NIS2 in oktober 2026: zo staat de omzetting ervoor

Gepubliceerd 19 oktober 2026 · Door Dazr

Twee jaar na de deadline staan vier lidstaten voor het Europese Hof van Justitie, terwijl Duitsland, Nederland en Oostenrijk NIS2-wetten toepassen.

De lidstaten hadden tot 17 oktober 2024 om de NIS2-richtlijn om te zetten in nationale wetgeving. Twee jaar later heeft de meerderheid dat gedaan, werken enkele landen er nog aan en heeft de Europese Commissie er vier voor de rechter gedaagd.

Vier landen voor het Hof van Justitie

Op 8 juli 2026 heeft de Commissie Ierland, Spanje, Frankrijk en Nederland voor het Hof van Justitie van de EU gedaagd, omdat zij geen volledige omzetting van NIS2 hadden gemeld. Zij vraagt het Hof om financiële sancties: een forfaitaire som en dwangsommen per dag tot de omzetting compleet is. De procedure begon met ingebrekestellingen op 28 november 2024, gevolgd door met redenen omklede adviezen op 7 mei 2025.

Wetten die nu gelden

Duitsland: de NIS2-uitvoeringswet is op 5 december 2025 gepubliceerd in het Bundesgesetzblatt (BGBl. 2025 I Nr. 301) en geldt sinds 6 december 2025. Entiteiten hadden drie maanden om zich bij het BSI te registreren. Volgens het BSI is die termijn verstreken en moet wie nog niet geregistreerd is dat direct doen.
Nederland: de Cyberbeveiligingswet (Cbw) is op 15 augustus 2026 in werking getreden, na de verwijzing naar het Hof, samen met de Wet weerbaarheid kritieke entiteiten (Wwke). De Cbw vervangt de Wbni, en entiteiten moeten zich registreren bij het NCSC.
Oostenrijk: het NISG 2026 (BGBl. I Nr. 94/2025) geldt sinds 1 oktober 2026 en vervangt het NISG 2018.
Italië: wetsdecreet 138/2024 geldt sinds 16 oktober 2024.

Nog onderweg

Frankrijk: het wetsvoorstel over de weerbaarheid van kritieke infrastructuur en cybersecurity, dat NIS2 samen met de CER-richtlijn en de DORA-richtlijn omzet, is op 12 maart 2025 in eerste lezing door de Senaat aangenomen. De commissie van de Assemblée nationale stelde haar tekst vast op 10 september 2025; het wetgevingsproces is nog niet afgerond.
Spanje: de ministerraad keurde op 14 januari 2025 het voorontwerp van de wet op de coördinatie en governance van cybersecurity goed. Tot er een nieuwe wet in het BOE staat, blijft Real Decreto-ley 12/2018, de omzetting van de eerste NIS-richtlijn, van kracht.
Ierland: het General Scheme van de National Cyber Security Bill is in augustus 2024 gepubliceerd. De wet is nog niet aangenomen.

Voorgestelde wijzigingen

Op 20 januari 2026 stelde de Commissie in een cybersecuritypakket gerichte wijzigingen van NIS2 voor: eenvoudiger regels over welk land bevoegd is, gestroomlijnde verzameling van gegevens over ransomware-aanvallen en een nieuwe categorie van kleine midcap-ondernemingen. Volgens de Commissie wordt naleving daardoor makkelijker voor 28.700 bedrijven. Het zijn voorstellen; tot ze zijn aangenomen gelden de huidige richtlijn en de nationale wetten.

Wat dit in de praktijk betekent

Controleer elk land waar u actief bent. Registratieplicht, toezichthouders, termijnen en boetes zijn nationaal geregeld en verschillen.
Registreer eerst. Waar een wet geldt, is registratie bij de nationale autoriteit meestal de eerste en vaak een korte termijn.
Wacht niet op een late wet. Uw verplichtingen volgen uit de nationale wet en beginnen dus wanneer die geldt. Klanten en overheidsinkopers vragen nu al naar de maatregelen van artikel 21 en naar zekerheid over leveranciers, en Uitvoeringsverordening (EU) 2024/2690 werkt die maatregelen voor digitale dienstverleners in detail uit.

Bronnen

Ter informatie, geen juridisch advies. Laatst bijgewerkt op 19 oktober 2026.

Onderwerpen: NIS2, EU, Omzetting

Ook beschikbaar in: English, Italiano, Deutsch, Français, Español, Polski, Português, Română, Čeština, Slovenčina, Dansk, Svenska, Norsk bokmål