Naar de inhoud

Taal

Plan een demo

NIS2 Compliance

NIS2: van wetgeving naar herstel dat je kunt aantonen

NIS2 vraagt je aan te tonen dat je organisatie kan blijven draaien en kan herstellen. Mindtime regelt het deel van artikel 21 over back-up en disaster recovery, en levert het bewijs voor je auditor.

Richtlijn
(EU) 2022/2555
Nederland
Cbw · sinds 15 aug. 2026
Duitsland
NIS2UmsuCG · sinds 6 dec. 2025
Ons deel
Art. 21(2)(c)
Valt je organisatie onder NIS2? Vraag een gratis assessment aan

De regelgeving

Tien maatregelen, één wet

Artikel 21 noemt tien gebieden die elke organisatie onder NIS2 moet afdekken, van risicoanalyse tot meervoudige authenticatie.

In je organisatie

Elke maatregel belegd

Het bestuur moet de maatregelen goedkeuren en erop toezien. Schieten ze tekort, dan kan het bestuur aansprakelijk worden gesteld.

Artikel 21(2)(c)

Back-up en herstel, geregeld

Onveranderbare (immutable) back-ups, disaster recovery en getest herstel: de laag voor bedrijfscontinuïteit, door ons beheerd.

Je bewijs

Klaar voor de auditor

Hersteltests, DR-oefeningen en auditlogs, automatisch gedocumenteerd.

Vraag een gratis assessment aan

In het kort

Wat is NIS2?

NIS2, voluit Richtlijn (EU) 2022/2555, is de Europese cyberbeveiligingswet voor essentiële en belangrijke organisaties. De richtlijn eist risicobeheersmaatregelen op tien gebieden en het melden van significante incidenten, te beginnen binnen 24 uur. Het bestuur is voor allebei verantwoordelijk.

Voor wie
Middelgrote en grote organisaties in de sectoren van bijlage I en II, plus een aantal aanbieders, ongeacht hun omvang
Belangrijkste verplichtingen
Beveiligingsmaatregelen (artikel 21), incidentmelding (artikel 23) en verantwoordelijkheid van het bestuur (artikel 20)
Boetes
Een maximumboete van minstens € 10 miljoen of 2% van de wereldwijde omzet voor essentiële entiteiten
Wat Mindtime regelt
Back-up en disaster recovery uit artikel 21(2)(c), met het bewijs

Deze pagina legt de wet uit in gewone taal. Dit is algemene informatie, geen juridisch advies. We hebben de juridische bronnen gecontroleerd op 2 oktober 2026.

Snelle check

Geldt NIS2 voor je bedrijf?

Drie vragen geven je een eerste indicatie. De toezichthouder in je land beslist uiteindelijk. In Nederland moeten organisaties die onder de wet vallen zich zelf registreren.

Vraag 1

Werk je in een van deze sectoren?

Sectoren van hoge kriticiteit (bijlage I)

Energie, vervoer, bankwezen, infrastructuur voor de financiële markten, gezondheidszorg, drinkwater, afvalwater, digitale infrastructuur, beheer van ICT-diensten (inclusief managed service providers), overheid, ruimtevaart

Andere kritieke sectoren (bijlage II)

Post- en koeriersdiensten, afvalbeheer, chemische stoffen, levensmiddelen, maakindustrie (inclusief medische hulpmiddelen, elektronica, machines en voertuigen), digitale aanbieders, onderzoek

Vraag 2

Is je organisatie middelgroot of groter?

Dat wil zeggen: 50 of meer medewerkers, of zowel een jaaromzet als een balanstotaal van meer dan € 10 miljoen.

Vraag 3

Ben je een aanbieder die ongeacht de omvang onder NIS2 valt?

Bijvoorbeeld een aanbieder van openbare elektronische communicatie, een verlener van vertrouwensdiensten, een DNS-dienstverlener of een register voor topleveldomeinen, of een organisatie die de overheid heeft aangewezen.

Je eerste indicatie

Beantwoord de vragen om te zien of NIS2 waarschijnlijk voor je geldt.

Artikel 21(2)

De tien maatregelen, en wie wat doet

Artikel 21 eist "passende en evenredige" maatregelen op tien gebieden. Geen enkele leverancier dekt ze allemaal af. Hieronder zie je waar Mindtime past.

  1. a

    Risicoanalyse en beleid voor de beveiliging van informatiesystemen

    Je organisatie stelt het beleid op en beoordeelt de risico's.

    Jij
  2. b

    Incidentenbehandeling

    Incidenten opsporen, afhandelen en melden: dat proces richt je zelf in.

    Jij
  3. c

    Bedrijfscontinuïteit, zoals back-upbeheer en disaster recovery, en crisisbeheer

    Mindtime regelt back-upbeheer en disaster recovery, met het bewijs van de tests. Crisisbeheer doe je zelf.

    Mindtime
  4. d

    Ketenbeveiliging

    Mindtime is een ISO 27001- en NEN 7510-gecertificeerde leverancier en sluit een verwerkersovereenkomst met je af. Dat helpt bij je leveranciersbeoordeling.

    We helpen
  5. e

    Beveiliging bij aanschaf, ontwikkeling en onderhoud, inclusief het omgaan met kwetsbaarheden

    Je eigen systemen, je eigen patches en je eigen proces voor kwetsbaarheden.

    Jij
  6. f

    Beleid om de effectiviteit van je maatregelen te beoordelen

    Je organisatie controleert zelf of de maatregelen werken. Onze hersteltests leveren daar een deel van de input voor.

    Jij
  7. g

    Basispraktijken voor cyberhygiëne en training in cyberbeveiliging

    Training voor medewerkers en, volgens artikel 20, voor het bestuur.

    Jij
  8. h

    Cryptografie en, waar nodig, versleuteling

    Back-updata gaat met AES-256-versleuteling naar onze datacenters.

    We helpen
  9. i

    Personeelsbeveiliging, toegangsbeleid en beheer van bedrijfsmiddelen

    Wie in je organisatie toegang heeft tot wat.

    Jij
  10. j

    Meervoudige authenticatie en beveiligde communicatie

    Voor beheeracties in de back-upconsole van Mindtime is MFA (meervoudige authenticatie) verplicht. MFA op je eigen systemen regel je zelf.

    We helpen

Artikel 21(2)(c)

Wat NIS2 betekent voor back-up en herstel

De wet vraagt om bedrijfscontinuïteit, "zoals back-upbeheer en disaster recovery". In de praktijk willen auditors drie dingen zien: kopieën die een aanval overleven, herstel dat werkt en bewijs van allebei.

  1. 1

    Back-ups die een aanval overleven

    Onveranderbare kopieën volgens de 3-2-1-1-0-regel, alleen opgeslagen in Nederlandse en Duitse datacenters.

  2. 2

    Herstel dat werkt

    Disaster recovery: je systemen weer draaiend krijgen na een calamiteit. Met standby-infrastructuur en elk kwartaal een geteste failover.

  3. 3

    Bewijs voor de auditor

    Hersteltests, auditlogs en incidentdocumentatie, automatisch vastgelegd.

Backup as a Service Disaster Recovery

Artikel 23

Een significant incident melden in drie stappen

De klok begint te lopen zodra je weet van een significant incident. Melden is je eigen verplichting. Onze herstellogs en herstelverslagen geven je de feiten voor je melding.

  1. 24 uur

    Vroegtijdige waarschuwing

    Of het incident mogelijk is veroorzaakt door onrechtmatige of kwaadwillige handelingen, of grensoverschrijdende gevolgen kan hebben.

  2. 72 uur

    Incidentmelding

    Een update met een eerste beoordeling van het incident, de ernst en de gevolgen.

  3. 1 maand

    Eindverslag

    Uiterlijk een maand na de incidentmelding: een gedetailleerde beschrijving, de waarschijnlijke oorzaak en de genomen maatregelen.

Artikel 20 en 34

Boetes en aansprakelijkheid van het bestuur

Lidstaten moeten bij overtreding van artikel 21 of 23 boetes van minstens deze bedragen kunnen opleggen. Het hoogste van de twee geldt.

  • Essentiële entiteiten

    € 10 miljoen of 2%

    De maximumboete moet minstens dit bedrag zijn, of dit percentage van de totale wereldwijde jaaromzet als dat hoger is.

  • Belangrijke entiteiten

    € 7 miljoen of 1,4%

    De maximumboete moet minstens dit bedrag zijn, of dit percentage van de totale wereldwijde jaaromzet als dat hoger is.

  • Bestuur · artikel 20

    Goedkeuren, toezien, verantwoorden

    Het bestuur moet de maatregelen goedkeuren en toezien op de uitvoering, en kan aansprakelijk worden gesteld. Bestuurders moeten ook een training in cyberbeveiliging volgen.

Ketenbeveiliging

Je leveranciers tellen ook mee

Volgens artikel 21(2)(d) hoort de beveiliging van je directe leveranciers en dienstverleners bij je eigen verplichtingen.

Een back-upleverancier kiezen

Wat je vraagt, en wat wij antwoorden

  • Onafhankelijk gecertificeerd: ISO 27001 en NEN 7510
  • Data alleen opgeslagen in Nederland en Duitsland, onder EU-recht
  • Een verwerkersovereenkomst bij elk contract
  • Onveranderbare back-ups en hersteltests die je aan je auditor kunt laten zien

Voor MSP's

NIS2 kan direct voor je gelden

  • Managed service providers en managed security service providers staan in bijlage I, bij de sectoren van hoge kriticiteit
  • Klanten die onder NIS2 vallen, beoordelen je als leverancier
  • Met Mindtime bied je elke klant gecertificeerde back-up, herstel en het bewijs daarvan
Word partner

Nationale wetgeving

Hoe NIS2 ervoor staat in Nederland en Duitsland

NIS2 is een richtlijn: elk land zet hem om in een eigen wet. Status gecontroleerd op 2 oktober 2026.

  • Nederland · van kracht

    Cyberbeveiligingswet (Cbw)

    Van kracht sinds 15 augustus 2026. Organisaties die eronder vallen, moeten zich registreren in het register van entiteiten, een risicoanalyse uitvoeren en incidenten binnen 24 uur melden.

    Het NCSC over de Cbw

  • Duitsland · van kracht

    NIS2UmsuCG

    De Duitse NIS2-implementatiewet is op 6 december 2025 in werking getreden, zonder overgangstermijnen.

  • Mindtime

    Gebouwd voor allebei

    Datacenters in Nederland en Duitsland, en persoonlijke support in het Nederlands, Duits en Engels.

NIS2-gidsen

Verder verdiepen

Praktische gidsen over elk onderdeel van NIS2, geschreven voor ondernemers en niet voor juristen.

  1. 01Checklist: val je onder NIS2?Sectoren, groottegrenzen en de uitzonderingen, stap voor stap.
  2. 02Eisen voor back-up en DRWat artikel 21(2)(c) vraagt, en hoe je het aantoont.
  3. 03Tijdlijn voor incidentmeldingDe stappen na 24 uur, 72 uur en een maand uitgelegd.
  4. 04Boetes en aansprakelijkheidBoetes, toezichtsmaatregelen en waarvoor het bestuur verantwoordelijk is.
  5. 05KetenbeveiligingZo beoordeel je je leveranciers volgens artikel 21(2)(d).
  6. 06Het model van gedeelde verantwoordelijkheidWaar de taak van Microsoft ophoudt en de jouwe begint, en wat NIS2 van je verwacht.
  7. 07NIS2 voor MSP'sJe eigen verplichtingen, en wat je klanten je gaan vragen.
  8. 08De Nederlandse en Duitse wetHoe het staat met de Cyberbeveiligingswet en de NIS2UmsuCG.
  9. 09DatasoevereiniteitWat het betekent, en waarom de locatie van je data ertoe doet.
  10. 10AI-governance en NIS2Waar AI-tools en je beveiligingsverplichtingen elkaar raken.

Veelgestelde vragen

Vragen die we vaak krijgen

Wat is NIS2?

NIS2, voluit Richtlijn (EU) 2022/2555, is de Europese cyberbeveiligingswet voor essentiële en belangrijke organisaties. De richtlijn eist risicobeheersmaatregelen op tien gebieden (artikel 21) en het melden van significante incidenten, te beginnen binnen 24 uur (artikel 23). Het bestuur is ervoor verantwoordelijk (artikel 20).

Valt mijn bedrijf onder NIS2?

Meestal wel, als je werkt in een sector uit bijlage I of II van de richtlijn en je organisatie middelgroot of groter is: 50 of meer medewerkers, of zowel een jaaromzet als een balanstotaal van meer dan € 10 miljoen. Sommige aanbieders vallen er ongeacht hun omvang onder. Doe de check en laat het bevestigen door de toezichthouder of je adviseur.

Wat eist artikel 21(2)(c)?

Bedrijfscontinuïteit, zoals back-upbeheer en disaster recovery, en crisisbeheer. Mindtime regelt de technische laag van back-up en disaster recovery en documenteert het bewijs. Crisisbeheer blijft je eigen verantwoordelijkheid.

Hoe snel moet ik een incident melden?

Een vroegtijdige waarschuwing binnen 24 uur nadat je van een significant incident weet, een incidentmelding binnen 72 uur en een eindverslag uiterlijk een maand na de incidentmelding.

Hoe hoog zijn de boetes onder NIS2?

Voor essentiële entiteiten moet de maximumboete minstens € 10 miljoen of 2% van de totale wereldwijde jaaromzet zijn, als dat hoger is. Voor belangrijke entiteiten is dat minstens € 7 miljoen of 1,4%. Ook het bestuur kan aansprakelijk worden gesteld.

Sinds wanneer geldt NIS2 in Nederland en Duitsland?

In Nederland is de Cyberbeveiligingswet op 15 augustus 2026 in werking getreden. In Duitsland trad de NIS2-implementatiewet (NIS2UmsuCG) op 6 december 2025 in werking.

Voldoet mijn organisatie aan NIS2 als ik Mindtime gebruik?

Geen enkele leverancier kan ervoor zorgen dat je aan NIS2 voldoet. Mindtime regelt het deel van artikel 21(2)(c) over back-up en disaster recovery en ondersteunt een aantal andere maatregelen. Governance, risicoanalyse, incidentmelding en de overige maatregelen blijven bij je eigen organisatie.

Verder lezen

Volgende stappen

  1. 01Backup as a ServiceOnveranderbare back-up van elke workload, in Nederlandse en Duitse datacenters.
  2. 02Disaster RecoveryStandby-infrastructuur en elk kwartaal een test van je herstelplan.
  3. 03Gratis NIS2-assessment van je back-upWe leggen je back-up en herstel naast artikel 21(2)(c) en laten je zien waar de gaten zitten.