NIS2-compliancestatistieken 2026: 50+ feiten over reikwijdte, boetes en gereedheid

De NIS2-richtlijn is de meest ingrijpende herziening van cybersecurityregelgeving in de geschiedenis van de Europese Unie. Ze vervangt de oorspronkelijke NIS-richtlijn uit 2016 en breidt de reikwijdte uit van enkele honderden aanbieders van essentiële diensten per lidstaat tot naar schatting 160.000 entiteiten in de gehele EU.

Deze pagina bundelt geverifieerde statistieken over de reikwijdte, omzettingsstatus, sanctiekader, nalevingsgereedheid, kosten en het bredere cybersecuritylandschap dat NIS2 beoogt aan te pakken. Elk cijfer is afkomstig van officiële EU-agentschappen, toezichthouders en geverifieerde brancherapporten.

Reikwijdte en omvang van NIS2

NIS2 heeft het aantal organisaties dat onder EU-cybersecurityvereisten valt drastisch uitgebreid. De oorspronkelijke NIS-richtlijn had betrekking op een beperkte groep aanbieders van essentiële diensten. NIS2 is van toepassing op elke middelgrote of grote onderneming die actief is in 18 aangewezen sectoren.

11 sectoren van hoge kritikaliteit (Bijlage I - Essentiële entiteiten)

1. Energie (elektriciteit, olie, gas, waterstof, stadsverwarming)
2. Vervoer (lucht, spoor, water, weg)
3. Bankwezen
4. Infrastructuur voor de financiële markt
5. Gezondheidszorg (ziekenhuizen, laboratoria, farmaceutische bedrijven, medische hulpmiddelen)
6. Drinkwater
7. Afvalwater
8. Digitale infrastructuur (IXP's, DNS, TLD-registers, cloud, datacentra, CDN's)
9. ICT-dienstverlening (B2B - managed service providers, managed security service providers)
10. Overheid (centrale overheid)
11. Ruimtevaart

7 andere kritieke sectoren (Bijlage II - Belangrijke entiteiten)

1. Post- en koeriersdiensten
2. Afvalbeheer
3. Chemische stoffen (productie, fabricage, distributie)
4. Levensmiddelen (productie, verwerking, distributie)
5. Maakindustrie (medische hulpmiddelen, computers, elektronica, machines, motorvoertuigen)
6. Digitale aanbieders (onlinemarktplaatsen, zoekmachines, sociale netwerken)
7. Onderzoeksorganisaties

Omzettingsstatus van NIS2

De deadline voor EU-lidstaten om NIS2 in nationale wetgeving om te zetten was 17 oktober 2024. De meerderheid van de lidstaten heeft deze deadline niet gehaald.

Landen die NIS2 volledig hebben omgezet

Bron: Wavestone NIS2 Transposition Tracker (per januari 2026)

Landen met goedgekeurde wetgeving maar openstaand kader

Zweden, Denemarken, Oostenrijk, Portugal, Malta, Finland, Estland, Roemenië, Cyprus (9 landen)

Landen nog in conceptfase

Luxemburg, Frankrijk, Spanje, Nederland, Polen, Bulgarije (6 landen)

Bron: Wavestone NIS2 Transposition Tracker

NIS2-sancties en boetes

NIS2 introduceert een getrapt sanctiekader op basis van de classificatie van entiteiten. In tegenstelling tot de AVG, die één maximum kent, maakt NIS2 onderscheid tussen essentiële en belangrijke entiteiten.

NIS2 vs AVG: vergelijking van sancties

Persoonlijke aansprakelijkheid voor het management

NIS2 introduceert directe verantwoordingsplicht voor bestuursorganen. Bestuursleden en senior leidinggevenden kunnen persoonlijk aansprakelijk worden gesteld voor niet-naleving. Bij ernstige nalatigheid kunnen bevoegde autoriteiten een tijdelijk verbod opleggen aan personen om leidinggevende functies uit te oefenen.

Bron: DLA Piper NIS2 Directors' Personal Liability Analysis

NIS2-nalevingsgereedheid

Gegevens over nalevingsgereedheid schetsen een zorgwekkend beeld. Aanzienlijke delen van de getroffen organisaties zijn zich niet bewust van NIS2 of zijn niet voorbereid op de vereisten.

Kosten van NIS2-compliance

De kosten van het implementeren van NIS2 variëren aanzienlijk op basis van de omvang van de entiteit, bestaande volwassenheid en sector. De impactbeoordeling van de Europese Commissie en onafhankelijke analyses bieden de volgende schattingen.

Vereisten voor incidentmelding onder NIS2

NIS2 introduceert een driefasig kader voor incidentmelding met strikte tijdlijnen, waarmee de vereisten van de oorspronkelijke NIS-richtlijn aanzienlijk worden aangescherpt.

Bron: NIS2-richtlijn, Artikel 23

Incidentstatistieken onder NIS1

Sectorvolwassenheid onder NIS2

ENISA's NIS360-beoordeling brengt sectoren in kaart op basis van hun cybersecurityvolwassenheid in verhouding tot hun kritikaliteit. Dit onthult welke sectoren het grootste risico lopen op niet-naleving.

Meest volwassen sectoren (volwassenheid komt overeen met kritikaliteit)

• Elektriciteit
• Telecommunicatie
• Bankwezen

Sectoren in de "risicozone" (kritikaliteit overtreft volwassenheid)

• ICT-dienstverlening
• Ruimtevaart
• Overheidsinstellingen
• Maritiem vervoer
• Gezondheidszorg
• Gas

Bron: ENISA NIS360 2024

Toezichtmodel

Bron: European Commission NIS2 FAQ

EU-cyberdreigingslandschap

De volgende statistieken uit ENISA's Threat Landscape-rapport geven context voor waarom NIS2 noodzakelijk was.

Meest getroffen sectoren

Bron: ENISA Threat Landscape 2025

Toeleveringsketenbeveiliging onder NIS2

NIS2 schrijft toeleveringsketenbeveiliging voor als een van de 10 verplichte risicobeheersmaatregelen onder Artikel 21. Dit weerspiegelt de groeiende dreiging van aanvallen via de toeleveringsketen in heel Europa.

Cybersecuritypersoneel in de EU

NIS2-compliance vereist gekwalificeerde cybersecurityprofessionals. Het huidige tekort aan talent in heel Europa maakt dit een van de meest uitdagende aspecten van compliance.

NIS2: 10 minimale beveiligingsmaatregelen

Artikel 21 van de NIS2-richtlijn vereist dat entiteiten ten minste deze 10 categorieën beveiligingsmaatregelen implementeren:

1. Beleid inzake risicoanalyse en beveiliging van informatiesystemen
2. Procedures voor incidentafhandeling
3. Bedrijfscontinuïteit en crisisbeheer (inclusief back-upbeheer en noodherstel)
4. Beveiliging van de toeleveringsketen (inclusief beveiligingsgerelateerde aspecten van de relaties tussen entiteiten en hun directe leveranciers of dienstverleners)
5. Beveiliging bij de aanschaf, ontwikkeling en het onderhoud van netwerk- en informatiesystemen (inclusief afhandeling en openbaarmaking van kwetsbaarheden)
6. Beleid en procedures om de effectiviteit van cybersecurityrisicobeheersmaatregelen te beoordelen
7. Basispraktijken voor cyberhygiëne en cybersecuritytraining
8. Beleid en procedures met betrekking tot het gebruik van cryptografie en, waar passend, versleuteling
9. Beveiliging van personeel, toegangscontrolebeleid en beheer van bedrijfsmiddelen
10. Het gebruik van multifactorauthenticatie of oplossingen voor continue authenticatie, beveiligde spraak-, video- en tekstcommunicatie, en beveiligde noodcommunicatiesystemen

Bron: NIS2-richtlijn, Artikel 21(2)

Belangrijke NIS2-data en tijdlijn

Veelgestelde vragen

V: Hoeveel bedrijven vallen onder NIS2?

A: De Europese Commissie schat dat ongeveer 160.000 entiteiten in de EU onder de reikwijdte van NIS2 vallen. Dit omvat middelgrote ondernemingen met 50+ werknemers of EUR 10M+ omzet en grote ondernemingen met 250+ werknemers of EUR 50M+ omzet die actief zijn in een van de 18 aangewezen sectoren.

V: Wat zijn de maximale NIS2-boetes?

A: Essentiële entiteiten riskeren boetes tot EUR 10.000.000 of 2% van de wereldwijde jaaromzet, afhankelijk van welk bedrag hoger is. Belangrijke entiteiten riskeren boetes tot EUR 7.000.000 of 1,4% van de wereldwijde jaaromzet. Lidstaten mogen hogere maximumboetes vaststellen in hun nationale omzetting.

V: Welke EU-landen hebben NIS2 geïmplementeerd?

A: Per januari 2026 hebben 20 van de 27 EU-lidstaten de NIS2-omzetting voltooid. Kroatië was het eerste land (februari 2024), gevolgd door Letland, België, Italië, Litouwen, Griekenland, Slowakije, Hongarije, Slovenië, Tsjechië en Duitsland. Zes landen bevinden zich nog in de conceptfase, waaronder Frankrijk, Spanje en Nederland.

V: Hoeveel kost NIS2-compliance?

A: De kosten variëren aanzienlijk op basis van de omvang van de entiteit en de bestaande volwassenheid. Entiteiten die al aan NIS1 voldeden, besteden mogelijk circa EUR 107.000 aan aanpassingen. Belangrijke entiteiten die vanaf nul beginnen, worden geconfronteerd met gemiddelde kosten van ongeveer EUR 180.000. De EU-brede totale implementatiekosten worden geschat op EUR 31,2 miljard per jaar.

V: Wat zijn de NIS2-deadlines voor incidentmelding?

A: NIS2 vereist een driefasige aanpak: een vroegtijdige waarschuwing binnen 24 uur na kennisname van een significant incident, een volledige melding binnen 72 uur met een beoordeling van de ernst en impact, en een eindrapport binnen een maand met een analyse van de grondoorzaak en mitigatiemaatregelen.

V: Kunnen bestuursleden persoonlijk aansprakelijk worden gesteld onder NIS2?

A: Ja. NIS2 introduceert directe verantwoordingsplicht voor bestuursorganen. Bestuursleden en senior leidinggevenden kunnen persoonlijk aansprakelijk worden gesteld voor niet-naleving van cybersecurityrisicobeheerverplichtingen. Bij ernstige nalatigheid kunnen autoriteiten een tijdelijk verbod opleggen aan personen om leidinggevende functies uit te oefenen.

Alle statistieken op deze pagina zijn afkomstig van officiële EU-agentschappen, toezichthouders en geverifieerde brancherapporten. Primaire bronnen omvatten ENISA NIS Investments Reports (2024, 2025), ENISA Threat Landscape 2025, ENISA NIS360 2024, de European Commission NIS2 FAQ, Wavestone NIS2 Transposition Tracker, Frontier Economics, ISC2 en de tekst van de NIS2-richtlijn. Deze pagina wordt regelmatig bijgewerkt wanneer nieuwe gegevens beschikbaar komen.

Laatst bijgewerkt: maart 2026