Of je nu in België, Nederland of Frankrijk onderneemt, NIS2 voelt al snel als een project met een einddatum. In België was dat 18 maart 2025, de dag waarop essentiële en belangrijke entiteiten zich moesten registreren bij het Centre for Cybersecurity Belgium. In Nederland nadert dat moment nu razendsnel: de Cyberbeveiligingswet, de nationale vertaling van NIS2, treedt naar alle waarschijnlijkheid op 1 juli 2026 in werking. In Frankrijk wordt de Loi Résilience in de loop van 2026 verwacht, met de ANSSI als toezichthouder.
Drie landen, één en dezelfde Europese richtlijn, maar een heel verschillend tempo. En in alle gevallen schuilt hetzelfde risico in één zinnetje dat je vroeg of laat in een directiekamer hoort vallen: “Mooi, we zijn klaar.” Want bij NIS2 begint het toezicht pas op het moment dat de implementatie eindigt.
| Land | Stand van zaken |
|---|---|
| België | Wet van kracht sinds 18 oktober 2024, registratie bij het CCB moest vóór 18 maart 2025. |
| Nederland | Cyberbeveiligingswet, inwerkingtreding naar verwachting 1 juli 2026. Tot dan geldt nog de Wbni. |
| Frankrijk | Loi Résilience, promulgatie verwacht in de loop van 2026, met de ANSSI als toezichthouder. |
Eén richtlijn, drie snelheden
De verwarring is begrijpelijk. NIS2 is een Europese richtlijn die elke lidstaat zelf in nationale wetgeving moet gieten, met 17 oktober 2024 als officiële omzettingsdeadline. België haalde die termijn ongeveer. Nederland en Frankrijk niet: Nederlandse organisaties vallen tot de zomer van 2026 formeel nog onder de oude Wbni, en ook Frankrijk kreeg van de Europese Commissie een formele aanmaning wegens te late omzetting.
Maar dat verschil in timing zegt niets over het verschil in verplichtingen. De onderliggende eisen zijn in heel de EU vrijwel identiek, want ze komen uit dezelfde richtlijn. Een Nederlandse of Franse organisatie die wacht tot de inwerkingtreding om na te denken over haar maatregelen, begint precies even laat als een Belgische organisatie die zich in maart 2025 enkel registreerde en daarna stilviel.
Registreren is niet hetzelfde als compliant zijn
Hier gaat het bij veel organisaties mis. De registratie of de inwerkingtredingsdatum wordt behandeld als de finish, terwijl het in werkelijkheid het startschot is. De richtlijn somt in de volledige NIS2-verplichtingen tien minimale beheersmaatregelen op die je niet één keer instelt, maar doorlopend moet toepassen en kunnen aantonen.
Eén van die maatregelen, artikel 21(2)(g), noemt letterlijk basiscyberhygiëne en cybersecuritytraining. Opleiding is daarmee geen nice-to-have die je erbij doet als er tijd over is, maar een wettelijke eis. Daar komt nog bij dat artikel 20 het bestuur zelf verplicht training te volgen en organisaties aanspoort medewerkers regelmatig vergelijkbaar op te leiden. Aansprakelijkheid voor cybersecurity zit onder NIS2 dus expliciet op directieniveau.
Registreren is niet hetzelfde als compliant zijn. De inwerkingtredingsdatum is het startschot, niet de finish.
Wat de toezichthouder blijft controleren
Het toezicht is in elk land doorlopend van aard. In België kan het CCB proactief bewijs opvragen, in Nederland krijgt de Rijksinspectie Digitale Infrastructuur samen met sectorale toezichthouders een vergelijkbare rol, en in Frankrijk doet de ANSSI dat. Wat telkens terugkeert: kun je aantonen dat je risicobeoordeling actueel is, dat incidenten tijdig worden gemeld, en dat je maatregelen daadwerkelijk worden toegepast?
Die bewijslast is geen momentopname. Aanvallers staan namelijk niet stil. De phishingmail van vorig jaar was nog herkenbaar aan een vreemde aanhef en haperend taalgebruik. De variant van vandaag is met AI geschreven, foutloos, en verwijst naar een echte collega en een lopend project. Je beleid kan dus volledig in orde zijn op papier en tegelijk achterlopen op de praktijk.
De medewerker als bewegend doelwit
Een organisatie is bovendien geen vast gegeven. Er komen nieuwe collega’s binnen die de training van vorig jaar nooit volgden. Bestaande medewerkers vergeten wat ze leerden, want kennis die je één keer aanbiedt, verwatert binnen maanden. En de aanvalstechnieken waartegen je traint, veranderen ondertussen gewoon door.
Het gevolg is een sluipend gat tussen wat je mensen zouden moeten herkennen en wat ze in werkelijkheid herkennen. Dat gat is onzichtbaar in een compliancedossier, maar het is wel het eerste wat een aanvaller benut. De menselijke factor blijft bij de overgrote meerderheid van de incidenten het beginpunt, en dat verandert niet door één keer een e-learning uit te rollen.
Van eenmalig naar doorlopend
Het alternatief is awareness niet behandelen als een sessie, maar als een ritme. In plaats van één jaarlijkse training die mensen zo snel mogelijk wegklikken, werk je met korte, terugkerende momenten die in de flow van het werk passen, afgewisseld met phishingsimulaties die meten of de kennis ook echt beklijft.
Dat lost meteen twee problemen op. Het houdt de kennis vers, omdat herhaling het verschil maakt tussen iets weten en iets doen. En het levert je precies het bewijs dat NIS2 verlangt: voltooiingsgraden, deelnamecijfers en simulatieresultaten die je bij een controle op tafel kunt leggen. Een aanpak met doorlopende security awareness training maakt van de opleidingsverplichting iets wat je kunt aantonen in plaats van iets wat je hoopt te kunnen verdedigen.
Of je deadline nu achter je ligt of net voor je, het echte werk begint pas erna. NIS2 beloont de organisaties die de richtlijn behandelen zoals ze bedoeld is: als een manier van werken, niet als een afvinklijst.
Dit is een ingezonden commerciële bijdrage van Guardey. De redactie is niet verantwoordelijk voor de inhoud.