid tussen essenti\u00eble en belangrijke entiteiten speelt vooral op het niveau van toezicht en handhaving.\u00a0De [&hellip;]<\/p>\n","protected":false},"author":2,"featured_media":18293,"comment_status":"open","ping_status":"closed","sticky":false,"template":"","format":"standard","meta":{"_acf_changed":false,"content-type":"","footnotes":""},"categories":[49,49,80],"tags":[59,161,120],"post_folder":[],"class_list":["post-18310","post","type-post","status-publish","format-standard","has-post-thumbnail","hentry","category-blogbericht","category-video","tag-digitaal-recht","tag-digital-law","tag-nis2-nl"],"acf":[],"_links":{"self":[{"href":"https:\/\/www.cranium.eu\/nl\/wp-json\/wp\/v2\/posts\/18310","targetHints":{"allow":["GET"]}}],"collection":[{"href":"https:\/\/www.cranium.eu\/nl\/wp-json\/wp\/v2\/posts"}],"about":[{"href":"https:\/\/www.cranium.eu\/nl\/wp-json\/wp\/v2\/types\/post"}],"author":[{"embeddable":true,"href":"https:\/\/www.cranium.eu\/nl\/wp-json\/wp\/v2\/users\/2"}],"replies":[{"embeddable":true,"href":"https:\/\/www.cranium.eu\/nl\/wp-json\/wp\/v2\/comments?post=18310"}],"version-history":[{"count":5,"href":"https:\/\/www.cranium.eu\/nl\/wp-json\/wp\/v2\/posts\/18310\/revisions"}],"predecessor-version":[{"id":18316,"href":"https:\/\/www.cranium.eu\/nl\/wp-json\/wp\/v2\/posts\/18310\/revisions\/18316"}],"wp:featuredmedia":[{"embeddable":true,"href":"https:\/\/www.cranium.eu\/nl\/wp-json\/wp\/v2\/media\/18293"}],"wp:attachment":[{"href":"https:\/\/www.cranium.eu\/nl\/wp-json\/wp\/v2\/media?parent=18310"}],"wp:term":[{"taxonomy":"category","embeddable":true,"href":"https:\/\/www.cranium.eu\/nl\/wp-json\/wp\/v2\/categories?post=18310"},{"taxonomy":"post_tag","embeddable":true,"href":"https:\/\/www.cranium.eu\/nl\/wp-json\/wp\/v2\/tags?post=18310"},{"taxonomy":"post_folder","embeddable":true,"href":"https:\/\/www.cranium.eu\/nl\/wp-json\/wp\/v2\/post_folder?post=18310"}],"curies":[{"name":"wp","href":"https:\/\/api.w.org\/{rel}","templated":true}]}}