Om je organisatie te registreren voor NIS2 meld je je aan via het digitale portaal van de Rijksinspectie Digitale Infrastructuur (RDI), de aangewezen toezichthouder in Nederland. De registratie verloopt online en vereist basisinformatie over je organisatie, sector en de digitale diensten die je levert. In dit artikel beantwoorden we de meest gestelde vragen over de NIS2-registratieplicht, van wie zich moet aanmelden tot wat er gebeurt als je dat niet doet.
Welke organisaties zijn verplicht zich te registreren voor NIS2?
Organisaties die onder de NIS2-richtlijn vallen zijn verplicht zich te registreren. Dit zijn bedrijven en instellingen die actief zijn in sectoren die als kritiek of belangrijk worden beschouwd, zoals energie, transport, drinkwater, digitale infrastructuur, gezondheidszorg, financiële dienstverlening en overheidsdiensten. De verplichting geldt zowel voor zogeheten essentiële als voor belangrijke entiteiten.
Het onderscheid tussen essentiële en belangrijke entiteiten hangt af van de omvang van je organisatie en de sector waarin je opereert. Essentiële entiteiten zijn doorgaans grote organisaties in hoog-risicosectoren. Belangrijke entiteiten zijn middelgrote organisaties in dezelfde of aanverwante sectoren. Kleine bedrijven met minder dan vijftig medewerkers en een jaaromzet onder de tien miljoen euro vallen in de meeste gevallen buiten de registratieplicht, tenzij ze een specifieke kritieke functie vervullen.
Twijfel je of jouw organisatie onder de NIS2-verplichting valt? De zelfscan op de website van het Digital Trust Center (DTC) biedt een praktisch startpunt om je situatie in te schatten. Het is verstandig om dit niet te lang uit te stellen, want de registratieplicht geldt ongeacht of je zelf hebt vastgesteld dat je eronder valt.
Waar en hoe meld je je organisatie aan voor NIS2?
Je meldt je organisatie aan via het online registratieportaal van het RDI, de Rijksinspectie Digitale Infrastructuur. Dit portaal is de officiële ingang voor NIS2-registratie in Nederland. Je logt in met eHerkenning, vult de gevraagde gegevens in over je organisatie en de sector waarin je actief bent, en rondt de aanmelding digitaal af.
Het registratieproces verloopt in een aantal stappen:
- Bepaal of jouw organisatie als essentieel of belangrijk wordt geclassificeerd.
- Zorg dat je beschikt over eHerkenning op het juiste betrouwbaarheidsniveau.
- Ga naar het registratieportaal van het RDI en start de aanmelding.
- Vul de gevraagde organisatiegegevens in, inclusief sector, grootte en contactpersoon voor cybersecurity.
- Dien de registratie in en bewaar de bevestiging.
Na de registratie ben je als organisatie ook verplicht om incidenten te melden bij het RDI wanneer deze een significante impact hebben op de continuïteit van je dienstverlening. De registratie is dus niet alleen een administratieve handeling, maar het startpunt van een bredere compliance-verplichting.
Wat is de deadline voor NIS2-registratie in Nederland?
De Nederlandse wetgeving ter implementatie van NIS2, de Cyberbeveiligingswet, is in 2026 van kracht. Organisaties die onder de reikwijdte van de wet vallen zijn verplicht zich te registreren zodra de wet in werking treedt. Er is geen langdurige overgangsperiode voorzien voor de registratieplicht zelf.
In de praktijk betekent dit dat organisaties die nu al weten dat zij onder NIS2 vallen, niet moeten wachten met voorbereiden. De registratie is een relatief eenvoudige stap, maar de onderliggende zorgplicht, waaronder het treffen van technische en organisatorische beveiligingsmaatregelen, vergt meer tijd. Wie nu pas begint, loopt het risico niet tijdig compliant te zijn.
Houd de communicatie van het RDI en het DTC actief in de gaten voor de meest actuele informatie over deadlines en eventuele gefaseerde invoering per sector.
Welke informatie heb je nodig om je aan te melden?
Voor de NIS2-registratie heb je een aantal basisgegevens nodig over je organisatie. Denk aan de naam en het KvK-nummer van je organisatie, de sector en subsector waarin je actief bent, het aantal medewerkers en de jaaromzet, en de contactgegevens van de persoon die verantwoordelijk is voor informatiebeveiliging binnen je organisatie.
Daarnaast wordt gevraagd naar de aard van de diensten die je levert en in welke lidstaten van de EU je actief bent. Organisaties die in meerdere EU-landen opereren, registreren zich in het land waar hun hoofdvestiging zich bevindt. Voor Nederlandse organisaties is dat dus via het RDI-portaal.
Het is verstandig om vooraf intern te inventariseren welke systemen en processen als kritiek worden beschouwd binnen jouw organisatie. Die informatie heb je niet alleen nodig voor de registratie, maar ook voor de bredere NIS2-zorgplicht die daarna van toepassing is. Een goede voorbereiding bespaart tijd en voorkomt fouten in de aanmelding. Onze cybersecurity diensten kunnen daarbij ondersteunen, van inventarisatie tot implementatie.
Wat zijn de gevolgen als je je niet registreert voor NIS2?
Organisaties die zich niet registreren terwijl zij wel onder de NIS2-verplichting vallen, riskeren handhavingsmaatregelen van het RDI. De toezichthouder heeft de bevoegdheid om boetes op te leggen, aanwijzingen te geven en in ernstige gevallen operationele maatregelen te treffen. Voor essentiële entiteiten kunnen de boetes oplopen tot tien miljoen euro of twee procent van de wereldwijde jaaromzet.
Naast financiële sancties zijn er ook reputatierisico’s. Organisaties die aantoonbaar nalatig zijn in hun cybersecurityverplichtingen kunnen te maken krijgen met publicatie van handhavingsbesluiten. Dit kan gevolgen hebben voor klantvertrouwen, aanbestedingen en zakelijke relaties.
Het is ook belangrijk te beseffen dat niet-registratie je niet vrijstelt van de zorgplicht. Als er een incident plaatsvindt en achteraf blijkt dat je organisatie had moeten voldoen aan NIS2, kan de toezichthouder alsnog handhavend optreden met terugwerkende kracht. De risico’s van niet-registreren wegen dan ook zwaarder dan de inspanning die registratie vergt.
Moet je je opnieuw aanmelden als je organisatie verandert?
Ja, als er wezenlijke wijzigingen optreden in je organisatie ben je verplicht de registratie bij te werken. Dit geldt bijvoorbeeld bij een significante groei in omvang, een fusie of overname, uitbreiding naar nieuwe sectoren of een verandering in de aard van de diensten die je levert. De NIS2-wetgeving vereist dat de geregistreerde informatie actueel blijft.
Denk ook aan wijzigingen in de contactpersoon voor informatiebeveiliging of een verhuizing van de hoofdvestiging naar een ander EU-land. In dat laatste geval kan zelfs de bevoegde toezichthouder veranderen, wat gevolgen heeft voor waar je geregistreerd staat.
Het is verstandig om NIS2-registratie niet als een eenmalige taak te beschouwen, maar als een doorlopende verantwoordelijkheid. Bouw een intern proces in waarbij wijzigingen in de organisatie automatisch worden getoetst aan de registratieverplichtingen. Zo voorkom je dat je door groei of verandering onbedoeld buiten de regels valt.
