Kernpunt: tot en met juli 2026 heeft geen enkele nationale toezichthouder een NIS2 boetebesluit gepubliceerd dat je tegen een primaire bron kunt controleren. Wat wel vaststaat is het inbreukspoor: de Europese Commissie stuurde op 7 mei 2025 een met redenen omkleed advies naar 19 lidstaten, en verwees op 8 juli 2026 Ierland, Spanje, Frankrijk en Nederland naar het Hof van Justitie van de Europese Unie. De verplichtingen zelf gelden overal waar de nationale wet in werking is, en de eerste die een toezichthouder kan controleren zijn registratie, een door het bestuur goedgekeurd risicobeheerskader, en een werkend meldproces.
Er wordt veel stelligs geschreven over NIS2 boetes en weinig daarvan overleeft een controle bij de toezichthouder zelf. Specifieke bedragen worden aan nationale autoriteiten toegeschreven, en als je ze terugvolgt eindig je bij nog een leveranciersblog, niet bij een besluit, een persbericht of een toezichtsregister. Deze update houdt het daarom bij wat controleerbaar is: de stand van de implementatie, de formele stappen van de Commissie, en de verplichtingen die rechtstreeks uit de richtlijntekst volgen.
Dat is een smaller verhaal dan "de eerste boetes zijn gevallen", en het is een bruikbaarder verhaal. Geen gepubliceerde boete betekent niet geen toezicht. Toezichtscorrespondentie, informatieverzoeken en bestuurlijke maatregelen worden nergens gepubliceerd, dus het eerste signaal dat de meeste organisaties krijgen is een brief, geen krantenkop.
Wat heeft de Europese Commissie feitelijk gedaan?
Het inbreukspoor is het deel van NIS2 handhaving dat volledig gedocumenteerd is, want de Commissie publiceert elke stap. Drie data doen ertoe.
De implementatiedeadline was 17 oktober 2024. Op 7 mei 2025 stuurde de Commissie een met redenen omkleed advies naar 19 lidstaten die volledige omzetting niet hadden gemeld: Bulgarije, Tsjechië, Denemarken, Duitsland, Estland, Ierland, Spanje, Frankrijk, Cyprus, Letland, Luxemburg, Hongarije, Nederland, Oostenrijk, Polen, Portugal, Slovenië, Finland en Zweden. Dat is de formele waarschuwing, geen verwijzing. De Commissie publiceerde die lijst zelf in haar aankondiging van 7 mei 2025.
Op 8 juli 2026 zette de Commissie de volgende stap en verwees Ierland, Spanje, Frankrijk en Nederland naar het Hof van Justitie van de Europese Unie, met het verzoek financiële sancties op te leggen. Dat besluit staat in persbericht IP/26/1499 van de Europese Commissie, 8 juli 2026. Let op wie er op die lijst staat: dat zijn grote economieën waar veel entiteiten binnen scope gevestigd zijn, en de sanctie landt bij de lidstaat, niet bij hen.
De status per land verandert vaak genoeg om die bij de bron te checken in plaats van in een samenvatting. De Commissie houdt een pagina over de NIS2 implementatie bij op het portaal Shaping Europe's digital future.
Zijn er al NIS2 boetes gepubliceerd?
Niet die te controleren zijn. Er circuleren bedragen die aan nationale autoriteiten worden toegeschreven, soms met een land, een maand en een sector erbij. Terugvolgen leidt niet naar een publicatie van een toezichthouder: geen besluit, geen persbericht, geen vermelding in een toezichtsregister. Ik herhaal ze hier niet, en je mag sceptisch zijn over elke adviseur die dat zonder bronlink wel doet.
Twee dingen zijn tegelijk waar. Er is geen gepubliceerde boete, en er is wel degelijk toezicht. Het meeste dat onder artikel 32 en 33 gebeurt wordt nooit openbaar: informatieverzoeken, inspecties ter plaatse, beveiligingsaudits, bindende aanwijzingen en herstelbevelen zijn gericht aan één entiteit en blijven daar. Alleen een formeel boetebesluit zou normaal gesproken naar buiten komen, en zelfs dan verschilt de publicatiepraktijk per lidstaat. Zie het lege scorebord dus als een gevolg van hoe er gerapporteerd wordt, niet als een gratieperiode.
Wat wel zichtbaar is, is dat de machinerie wordt opgebouwd. De Duitse BSI opende het portaal voor registratie en melding voor de ongeveer 29.500 entiteiten die onder de Duitse implementatiewet vallen, beschreven in het persbericht over het BSI-portaal. In Nederland meldt het NCSC dat de Cyberbeveiligingswet op 15 augustus 2026 in werking treedt, met zorgplicht, meldplicht en registratieplicht vanaf die datum.
Hoe ver is de implementatie in de EU?
NIS2 is een richtlijn, wat betekent dat elke EU-lidstaat de richtlijn in nationaal recht moet omzetten. De deadline was 17 oktober 2024. In juli 2026 is de implementatie nog steeds ongelijk. De status van je eigen land doet ertoe, want boetes en toezichtsbevoegdheden zijn pas afdwingbaar zodra de nationale wet in werking is getreden.
Nationale wet van kracht
Verplichtingen gelden en de toezichthouder heeft zijn bevoegdheden.
Zowel lidstaten die nooit een met redenen omkleed advies kregen als lidstaten die daarna alsnog omzetten. De Duitse implementatiewet is van kracht en het BSI-portaal voor registratie en melding is open.
Laat geïmplementeerd, toezicht nog in opbouw
Wet net aangenomen of vlak voor inwerkingtreding.
Nederland zit hier: de Cyberbeveiligingswet treedt op 15 augustus 2026 in werking, zonder aparte overgangstermijn, dus verplichtingen gelden vanaf dag één.
Nog niet volledig
Omzetting niet gemeld. Verwezen naar het Hof van Justitie op 8 juli 2026.
Ierland, Spanje, Frankrijk en Nederland, volgens persbericht IP/26/1499. Check de actuele status op de implementatiepagina van de Commissie.
Wat dit in de praktijk betekent: Zelfs als jouw lidstaat de richtlijn nog niet volledig heeft geïmplementeerd, ben je waarschijnlijk op drie manieren toch geraakt. Klantcontracten kunnen compliance vereisen onder de wet van een andere lidstaat. Je groepsholding kan onderworpen zijn in een land dat al heeft geïmplementeerd. En geharmoniseerde richtsnoeren van de Commissie gelden in de hele interne markt, ongeacht lokale vertraging. Behandel de richtlijn alsof die overal al van kracht is.
De plafonds uit artikel 34 worden een stuk concreter met je eigen cijfers erin. Omzet en classificatie zijn alles wat de boeteberekening nodig heeft, en een e-mailadres komt er niet aan te pas.
Waar vraagt een toezichthouder als eerste om?
Zonder gepubliceerde besluiten om op te redeneren is de eerlijke basis de richtlijntekst plus wat nationale autoriteiten tot nu toe hebben ingericht, en dat wijst in elke lidstaat dezelfde kant op. Drie verplichtingen zijn op papier te controleren, en die komen daarom eerst.
Prioriteit 1: gedocumenteerde governance en bestuurlijke goedkeuring
Kun je een schriftelijk, door het bestuur goedgekeurd cybersecuritybeleid en een risicobeoordeling overleggen? Artikel 20 legt de goedkeuring van de maatregelen uit artikel 21 bij het bestuur en verplicht bestuurders zelf tot scholing, dus die goedkeuring is geen formaliteit die je achteraf reconstrueert. Het is het snelst te controleren en het moeilijkst te vervalsen.
Prioriteit 2: naleving van incidentmelding
Artikel 23 legt een meldingsregime in drie fasen op: een vroegtijdige waarschuwing binnen 24 uur, een incidentmelding binnen 72 uur, en een eindrapport binnen één maand. Een gemiste melding is een afzonderlijke, gedateerde, bewijsbare overtreding die op zichzelf staat, los van hoe goed je maatregelen zijn. Het is het schoonste dat een toezichthouder achteraf kan vaststellen.
Prioriteit 3: registratie en identificatie van de entiteit
Artikel 3, vierde lid, van de richtlijn verplicht lidstaten om entiteiten binnen scope hun identificerende gegevens te laten indienen, en elke nationale implementatie neemt dat over. Niet registreren is een binaire bevinding: je staat in het register of je staat er niet in. Het is de makkelijkste tekortkoming om te vinden en een van de makkelijkste om te herstellen, dus een slechte om op betrapt te worden.
5 werkaannames zolang handhaving stil is
Papierwerk wint het van tooling bij een eerste bezoek
Een toezichthouder kan je SIEM-configuratie niet zinvol beoordelen in een middag, maar stelt in minuten vast of er een ondertekend cybersecuritybeleid en een risicoregister zijn. Investeer proportioneel. Governance-documentatie is goedkoper dan nieuwe tools en dicht precies het gat dat bij een eerste bezoek bereikbaar is.
Bestuurdersaansprakelijkheid staat in de tekst, of die nu gebruikt is of niet
Artikel 20 legt goedkeuring en toezicht op de risicobeheersmaatregelen bij het bestuur en verplicht bestuurders tot scholing. Artikel 32, vijfde lid, laat toezichthouders iemand tijdelijk uit een bestuursfunctie bij een essentiële entiteit zetten. Geen enkele openbare zaak heeft dat tot nu toe getoetst. Dat is een reden om goedkeuringsdossiers en trainingsbewijs op orde te hebben, geen reden om aan te nemen dat de bevoegdheid decoratief is.
Middelgrote entiteiten zijn niet te klein om binnen scope te vallen
Scope volgt de sector en de omvangsdrempel, niet de bekendheid. Een entiteit die 50 medewerkers of 10 miljoen euro omzet passeert in een sector uit bijlage I of II valt op precies dezelfde voorwaarden binnen scope als een bekende naam. Er is geen uitzondering voor onopvallend zijn.
Incidentmelding is een aparte handhavingsroute
Een entiteit kan volledig compliant zijn met de risicomaatregelen van artikel 21 en toch beboet worden voor tekortkomingen in de melding onder artikel 23. Behandel incidentmelding als een aparte, specifiek gefinancierde werkstroom met benoemde rollen, getrainde responders en geteste kanalen naar je nationale autoriteit.
Toezicht op de toeleveringsketen komt snel dichterbij
Meerdere toezichtsprogramma's van 2026 hebben specifieke thematische reviews van de toeleveringsketen aangekondigd. Toezichthouders zullen vragen hoe je je kritieke leveranciers identificeert, beoordeelt, en contractueel bindt. Als je leverancierslijst meer dan een paar dozijn namen telt, begin nu met tiering en documenteren. Verwacht dat je binnen twaalf maanden hierom gevraagd wordt.
Wat bereid je nu voor?
Als je nog niet begonnen bent met een gestructureerd NIS2 programma: de deadline verliep in oktober 2024, en je speelruimte is wat je nationale wet je geeft. Hier is een geprioriteerde lijst, geordend naar wat een toezichthouder het snelst kan vaststellen.
Prioriteiten Q2 2026
- Bevestig je entiteitsclassificatie (essentieel versus belangrijk) en registreer bij de nationale autoriteit als dat nog niet is gebeurd.
- Stel een door het bestuur goedgekeurd cybersecuritybeleid op of werk het bij, met een expliciete verwijzing naar artikel 21 van NIS2.
- Documenteer je meldingsproces onder artikel 23 met benoemde rollen, drempelwaarden, en een getest kanaal naar je nationale CSIRT.
- Organiseer bestuurstraining over cybersecurityrisico en goedkeuring. Bewaar de aanwezigheidsregistratie.
Prioriteiten Q3 2026
- Voltooi een risicobeoordeling van de toeleveringsketen. Verdeel je kritieke leveranciers in tiers, breng concentratierisico in kaart, en voeg NIS2-conforme contractclausules toe.
- Voer een tabletop-oefening uit die een significant incident simuleert met de volledige meldingstermijn van artikel 23.
- Voer een onafhankelijke gap analyse uit tegen de 10 maatregelen van artikel 21. Prioriteer de top drie restrisico's.
- Stel een readiness pack voor een audit samen: registratie, beleid, risicoregister, bewijslog, incidentregistraties, trainingsdossiers, leverancierslijst. Eén map, klaar om aan een toezichthouder te overhandigen.
Veelgestelde vragen
Is er al een NIS2 boete gepubliceerd?
Tot en met juli 2026 heeft geen enkele nationale toezichthouder een NIS2 boetebesluit gepubliceerd dat je tegen een primaire bron kunt controleren. Bedragen die op leveranciersblogs rondgaan, zijn niet terug te voeren op een publicatie van een toezichthouder. Dat zegt iets over wat openbaar is, niet over wat er gebeurt: toezichtscorrespondentie en bestuurlijke maatregelen worden doorgaans niet gepubliceerd, dus een leeg scorebord is geen bewijs dat er geen toezicht is.
Welke landen hebben NIS2 in 2026 volledig geïmplementeerd?
Implementatie verloopt nog steeds ongelijk. Op 7 mei 2025 stuurde de Europese Commissie een met redenen omkleed advies naar 19 lidstaten die volledige omzetting niet hadden gemeld. Op 8 juli 2026 verwees zij Ierland, Spanje, Frankrijk en Nederland naar het Hof van Justitie en vroeg om financiële sancties. De implementatiepagina van de Commissie geeft de actuele status per land.
Kan mijn organisatie beboet worden als mijn land NIS2 nog niet heeft geïmplementeerd?
Nationale bestuurlijke boetes vereisen een nationale implementatiewet die van kracht is. Maar je blootstelling is breder dan dat. Als je groep actief is in een lidstaat die al heeft geïmplementeerd, ben je daar onderworpen. Als je klanten of contracten onder geïmplementeerde wetten vallen, gelden doorwerkingsverplichtingen. En zodra jouw land implementeert, kan de toezichthouder historische significante incidenten alsnog opnieuw bekijken.
Wat zijn de maximale boetes onder NIS2?
Voor essentiële entiteiten, tot 10 miljoen euro of 2 procent van de wereldwijde jaaromzet, wat hoger is. Voor belangrijke entiteiten, tot 7 miljoen euro of 1,4 procent van de wereldwijde jaaromzet. Naast geldboetes kunnen toezichthoudende autoriteiten certificeringen opschorten, bindende aanwijzingen geven, en in sommige lidstaten individuen tijdelijk uit bestuursfuncties zetten.
Waar vraagt een toezichthouder als eerste om?
De verplichtingen die op papier controleerbaar zijn: registratie bij de nationale autoriteit op grond van artikel 3, vierde lid, een door het bestuur goedgekeurd risicobeheerskader op grond van artikel 21 met de bestuursverantwoordelijkheid uit artikel 20, en een werkend meldproces op grond van artikel 23. Alle drie zijn governance- en procesverplichtingen, geen technische, en alle drie staan letterlijk in de richtlijn.
Komen er NIS2 boetes in 2026?
Boetes zijn een kwestie van nationaal recht en nationale toezichtspraktijk, dus niemand buiten de autoriteiten kan het moment eerlijk voorspellen. Wat wel vaststaat: de grondslag bestaat overal waar de implementatie rond is, en de bevoegdheden uit de artikelen 32 tot en met 34 zijn beschikbaar zodra de nationale wet in werking is.
Hoe kiezen toezichthouders welke entiteiten ze inspecteren?
De richtlijn zet het kader. Artikel 32 geeft toezichthouders proactieve bevoegdheden bij essentiële entiteiten, inclusief inspecties ter plaatse en beveiligingsaudits zonder voorafgaand incident. Artikel 33 beperkt toezicht op belangrijke entiteiten tot achteraf, dus na aanwijzingen van een overtreding, een incidentmelding of een klacht. Hoe elke autoriteit binnen dat kader prioriteert, wordt nationaal bepaald.
Ben je klaar voor een NIS2 audit?
Wij helpen essentiële en belangrijke entiteiten een verdedigbaar NIS2 bewijsdossier voor te bereiden: beleid, risicoregister, incidentprocedures, leveranciersoverzicht, trainingsdossiers. De dingen waar een toezichthouder bij een eerste bezoek om vraagt.
Vraag een readiness review aanGerelateerde artikelen
NIS2 boetes uitgelegd
Hoe NIS2 boetes worden berekend en de persoonlijke aansprakelijkheid voor bestuurders.
NIS2 incident response playbook
De 24/72-uurs meldingsklok en hoe je een significant incident beheert.
Hoe je je voorbereidt op een NIS2 audit
Hoe de toezichtsbevoegdheden achter de handhaving eruitzien als ze bij je op de stoep staan.
NIS2 registratievereisten
De registerinschrijving die bepaalt welke autoriteit als eerste contact met je opneemt.