NIS2 och den nederländska cybersäkerhetslagen: vad din organisation behöver veta

Av Tom Meevis, advokat på Law & More

Cybersäkerhet är inte längre enbart en teknisk fråga. Det är också en juridisk och styrningsmässig fråga som påverkar praktiskt taget alla organisationer av alla storlekar.

Med det europeiska NIS2-direktivet och den nederländska cybersäkerhetslagen flyttas ansvaret för digital motståndskraft tydligt till styrelsen. Den nederländska cybersäkerhetslagen träder i kraft den 15 augusti 2026. Företagare, styrelseledamöter och complianceansvariga måste därför med kort varsel fastställa:

• huruvida deras organisation omfattas av de nya reglerna;
• vilka skyldigheter som följer av dem;
• vilka åtgärder som krävs;
• och hur organisationen kan uppfylla dessa skyldigheter.

Denna artikel beskriver huvudelementen i NIS2 och den nederländska cybersäkerhetslagen: omfattningen, aktsamhetsplikten, anmälningsskyldigheten, styrelsens ansvar, verkställighet och de åtgärder som organisationer kan vidta nu.

Vad är NIS2?

NIS2 är den formella beteckningen för direktiv (EU) 2022/2555. Det ersätter det första europeiska direktivet om nätverks- och informationssäkerhet, allmänt kallat NIS1.

Medlemsstaterna var skyldiga att införliva NIS2 i nationell lagstiftning senast den 17 oktober 2024. Från och med den 18 oktober 2024 ersatte NIS2 formellt det tidigare direktivet.

Syftet är att höja och bättre anpassa nivån av cybermotståndskraft inom Europeiska unionen. Detta går längs två huvudlinjer. För det första, ett bredare tillämpningsområde: många fler organisationer omfattas av reglerna än under NIS1. För det andra, skärpt tillsyn och striktare verkställighet, med en bredare verktygslåda och tydligare ansvar för chefer.

Medan NIS1 skilde mellan operatörer av samhällsviktiga tjänster och leverantörer av digitala tjänster, arbetar NIS2 med samhällsviktiga enheter och viktiga enheter. Denna skillnad är inte bara terminologisk: den avgör bland annat tillsynens intensitet och nivån på potentiella böter.

Vilka organisationer faller under NIS2?

NIS2 gäller organisationer som är verksamma inom arton utsedda sektorer, indelade i sektorer med hög kritisk betydelse och andra kritiska sektorer.

Sektorer med hög kritisk betydelse inkluderar energi, transport, bank, finansmarknadsinfrastruktur, hälso- och sjukvård, dricksvatten och avloppsvatten, digital infrastruktur, IKT-tjänstehantering för företag, offentlig förvaltning och rymd.

Andra kritiska sektorer inkluderar post- och budtjänster, avfallshantering, kemikalier, livsmedel, tillverkning, digitala leverantörer och forskningsinstitutioner.

Storleksgränsen

Inom dessa sektorer är huvudregeln att en organisation faller under NIS2 om den kvalificerar sig som ett medelstort eller stort företag. Kriterierna är minst 50 anställda, eller en årsomsättning eller balansomslutning som överstiger 10 miljoner euro.

Det finns undantag från denna huvudregel. Vissa organisationer omfattas av tillämpningsområdet oavsett storlek, eftersom deras tjänster anses vara särskilt kritiska:

• leverantörer av offentliga elektroniska kommunikationsnät och kommunikationstjänster;
• leverantörer av betrodda tjänster;
• leverantörer av domännamnsregistreringstjänster;
• register över toppdomännamn;
• offentliga organ.

Från och med den 15 augusti 2026 gäller de nya skyldigheterna för över 8 000 organisationer i Nederländerna. Det är en avsevärd ökning jämfört med det antal som omfattas av den nuvarande lagen om nätverks- och informationssystemsäkerhet.

Organisationer som tidigare inte såg sig själva som en del av en kritisk sektor kan därför bli föremål för detta, inklusive medelstora tillverkare, livsmedelsproducenter, forskningsinstitut och leverantörer av digitala tjänster. Viktigt är att organisationerna själva ansvarar för att bedöma om de omfattas av tillämpningsområdet. Inget brev från en handledare kommer att anlända som informerar dem om detta.

Omsorgsplikten: vilka åtgärder krävs?

Kärnan i NIS2 och den nederländska cybersäkerhetslagen är omsorgsplikten. Väsentliga och viktiga enheter måste vidta lämpliga och proportionella tekniska, operativa och organisatoriska åtgärder för att hantera riskerna för sina nätverk och informationssystem.

Reglerna identifierar de ämnen som policyn under alla omständigheter måste behandla:

• riskanalys och informationssäkerhetspolicy;
• hantering av incidenter;
• affärskontinuitet, säkerhetskopieringshantering och katastrofåterställning;
• säkerhet i leveranskedjan;
• cyberhygien och personalutbildning;
• policy för hantering av sårbarheter;
• flerfaktorsautentisering;
• säker kommunikation;
• kryptografi;
• regelbunden bedömning av åtgärdernas effektivitet.

Åtgärderna måste stå i proportion till organisationens storlek och de risker den faktiskt är exponerad för. En mindre viktig enhet behöver därför inte vidta samma åtgärder som en stor väsentlig enhet i en högrisksektor.

Det gör inte omsorgsplikten valfri. Organisationer måste kunna styrka vilka risker de identifierade, vilka åtgärder de vidtog och varför dessa åtgärder är lämpliga. Inte bara åtgärderna i sig, utan även hur de vägs, registreras och regelbundet utvärderas, är föremål för tillsyn.

Anmälningsplikt efter en incident

Vid sidan av omsorgsplikten inför NIS2 en stegvis anmälningsplikt för betydande incidenter. Om en incident har eller kan ha en väsentlig inverkan på tjänsternas kontinuitet gäller följande tidsfrister i stora drag:

• inom 24 timmar, en tidig varning till den nationella hanteringsgruppen för datasäkerhetsincidenter eller den behöriga myndigheten;
• inom 72 timmar, en formell anmälan med en inledande bedömning av allvarlighetsgraden och konsekvenserna;
• Senast inom en månad, en slutrapport som beskriver händelsen, dess sannolika orsak, de åtgärder som vidtagits och eventuella gränsöverskridande effekter.

Dessa tidsfrister gör det nödvändigt att upprätta tydliga rutiner i förväg. Organisationen måste veta när en incident är anmälningspliktig, vem som har behörighet att anmäla, vilken information som måste finnas tillgänglig, vem som koordinerar och hur styrelsen och handledaren informeras.

En organisation som bara försöker upprätta en anmälningsprocess under en incident löper en betydande risk att inte kunna rapportera i tid eller fullständigt.

Styrelsens ansvar

En viktig del av NIS2 är att ansvaret för att hantera cyberrisker uttryckligen ligger hos styrelsen. Styrelsen måste godkänna säkerhetsåtgärderna, övervaka deras implementering, kunna bedöma organisationens cyberrisker och själv genomgå tillräcklig utbildning.

Cybersäkerhet kan därför inte längre behandlas som enbart IT-avdelningens ansvar. Det är en styrningsfråga som måste ingå i det regelbundna beslutsfattandet och riskhanteringen.

Direktivet tar också uttryckligen upp den högre ledningens personliga ansvar om organisationen inte följer reglerna. Registrera styrelsens engagemang i enlighet därmed, till exempel genom att dokumentera genomförd utbildning, styrelsebeslut, godkänd policy, riskbedömningar, rapportering och tillsyn av implementeringen.

Det holländska genomförandet

Det nederländska genomförandet av NIS2 har försenats avsevärt. Införlivandefristen den 17 oktober 2024 uppfylldes inte.

Den 8 juli 2026 beslutade Europeiska kommissionen att väcka talan mot Nederländerna, tillsammans med Irland, Spanien och Frankrike, för underlåtenhet att anmäla införlivandeåtgärder. Nederländerna var därmed bland Europeiska unionens fyra länder som släpade efter.

Tajmingen är slående. En dag tidigare, den 7 juli 2026, hade senaten godkänt cybersäkerhetslagen och lagen om motståndskraft mot kritiska enheter. Huruvida det faktum att lagen antogs innan hänskjutandet skickades påverkar utgången av förfarandet återstår att se; det är upp till domstolen att avgöra.

Båda lagarna träder i kraft den 15 augusti 2026. Cybersäkerhetslagen implementerar NIS2-direktivet; lagen om motståndskraft mot kritiska enheter implementerar det europeiska CER-direktivet, som syftar till att öka motståndskraften hos kritisk infrastruktur. Organisationer som omfattas av det senare kommer formellt att utses till kritiska enheter från och med den 15 augusti 2026.

Vid ikraftträdandet upphör den nuvarande lagen om nätverks- och informationssystemsäkerhet (Wbni). För organisationer som redan omfattas av den innebär detta större skyldigheter; för organisationer som omfattas av den för första gången innebär det en helt ny ordning.

Registrering hos NCSC

En viktig ny skyldighet är registrering hos Nationellt cybersäkerhetscenter. Väsentliga och viktiga enheter måste registreras i det nationella enhetsregistret. Registreringen är obligatorisk från och med den 15 augusti 2026 och sker via portalen MijnNCSC, med eHerkenning för vanliga organisationer och SSOnRijk för offentliga organ. Ändringar av de registrerade uppgifterna måste rapporteras inom fjorton dagar.

Registrering är inte bara en administrativ formalitet. När organisationer väl är registrerade kan de ansluta sig till sin CSIRT, som tillhandahåller produkter och tjänster för att öka motståndskraften samt stöd vid en incident. Förbered registreringen i god tid så att implementeringen inte påbörjas först efter ikraftträdandet.

Tillsyn och verkställighet

Cybersäkerhetslagen föreskriver en differentierad tillsynsordning. Väsentliga enheter omfattas av proaktiv tillsyn: tillsynsmyndigheten får kontrollera kontinuerligt och på eget initiativ, utan någon specifik incident eller signal. Viktiga enheter omfattas av reaktiv tillsyn, där tillsynsmyndigheten i princip agerar som svar på en incident, ett klagomål eller en annan konkret signal.

Tillsynen är uppdelad på flera myndigheter. Från och med den 15 augusti 2026 övervakar den nederländska myndigheten för digital infrastruktur organisationer inom nio sektorer; andra handledare utses för andra sektorer. Fastställ vilken handledare som är behörig för din organisation.

Verktygslådan för verkställighet är bred och omfattar:

• en säkerhetsskanning eller säkerhetsrevision;
• en bindande instruktion;
• ett administrativt verkställighetsbeslut eller ett beslut som förenas med vite;
• offentliggörande av ett intrång;
• en administrativ böter;
• för väsentliga enheter: indragning av en certifiering, en auktorisation eller en styrelseledamot.

För viktiga enheter är det maximala bötesbeloppet minst 10 miljoner euro eller 2 % av den totala globala årsomsättningen, beroende på vilket som är högst. För viktiga enheter är det minst 7 miljoner euro eller 1.4 % av den globala årsomsättningen, återigen beroende på vilket som är högst. Den slutliga nivån beror på omständigheterna i fallet, inklusive överträdelsens art, allvar och varaktighet, graden av skuld och de vidtagna åtgärderna.

Vad kan er organisation göra nu?

• Genomför en självbedömning. Fastställ om organisationen är aktiv inom en angiven sektor och uppfyller storleksgränsen.
• Bestäm rätt kategori. Fastställ om organisationen kvalificerar som en väsentlig eller viktig enhet, och vilken handledare som är behörig.
• Förbered registreringen. Samla in de uppgifter som behövs för registrering hos NCSC via MijnNCSC.
• Testa åtgärderna för aktsamhetsplikt. Utvärdera befintliga åtgärder för riskanalys, incidenthantering, affärskontinuitet, säkerhet i leveranskedjan, cyberhygien, sårbarheter, flerfaktorsautentisering och kryptografi.
• Ställ in anmälningsprocessen. Registrera vem som bedömer om en incident är anmälningspliktig, vem som anmäler och hur tidsfristerna på 24 timmar, 72 timmar och en månad uppfylls.
• Involvera styrelsen på ett påvisbart sätt. Registrera vilka beslut styrelsen har fattat, vilken utbildning som har genomförts och hur tillsynen av genomförandet utövas.
• Inkludera leveranskedjan. En stor andel sårbarheter uppstår inte inom själva organisationen utan hos leverantörer och tjänsteleverantörer. Granska era avtal om säkerhetsarrangemang, anmälningsskyldigheter och revisionsrättigheter.

Avslutningsvis

Cybersäkerhetslagen och lagen om motståndskraft mot kritiska enheter innebär en avsevärd skärpning av cybersäkerhetsskyldigheterna. Ett bredare tillämpningsområde, konkreta åtgärder för aktsamhetsplikt, snäva anmälningsfrister, personligt ansvar för chefer och en omfattande verktygslåda för verkställighet innebär att organisationer inte kan lämna detta ämne åt sidan. Med ikraftträdandet den 15 augusti 2026 är förberedelsetiden kort.

Law & More bistår företag, styrelseledamöter och complianceansvariga med att fastställa sin position enligt NIS2 och den nederländska cybersäkerhetslagen, upprättar och testar aktsamhetsåtgärder, förbereder registreringen hos NCSC och införlivar cybersäkerhetspolicyn lagligt.

Vill du få din organisations ställning enligt de nya reglerna bedömd? Kontakta oss gärna för ett förutsättningslöst samtal.

Vanliga frågor och svar

Nedan svarar vi på de frågor vi oftast får om detta ämne.

När träder den nederländska cybersäkerhetslagen i kraft?

Den 15 augusti 2026 godkände senaten cybersäkerhetslagen och lagen om motståndskraft mot kritiska enheter den 7 juli 2026. Vid ikraftträdandet upphör den nuvarande lagen om nätverks- och informationssystemsäkerhet (Wbni).

Faller min organisation under NIS2?

Det beror på din sektor och din storlek. NIS2 omfattar arton utsedda sektorer och, inom dessa sektorer, som huvudregel organisationer med minst 50 anställda eller en årlig omsättning eller balansomslutning som överstiger 10 miljoner euro. Vissa parter omfattas oavsett storlek.

Kommer jag att få ett meddelande om min organisation omfattas av åtgärden?

Nej. Organisationer är själva ansvariga för att bedöma om de omfattas av cybersäkerhetslagen. Att vänta riskerar att skyldigheter gäller innan bedömningen har gjorts.

Vad är skillnaden mellan en essentiell och en viktig enhet?

Den avgör tillsynens intensitet och nivån på potentiella böter. Väsentliga enheter är föremål för proaktiv tillsyn, där tillsynsmyndigheten kan kontrollera på eget initiativ. Viktiga enheter är föremål för reaktiv tillsyn, föranledd av en incident, ett klagomål eller annan signal.

Vad innebär omsorgsplikten?

Vidta lämpliga och proportionella tekniska, operativa och organisatoriska åtgärder för att hantera riskerna för era nätverk och informationssystem, inklusive frågor som riskanalys, incidenthantering, affärskontinuitet, säkerhet i leveranskedjan, cyberhygien, sårbarheter, flerfaktorsautentisering och kryptografi. Ni måste kunna motivera varför de valda åtgärderna är lämpliga.

Vilka anmälningsfrister gäller efter en incident?

En tidig varning inom 24 timmar, en formell anmälan inom 72 timmar med en inledande bedömning av allvarlighetsgrad och påverkan, och en slutrapport senast inom en månad. Fastställ anmälningsprocessen i förväg.

Måste min organisation registrera sig?

Ja. Registrering i det nationella enhetsregistret är obligatorisk från och med den 15 augusti 2026 och sker via MijnNCSC, med hjälp av eHerkenning eller, för offentliga organ, SSOnRijk. Ändringar måste rapporteras inom fjorton dagar. När du är registrerad kan du ansluta till din CSIRT:s tjänster.

Vilket ansvar ligger på styrelsen?

Styrelsen måste godkänna säkerhetsåtgärderna, övervaka deras implementering, kunna bedöma cyberriskerna och själv genomgå utbildning. Direktivet behandlar den högsta ledningens personliga ansvar för bristande efterlevnad, så dokumentera beslut, utbildning och tillsyn påvisbart.

Hur höga är böterna?

För väsentliga enheter minst 10 miljoner euro eller 2 % av den globala årsomsättningen; för viktiga enheter minst 7 miljoner euro eller 1.4 %, beroende på vilket som är högst i varje enskilt fall. Den slutliga nivån beror på faktorer som överträdelsens art, allvar och varaktighet samt graden av skuld.

Vem övervakar efterlevnaden?

Det varierar beroende på sektor. Från och med den 15 augusti 2026 övervakar den nederländska myndigheten för digital infrastruktur organisationer inom nio sektorer; andra handledare utses för andra sektorer. Fastställ vilken handledare som är behörig för din organisation.

Varför har Nederländerna hänskjutits till EU-domstolen?

För sent införlivande av NIS2. Den 8 juli 2026 beslutade Europeiska kommissionen att väcka talan mot Nederländerna, tillsammans med Irland, Spanien och Frankrike, för underlåtenhet att anmäla införlivandeåtgärder. Det faktum att cybersäkerhetslagen antogs en dag tidigare avslutar inte i sig detta förfarande.

Gäller detta även mina leverantörer?

Säkerhet i leveranskedjan är ett av de områden som omfattas av aktsamhetsplikten. En stor andel sårbarheter uppstår hos leverantörer och tjänsteleverantörer. Granska era avtal om säkerhetsarrangemang, anmälningsskyldigheter och revisionsrättigheter.