NIS2 toezicht: hoe de RDI controleert en handhaaft

Verplichtingen zijn pas echt verplichtingen als er iemand op toeziet. Onder NIS2 is dat in Nederland de Rijksinspectie Digitale Infrastructuur, de RDI. Die houdt toezicht op de naleving van de zorgplicht, de meldplicht en de registratieplicht, en kan handhaven als organisaties tekortschieten. Voor veel ondernemers is dit een onbekend terrein: hoe ziet dat toezicht er eigenlijk uit?

Dit artikel legt uit hoe de RDI controleert, welke vormen van toezicht er zijn, wat je kunt verwachten en hoe je je voorbereidt. Of de wet op jou van toepassing is, bepaal je met NIS2: voor welke bedrijven geldt het.

Wie houdt toezicht

De RDI is de centrale toezichthouder, maar werkt samen met andere partijen. Het is goed om te weten welke rol elke instantie speelt.

De RDI is dus de partij die controleert of je je aan de regels houdt, terwijl het NCSC het loket is voor meldingen en hulp bij incidenten. Die scheiding is bewust: het meldpunt waar je hulp zoekt, is niet hetzelfde als de inspectie die handhaaft.

Twee vormen van toezicht

NIS2 kent 2 vormen van toezicht, en welke op jou van toepassing is, hangt af van je classificatie. Het onderscheid tussen essentieel en belangrijk bepaalt hoe intensief het toezicht is.

Ex ante toezicht betekent dat de inspectie vooraf en proactief kijkt of een organisatie haar zaken op orde heeft, zonder dat er een incident is geweest. Dit geldt voor essentiele entiteiten, de organisaties met de grootste maatschappelijke impact. Ex post toezicht vindt plaats naar aanleiding van een incident of een signaal, en geldt voor zowel belangrijke als essentiele entiteiten. Belangrijke entiteiten krijgen dus alleen toezicht achteraf, essentiele entiteiten beide vormen.

Hoe de RDI controleert

De inspectie gebruikt verschillende methoden, van licht tot zwaar. In het eerste jaar ligt de nadruk op kennismaken; daarna kan het toezicht intensiever worden.

In het eerste jaar wil de RDI de sectoren beter leren kennen. Dat betekent dat je een brief of een uitnodiging voor een kennismakingsgesprek kunt ontvangen, of een vragenlijst die je moet invullen. De aanpak verschilt per sector en zelfs per organisatie. Een zware inspectie op locatie is in die eerste fase eerder uitzondering dan regel.

Wat de RDI kan afdwingen

Als blijkt dat een organisatie tekortschiet, heeft de RDI een reeks instrumenten, oplopend in zwaarte. Een boete is het laatste middel, niet het eerste.

De boetes zijn fors: tot 10 miljoen euro of 2 procent van de wereldwijde jaaromzet voor essentiele entiteiten, en tot 7 miljoen euro of 1,4 procent voor belangrijke entiteiten. In het uiterste geval kunnen toezichtsmaatregelen ook de individuele bestuurder raken. Toch is het beeld niet dat de RDI direct met boetes strooit; het toezicht is vooral gericht op verbetering, en handhaving is het sluitstuk.

Hoe je je voorbereidt op toezicht

Je kunt niet voorkomen dat de RDI toezicht houdt, maar je kunt er wel voor zorgen dat je klaar bent als het zover is. De sleutel is aantoonbaarheid.

1. Zorg dat je geregistreerd bent. De registratie is het startpunt; zonder registratie val je al door de mand.
2. Leg je maatregelen vast. Een risicobeoordeling en een overzicht van je maatregelen tonen aan dat je je zorgplicht invult.
3. Documenteer je beleid. Een vastgelegd beveiligingsbeleid en procesbeschrijvingen maken je aantoonbaar in orde.
4. Houd je meldproces paraat. Laat zien dat je incidenten kunt melden binnen 24 uur.
5. Betrek het bestuur. Toon aan dat de directie de maatregelen heeft goedgekeurd en erop toeziet.

Met deze voorbereiding is een vragenlijst of een kennismakingsgesprek geen probleem, maar een gelegenheid om te laten zien dat je het op orde hebt. De voorbereiding kost vooral tijd, geen groot budget.

In cijfers

De cijfers laten zien dat het toezicht serieus is, maar in de eerste fase vooral gericht op leren kennen en verbeteren. Dat geeft organisaties die nu beginnen de ruimte om hun zaken op orde te brengen voordat het toezicht intensiever wordt.

Waar dit op aansluit

Het toezicht raakt alle onderdelen van NIS2. De RDI controleert je zorgplicht, je meldplicht en je registratie, en kan in het uiterste geval het bestuur aanspreken. Het NIS2-stappenplan helpt je alles op orde te brengen, en de NIS2-compliance pillar verzamelt het geheel.

De kern: aantoonbaarheid is je beste voorbereiding op toezicht. Een organisatie die haar risicobeoordeling, maatregelen en meldproces gedocumenteerd heeft, kan elke vragenlijst of inspectie met vertrouwen tegemoet zien.

Toezicht in tijd en geld

Om een beeld te geven van wat toezicht praktisch betekent, hieronder de inspanning van voorbereiding afgezet tegen de risico's bij tekortschieten.

De voorbereiding op toezicht kost vooral tijd, geen groot budget. Reken op circa 8 uur om een vragenlijst goed in te vullen als je dossier op orde is, en circa 8 uur per jaar om dat dossier actueel te houden. Een organisatie die elke 12 maanden haar documentatie herziet, heeft bij een inspectie weinig te vrezen.

Tegenover die beperkte inspanning staan forse risico's bij tekortschieten. De boetes lopen op tot 10 miljoen euro of 2 procent van de omzet voor essentiele entiteiten en tot 7 miljoen euro of 1,4 procent voor belangrijke entiteiten. Toch is handhaving het sluitstuk: de RDI begint met lichtere instrumenten en richt zich in het eerste jaar vooral op kennismaken. Met circa 58 procent van de organisaties die onder de regels valt, heeft de inspectie bovendien een grote groep om te begeleiden, wat de nadruk op verbetering boven bestraffing verklaart.

Voor een MKB-bedrijf is de praktische les: zorg dat je aantoonbaar in orde bent voordat de eerste brief op de mat valt. Dan is toezicht geen bedreiging, maar een gelegenheid om te laten zien dat je je zaken serieus neemt.

Veelgestelde vragen

Wie houdt toezicht op NIS2 in Nederland?

De Rijksinspectie Digitale Infrastructuur, de RDI. Het Nationaal Cyber Security Centrum is het meldpunt voor incidenten, maar het toezicht en de handhaving liggen bij de RDI.

Wat is het verschil tussen ex ante en ex post toezicht?

Ex ante is proactief toezicht vooraf, zonder incident, en geldt voor essentiele entiteiten. Ex post is toezicht achteraf, na een incident of signaal, en geldt voor zowel belangrijke als essentiele entiteiten.

Hoe controleert de RDI?

Met openbare bronnen, vragenlijsten, kennismakingsgesprekken en in zwaardere gevallen inspecties op locatie. In het eerste jaar ligt de nadruk op kennismaken met de sectoren.

Welke boetes kan de RDI opleggen?

Tot 10 miljoen euro of 2 procent van de omzet voor essentiele entiteiten, en tot 7 miljoen euro of 1,4 procent voor belangrijke entiteiten. Een boete is het sluitstuk; eerst volgen lichtere instrumenten.

Hoe bereid ik me voor op toezicht?

Zorg dat je geregistreerd bent en dat je risicobeoordeling, maatregelen, beleid en meldproces aantoonbaar zijn vastgelegd. Aantoonbaarheid is de beste voorbereiding.

Dit is een onderwerp dat nog in ontwikkeling is, omdat de precieze inrichting van het toezicht nog wordt uitgewerkt. Raadpleeg voor je eigen situatie de officiele bronnen of een gespecialiseerde adviseur.