De richtlijn, die bekend staat als NIS 2, bevat een gezamenlijk regelgevingskader voor cyberbeveiliging gericht op het verbeteren van het niveau van cyberbeveiliging in de Europese Unie (EU), waarbij EU-lidstaten worden verplicht om de capaciteit op het gebied van cyberbeveiliging te versterken en maatregelen voor cyberbeveiligingsbeheer en -rapportage in cruciale sectoren worden ingevoerd, naast regels inzake samenwerking, het delen van informatie, toezicht en handhaving.
Cyberbeveiliging heeft betrekking op de activiteiten die nodig zijn om netwerk- en informatiesystemen, de gebruikers van dergelijke systemen en andere personen die getroffen worden door cyberdreigingen, te beschermen.
Kritieke sectoren
De richtlijn is in de eerste plaats van toepassing op middelgrote en grote entiteiten die actief zijn in de volgende, in bijlage I gedefinieerde zeer kritieke sectoren:
De richtlijn is ook van toepassing op andere, in bijlage II gedefinieerde kritieke sectoren:
Nationale strategie voor cyberbeveiliging
Elke lidstaat moet beschikken over een nationale strategie voor het bereiken en het in stand houden van een hoog niveau van cyberbeveiliging in de kritieke sectoren, waarbij moet worden ingegaan op:
Lidstaten moeten uiterlijk op 17 april 2025 een lijst opstellen van essentiële en belangrijke entiteiten en entiteiten die domeinnaamregistratiediensten verlenen. Ze evalueren die lijst regelmatig, en daarna ten minste om de twee jaar, en werken deze zo nodig bij. De Europese Commissie heeft richtsnoeren vastgesteld met betrekking tot de informatie die moet worden verzameld bij het opstellen van deze lijsten, samen met een model daarvoor.
De Commissie heeft ook richtsnoeren uitgegeven waarin de regels worden verduidelijkt over de relatie tussen Richtlijn (EU) 2022/2555 en huidige en toekomstige sectorspecifieke EU-rechtshandelingen betreffende maatregelen voor cyberbeveiligingsbeheer of vereisten voor de rapportage van incidenten. De bijlage bij de richtsnoeren bevat een niet-uitputtende lijst van sectorspecifieke rechtshandelingen die de Commissie beschouwt als een rechtshandeling die onder het toepassingsgebied van Richtlijn (EU) 2022/2555 valt.
Computer security incident response teams
Computer security incident response teams (CSIRT’s) verlenen technische bijstand aan entiteiten, onder meer door:
Netwerk van CSIRT’s
Met de richtlijn wordt een netwerk van nationale CSIRT’s opgezet om snelle en doeltreffende operationele samenwerking te bevorderen.
Gecoördineerde bekendmaking van kwetsbaarheid
De lidstaten moeten:
Het Agentschap van de Europese Unie voor cyberbeveiliging (Enisa) ontwikkelt en onderhoudt een kwetsbaarheidsdatabase.
Samenwerkingsgroep
Met de richtlijn wordt een samenwerkingsgroep opgericht om strategische samenwerking en informatie-uitwisseling te ondersteunen en te vergemakkelijken. De groep bestaat uit vertegenwoordigers van lidstaten, de Commissie en Enisa. In voorkomend geval kan de samenwerkingsgroep het Europees Parlement en vertegenwoordigers van relevante belanghebbenden uitnodigen om aan zijn werkzaamheden deel te nemen.
Europees netwerk van verbindingsorganisaties voor cybercrises
Het Europees netwerk van verbindingsorganisaties voor cybercrises (EU-CyCLONe) is een netwerk van vertegenwoordigers van cybercrisisbeheerautoriteiten van de lidstaten en de Commissie in gevallen waarin een potentieel of aan de gang zijnd grootschalig incident met cyberbeveiliging een significant effect heeft of kan hebben op de sectoren die onder de richtlijn vallen. In andere gevallen neemt de Commissie als waarnemer deel aan de activiteiten van het netwerk.
Het netwerk ondersteunt het gecoördineerde beheer van grootschalige cyberbeveiligingsincidenten en -crises op operationeel niveau en zorgt voor regelmatige uitwisseling van informatie tussen lidstaten en EU-instellingen, -organen en -agentschappen.
Het netwerk heeft onder andere de volgende taken:
Verslaglegging
Entiteiten moeten hun CSIRT of relevante autoriteit in kennis stellen van elk incident dat:
Voorts zal Enisa in samenwerking met de Commissie en de samenwerkingsgroep een tweejaarlijks verslag over de stand van cyberbeveiliging in de EU opstellen, dat ook aan het Parlement wordt voorgelegd.
Toezicht en handhaving
De richtlijn voorziet in voorzieningen en sancties om handhaving te waarborgen.
Collegiale toetsingen
Er worden collegiale toetsingen ingesteld om van gedeelde ervaringen te leren, het wederzijds vertrouwen te versterken, een hoog gezamenlijk niveau van cyberbeveiliging te bereiken en de capaciteit en het beleid van de lidstaten op het gebied van cyberbeveiliging die nodig zijn voor de tenuitvoerlegging van deze richtlijn te versterken. Deze toetsingen brengen fysieke of virtuele bezoeken ter plaatse en informatie-uitwisselingen buiten de locatie met zich mee. Deelname aan deze collegiale toetsingen is vrijwillig.
De richtlijn moet uiterlijk op 17 oktober 2024 in nationaal recht zijn omgezet. De regels moeten vanaf 18 oktober 2024 van kracht zijn.
De richtlijn strekt tot intrekking van Richtlijn 2016/1148 (zie de samenvatting) vanaf 18 oktober 2024.
Zie voor meer informatie:
Richtlijn (EU) 2022/2555 van het Europees Parlement en de Raad van 14 december 2022 betreffende maatregelen voor een hoog gezamenlijk niveau van cyberbeveiliging in de Unie, tot wijziging van Verordening (EU) nr. 910/2014 en Richtlijn (EU) 2018/1972 en tot intrekking van Richtlijn (EU) 2016/1148 (NIS 2-richtlijn) (PB L 333 van 27.12.2022, blz. 80-152).
Achtereenvolgende wijzigingen aan Richtlijn (EU) 2022/2555 werden in de basistekst opgenomen. Deze geconsolideerde versie is enkel van documentaire waarde.
Mededeling van de Commissie — Richtsnoeren van de Commissie over de toepassing van artikel 3, lid 4, van Richtlijn (EU) 2022/2555 (NIS 2-richtlijn) 2023/C 324/02 (PB L 324 van 14.9.2023, blz. 2-7).
Mededeling van de Commissie — Richtsnoeren van de Commissie over de toepassing van artikel 4, leden 1 en 2, van Richtlijn (EU) 2022/2555 (NIS 2-richtlijn) 2023/C 328/02 (PB L 328 van 18.9.2023, blz. 2-10).
Verordening (EU) 2022/2554 van het Europees Parlement en de Raad van 14 december 2022 betreffende digitale operationele weerbaarheid voor de financiële sector en tot wijziging van Verordeningen (EG) nr. 1060/2009, (EU) nr. 648/2012, (EU) nr. 600/2014, (EU) nr. 909/2014 en (EU) 2016/1011 (PB L 333 van 27.12.2022, blz. 1-79).
Richtlijn (EU) 2022/2557 van het Europees Parlement en de Raad van 14 december 2022 betreffende de weerbaarheid van kritieke entiteiten en tot intrekking van Richtlijn 2008/114/EG van de Raad (PB L 333 van 27.12.2022, blz. 164-198).
Verordening (EU) 2021/696 van het Europees Parlement en de Raad van 28 april 2021 tot vaststelling van het ruimtevaartprogramma van de Unie, tot oprichting van het Agentschap van de Europese Unie voor het ruimtevaartprogramma en tot intrekking van de Verordeningen (EU) nr. 912/2010, (EU) nr. 1285/2013 en (EU) nr. 377/2014 en Besluit nr. 541/2014/EU (PB L 170 van 12.5.2021, blz. 69-148).
Verordening (EU) nr. 2021/694 van het Europees Parlement en de Raad van 29 april 2021 tot oprichting van het programma Digitaal Europa en tot intrekking van Besluit (EU) 2015/2240 (PB L 166 van 11.5.2021, blz. 1-34).
Zie de geconsolideerde versie.
Verordening (EU) 2019/881 van het Europees Parlement en de Raad van 17 april 2019 inzake Enisa (het Agentschap van de Europese Unie voor cyberbeveiliging), en inzake de certificering van de cyberbeveiliging van informatie- en communicatietechnologie en tot intrekking van Verordening (EU) nr. 526/2013 (de cyberbeveiligingsverordening) (PB L 151 van 7.6.2019, blz. 15-69).
Aanbeveling van de Commissie (EU) 2019/534 van 26 maart 2019 — Cyberbeveiliging van 5G-netwerken (PB L 88 van 29.3.2019, blz. 42-47).
Verordening (EU) 2018/1139 van het Europees Parlement en de Raad van 4 juli 2018 inzake gemeenschappelijke regels op het gebied van burgerluchtvaart en tot oprichting van een Agentschap van de Europese Unie voor de veiligheid van de luchtvaart, en tot wijziging van de Verordeningen (EG) nr. 2111/2005, (EG) nr. 1008/2008, (EU) nr. 996/2010, (EU) nr. 376/2014 en de Richtlijnen 2014/30/EU en 2014/53/EU van het Europees Parlement en de Raad, en tot intrekking van de Verordeningen (EG) nr. 552/2004 en (EG) nr. 216/2008 van het Europees Parlement en de Raad en Verordening (EEG) nr. 3922/91 van de Raad (PB L 212 van 22.8.2018, blz. 1-122).
Zie de geconsolideerde versie.
Uitvoeringsbesluit (EU) 2018/1993 van de Raad van 11 december 2018 inzake de geïntegreerde EU-regeling politieke crisisrespons (PB L 320 van 17.12.2018, blz. 28-34).
Richtlijn (EU) 2018/1972 van het Europees Parlement en de Raad van 11 december 2018 tot vaststelling van het Europees wetboek voor elektronische communicatie (herschikking) (PB L 321 van 17.12.2018, blz. 36-214).
Zie de geconsolideerde versie.
Aanbeveling (EU) 2017/1584 van de Commissie van 13 september 2017 inzake een gecoördineerde respons op grootschalige cyberincidenten en -crises (PB L 239 van 19.9.2017, blz. 36-58).
Verordening (EU) 2016/679 van het Europees Parlement en de Raad van 27 april 2016 betreffende de bescherming van natuurlijke personen in verband met de verwerking van persoonsgegevens en betreffende het vrije verkeer van die gegevens en tot intrekking van Richtlijn 95/46/EG (algemene verordening gegevensbescherming) (PB L 119 van 4.5.2016, blz. 1-88).
Zie de geconsolideerde versie.
Verordening (EU) nr. 910/2014 van het Europees Parlement en de Raad van 23 juli 2014 betreffende elektronische identificatie en vertrouwensdiensten voor elektronische transacties in de interne markt en tot intrekking van Richtlijn 1999/93/EG (PB L 257 van 28.8.2014, blz. 73-114).
Richtlijn 2013/40/EU van het Europees Parlement en de Raad van 12 augustus 2013 over aanvallen op informatiesystemen en ter vervanging van Kaderbesluit 2005/222/JBZ van de Raad (PB L 218 van 14.8.2013, blz. 8-14).
Besluit nr. 1313/2013/EU van het Europees Parlement en de Raad van 17 december 2013 betreffende een Uniemechanisme voor civiele bescherming (PB L 347 van 20.12.2013, blz. 924-947).
Zie de geconsolideerde versie.
Richtlijn 2011/93/EU van het Europees Parlement en de Raad van 13 december 2011 ter bestrijding van seksueel misbruik en seksuele uitbuiting van kinderen en kinderpornografie, en ter vervanging van Kaderbesluit 2004/68/JBZ van de Raad (PB L 335 van 17.12.2011, blz. 1-14).
Zie de geconsolideerde versie.
Verordening (EG) nr. 300/2008 van het Europees Parlement en de Raad van 11 maart 2008 inzake gemeenschappelijke regels op het gebied van de beveiliging van de burgerluchtvaart en tot intrekking van Verordening (EG) nr. 2320/2002 (PB L 97 van 9.4.2008, blz. 72-84).
Zie de geconsolideerde versie.
Richtlijn 2002/58/EG van het Europees Parlement en de Raad van 12 juli 2002 betreffende de verwerking van persoonsgegevens en de bescherming van de persoonlijke levenssfeer in de sector elektronische communicatie (richtlijn betreffende privacy en elektronische communicatie) (PB L 201 van 31.7.2002, blz. 37-47).
Zie de geconsolideerde versie.
Laatste bijwerking 03.05.2024