Which public administration entities are in scope of NIS2?

NIS2 automatically covers public administration entities at central government level. Regional public administration is in scope when included by the member state. Local authorities are a member state option and differ country by country. Parliaments, central banks, judiciary, and national security bodies are generally excluded.

How does NIS2 differ across the Netherlands, Germany, France, and Belgium?

In the Netherlands, the Cyberbeveiligingswet (Cbw) transposes NIS2 and includes central government and designated regional and local entities. Germany transposes NIS2 through NIS2UmsuCG, covering federal administration and selected state entities depending on state laws. France uses a dedicated transposition with ANSSI as central regulator and an explicit public administration scope. Belgium aligns federal administration through the CCB as competent authority, with regional coverage subject to regional laws.

Are public administration entities essential or important?

Central government public administration entities are listed under Annex I and classified as essential entities. Regional and local administration, when in scope, are typically also treated as essential under national law, though classification can vary.

What are the top cyber risks for government?

Public administration faces politically motivated attacks, ransomware on municipal services, theft of citizen data, legacy system exposure, and supply chain compromise through IT service providers. Identity systems, citizen portals, and inter-agency integrations are frequent targets.

How does NIS2 relate to existing national public-sector security laws?

Many member states already have baseline security frameworks for public administration. In the Netherlands this includes the BIO baseline, in Germany the IT-Grundschutz from BSI, in France SecNumCloud and the RGS, and in Belgium the BOSA and CCB frameworks. NIS2 overlays horizontal duties on these, and effective implementation aligns the two so evidence produced for one serves both.

Does procurement law change under NIS2?

Procurement rules do not change, but contract clauses and supplier assessments do. Article 21 supply chain duties require a structured approach to cybersecurity in public contracts, including security clauses, breach notification duties, and audit rights. Expect updated framework agreements and standard contract templates.

Who is personally accountable inside a public administration?

Article 20 places accountability on the management body. In a public administration this typically means the director general, secretary general, or equivalent senior executive, depending on national structure. These individuals must approve cybersecurity measures, oversee their implementation, and follow cybersecurity training.

How long does NIS2 implementation take for a public entity?

For a central government ministry with an existing BIO, Grundschutz, or equivalent baseline, six to twelve months is realistic to reach NIS2 readiness. Municipalities and regional bodies without strong baseline security can expect twelve to twenty-four months, often moving in parallel with broader modernisation programs.

NIS2 openbaar bestuur: rijk, regio en de Cbw

Kern voor het openbaar bestuur

De rijksoverheid valt standaard onder bijlage I.
Provincies en gemeenten zijn een keuze van de lidstaat, en die keuze verschilt door de EU heen.
Nationale basisnormen voor de publieke sector (BIO, Grundschutz, RGS, BOSA) blijven gelden en sluiten meestal aan op NIS2.
De bekendste risico's zijn verouderde systemen, politiek gemotiveerde aanvallen, en de keten via IT-dienstverleners.
De aanbestedingsregels blijven gelijk, maar contractclausules moeten nu verplichtingen over beveiliging bevatten.

Scope per lidstaat

NIS2 zet openbaar bestuur in bijlage I, maar laat lidstaten ruimte. De richtlijn omschrijft de rijksoverheid als de entiteiten die volgens nationaal recht zijn aangewezen. Provincies en gemeenten zijn optioneel. Daardoor verschilt het beeld flink per land, en is de eerste stap voor elke overheidsorganisatie het lezen van de nationale wet, niet alleen van de richtlijn.

Nederland

De Cyberbeveiligingswet (Cbw) zet NIS2 om. De wet dekt ministeries, uitvoeringsorganisaties en bij besluit aangewezen regionale en lokale organisaties. De Cbw bouwt voort op de bestaande BIO, en veel verplichtingen zijn een op een te koppelen. Het NCSC is het nationale CSIRT en toezichthouder voor grote delen van de publieke sector, met de RDI en sectorale toezichthouders in andere domeinen. Gemeenten en waterschappen kunnen erop rekenen dat ze stapsgewijs binnen scope komen.

Duitsland

Duitsland zet NIS2 om via het NIS2 Umsetzungs- und Cybersicherheitsstaerkungsgesetz, dat de BSI-wet aanpast. De federale overheid valt eronder. De deelstaten regelen hun eigen bestuur via eigen cyberwetgeving, die per deelstaat verschilt in volwassenheid. Het BSI blijft de centrale autoriteit voor normen en toezicht op federaal niveau, en IT-Grundschutz vormt de basis die de meeste federale organisaties al gebruiken.

Frankrijk

Frankrijk zet NIS2 om via een aparte wet over cyberweerbaarheid, met ANSSI als centrale autoriteit. De scope omvat uitdrukkelijk de rijksdiensten en reikt selectief naar decentrale overheden via nationale en regionale besluiten. Bestaande kaders zoals de RGS en SecNumCloud voor clouddiensten sluiten aan op de NIS2-verplichtingen, en ANSSI publiceert sectorleidraden voor het openbaar bestuur die direct op artikel 21 aansluiten.

België

De Belgische omzetting wordt centraal gecoördineerd door het Centrum voor Cybersecurity België, de nationale autoriteit onder NIS2. De federale overheid valt rechtstreeks onder de omzetting, terwijl de gewesten (Vlaanderen, Wallonië, Brussel) via eigen regelgeving aansluiten met het CCB als centraal aanspreekpunt. BOSA levert gedeelde diensten en basisnormen die federaal breed worden gebruikt.

De grootste cyberrisico's voor de overheid

Politiek gemotiveerde aanvallen

Het openbaar bestuur is een geliefd doelwit van hacktivisten en aan staten gelieerde groepen rond geopolitieke gebeurtenissen, verkiezingen en grote besluiten. DDoS op burgerportalen, bekladde websites en gerichte phishing op ministeries zijn routine. De continuïteitsplicht uit NIS2 vraagt vastgelegde plannen voor respons en communicatie bij die scenario's.

Ransomware bij gemeenten

Gemeentelijke IT is vaak minder volwassen dan die van het rijk, met mensen die meerdere petten dragen, beperkte budgetten en zware afhankelijkheid van een handvol leveranciers. Ransomware heeft in verschillende Europese gemeenten burgerzaken, vergunningen en sociale diensten wekenlang platgelegd.

Burgergegevens en identiteitssystemen

Identiteitsvoorzieningen, burgerportalen en zaaksystemen bevatten gevoelige gegevens. Een inbraak heeft operationele en politieke gevolgen. Segmentatie, beheer van hoge rechten en stevige logging op die systemen leveren onder artikel 21 het meeste op.

Verouderde systemen

Overheden draaien enkele van de oudste productiesystemen van Europa. Systemen voor belastingen, sociale zekerheid en het kadaster stammen vaak uit een tijd voor moderne beveiliging. NIS2 dwingt geen vervanging af, maar vraagt wel vastgelegde risicobehandeling, aanvullende maatregelen, en een moderniseringsplan met haalbare mijlpalen.

Keten en gedeelde diensten

Overheden leunen zwaar op gedeelde diensten, raamcontracten en een kleine groep grote IT-leveranciers. Een inbraak bij een shared service center of een IT-dienstverlener werkt bij veel organisaties tegelijk door. De ketenverplichtingen uit artikel 21 vragen om gestructureerd toezicht en bijgewerkte modelcontracten.

NIS2 naast de nationale basisnormen

Het patroon is overal hetzelfde: stapelen, niet vervangen.

Nederland. De Cbw ligt bovenop de BIO. Gebruik de BIO als set maatregelen en voeg de NIS2-verplichtingen toe rond melden, de keten en bestuurlijke verantwoordelijkheid.
Duitsland. Het NIS2UmsuCG ligt bovenop de BSI-wet en IT-Grundschutz. Grundschutz blijft de catalogus met maatregelen. NIS2 voegt melden en verantwoordelijkheid toe.
Frankrijk. De leidraden van ANSSI, de RGS en SecNumCloud blijven gelden. NIS2 sluit daarop aan via de sectorgidsen van ANSSI.
België. De basisnormen van BOSA en de leidraden van het CCB blijven het uitgangspunt. NIS2 voegt meldstromen en verplichtingen voor het bestuursorgaan toe.

Wat je uiteindelijk wilt hebben, is één raamwerk dat je nationale basisnorm koppelt aan artikel 21, met bewijs dat je één keer vastlegt en vaker gebruikt.

Een routekaart van 30 dagen, 90 dagen en 12 maanden

Eerste 30 dagen: helderheid

Lees de nationale omzetting en bepaal de scope voor jouw organisatie, inclusief besluiten die regionale of lokale organisaties aanwijzen.
Koppel je bestaande basisnorm (BIO, Grundschutz, RGS, BOSA) aan artikel 21 en benoem het verschil.
Wijs een verantwoordelijke topfunctionaris aan (directeur-generaal, secretaris-generaal of gelijkwaardig) en zet een stuurgroep op.
Leg de meldketen naar het nationale CSIRT en de sectortoezichthouder vast, inclusief bereikbaarheid buiten kantooruren.

Dag 30 tot 90: stabiliseren

Geef het bestuursorgaan de verplichte training over cybersecurity.
Publiceer of vernieuw het beveiligingsbeleid, met goedkeuring op het hoogste niveau.
Pak de snelste winst rond identiteit en toegang: meervoudige authenticatie voor beheerders, gedeelde beheeraccounts weg, en herziene toegang tot burgergerichte systemen.
Doe een tafeloefening met ransomware waarin je zowel de operationele respons als de communicatie naar buiten beoefent.

Maand 4 tot 12: volhouden

Breng de ketenverplichtingen naar inkoop: standaardclausules over beveiliging, beoordeling van leveranciers, en bijgewerkte raamcontracten.
Versnel de aanpak van verouderde systemen: vastgelegde risicoacceptatie, aanvullende maatregelen, en haalbare moderniseringsmijlpalen.
Sluit de NIS2-melding aan op bestaande nationale meldplichten, zodat je niet dubbel meldt.
Doe een interne audit tegen artikel 21 en dicht de bevindingen voordat de eerste externe toets komt.

Veelgestelde vragen

Welke overheidsorganisaties vallen binnen scope?

De rijksoverheid valt er standaard onder. Of provincies en gemeenten meedoen, bepaalt de lidstaat. Parlementen, centrale banken, de rechterlijke macht en organisaties op het gebied van nationale veiligheid vallen er doorgaans buiten.

Hoe verschilt NIS2 per lidstaat?

Nederland gebruikt de Cbw en bouwt op de BIO. Duitsland gebruikt het NIS2UmsuCG en bouwt op Grundschutz. Frankrijk heeft een eigen wet met leidraden van ANSSI en de RGS. België wordt centraal gecoördineerd door het CCB met de basisnormen van BOSA. Lees dus de nationale tekst, niet alleen de richtlijn.

Essentieel of belangrijk?

De rijksoverheid is onder bijlage I essentieel. Regionale en lokale organisaties die binnen scope komen, worden meestal ook als essentieel behandeld, al hangt dat af van de nationale wet.

Wat zijn de grootste risico's?

Politiek gemotiveerde aanvallen, ransomware bij gemeenten, inbraak op burgergegevens, verouderde systemen, en blootstelling via IT-dienstverleners.

Hoe verhoudt NIS2 zich tot de nationale basisnormen?

De nationale basisnorm blijft de set maatregelen waarmee je werkt. NIS2 voegt verplichtingen toe rond melden, de keten en verantwoordelijkheid van het bestuursorgaan. Koppel beide in één raamwerk zodat je niets dubbel doet.

Verandert het aanbestedingsrecht?

De aanbestedingsregels veranderen niet, maar de ketenverplichtingen uit artikel 21 vragen om bijgewerkte clausules, beoordeling van leveranciers en auditrechten. Reken op nieuwe modelclausules en herziene raamcontracten.

Wie is persoonlijk verantwoordelijk?

Het bestuursorgaan is verantwoordelijk onder artikel 20. Bij een overheidsorganisatie is dat meestal de directeur-generaal, de secretaris-generaal of een gelijkwaardige topfunctionaris. Die keurt de maatregelen goed, houdt toezicht op de uitvoering en volgt training.

Hoe lang duurt de invoering?

Een ministerie met een volwassen basisnorm is er meestal in zes tot twaalf maanden klaar voor. Gemeenten en regionale organisaties zonder stevige basis rekenen op twaalf tot vierentwintig maanden, vaak samen met bredere IT-vernieuwing.

NIS2 voor het openbaar bestuur