NIS2 en de AVG beschermen deels dezelfde digitale omgeving, maar stellen verschillende juridische vragen. NIS2 gaat over de beveiliging van netwerk- en informatiesystemen en de weerbaarheid van bepaalde entiteiten. De AVG beschermt personen bij de verwerking van hun persoonsgegevens. Een verstoring kan daarom onder beide regimes vallen, onder slechts één regime vallen of onder geen van beide een verplichte externe melding veroorzaken. Dat moet uit de feiten blijken.
In Nederland is de NIS2-richtlijn uitgewerkt in de Cyberbeveiligingswet, afgekort Cbw. Deze wet en het Cyberbeveiligingsbesluit gelden sinds 15 augustus 2026. Dat volgt uit artikel 35 van het gepubliceerde Cyberbeveiligingsbesluit en wordt bevestigd door het NCSC-overzicht van de geldende wet. Voor Nederlandse verplichtingen is alleen verwijzen naar de Europese richtlijn dus onvoldoende: de nationale wet, uitvoeringsregels en toepasselijke sectorregels moeten worden meegenomen.
Het beschermingsdoel bepaalt welke risico’s u beoordeelt
De Cbw vraagt een passende beheersing van beveiligingsrisico’s voor de systemen die een betrokken entiteit gebruikt voor haar werkzaamheden of diensten. Het gaat niet uitsluitend om bestanden met persoonsgegevens. Een storing in industriële besturing, een onbeschikbare technische dienst of een aantasting van systeemintegriteit kan relevant zijn zonder dat klantgegevens uitlekken. Ook gevolgen voor afnemers en andere diensten horen bij de beoordeling.
De AVG begint bij de verwerking van persoonsgegevens. Daarbij zijn bijvoorbeeld vertrouwelijkheid, juistheid, beschikbaarheid en rechtmatigheid relevant. Een beveiligd systeem kan nog steeds een onrechtmatige verwerking uitvoeren, bijvoorbeeld als de organisatie gegevens zonder geldige grondslag voor een nieuw doel gebruikt. Andersom kan een rechtmatig ingerichte klantenadministratie onvoldoende beschermd zijn tegen verlies. Een beveiligingsaudit beantwoordt daarom niet automatisch alle privacyvragen.
Deze verschillende doelen veranderen ook de risicobeschrijving. Bij de Cbw kan de uitval van een dienst maatschappelijke of economische gevolgen hebben. Bij de AVG moeten de gevolgen voor de rechten en vrijheden van mensen zichtbaar zijn, zoals identiteitsmisbruik, discriminatie of het niet tijdig ontvangen van noodzakelijke zorg. Gebruik in een gezamenlijk dossier afzonderlijke gevolgenrubrieken, zodat schade aan de organisatie niet ongemerkt de plaats inneemt van schade aan personen.
Toepasselijkheid: een privacyrol is geen NIS2-classificatie
De AVG is binnen haar materiële en territoriale toepassingsgebied van toepassing op verwerking van persoonsgegevens. Of een organisatie verwerkingsverantwoordelijke of verwerker is, hangt af van haar feitelijke rol bij de verwerking. De organisatie kan voor eigen personeelsgegevens verantwoordelijke zijn en voor een klantendienst verwerker. Het aantal medewerkers of het ontbreken van een NIS2-sector maakt zulke verwerkingen niet vanzelf vrijgesteld van de AVG.
Voor de Cbw onderzoekt u eerst de entiteit, haar activiteiten, de wettelijke sectorindeling en de Nederlandse rechtsmacht. Daarna volgen de criteria voor essentiële of belangrijke entiteiten. Omvang speelt vaak een rol, maar niet altijd. Bepaalde digitale aanbieders vallen bijvoorbeeld vanwege hun soort dienst onder de wet; daarnaast bestaan aanwijzingsmogelijkheden en specifieke regels voor overheidsinstanties. Een algemene vuistregel van vijftig medewerkers is daarom geen volledige toepasselijkheidstoets.
Ook de omvangstoets zelf verdient aandacht. Waar de wet verwijst naar de Europese ondernemingsdefinitie, moeten de betreffende personeels- en financiële criteria en eventuele verbonden of partnerondernemingen worden beoordeeld. Alleen het personeelsbestand van één lokale vestiging tellen kan een verkeerd resultaat geven. De uitleg over essentiële en belangrijke entiteiten helpt de classificatie te structureren, maar de uitkomst moet op de eigen rechtsvorm en activiteiten worden toegepast.
Leg vast welke bepaling uw conclusie draagt en wie haar opnieuw beoordeelt bij groei, overname of een nieuwe dienst. Een leverancier kan buiten de eigen Cbw-reikwijdte vallen en toch beveiligingsvragen van klanten ontvangen. Dat maakt hem niet automatisch zelf een essentiële entiteit. Evenmin ontstaat een AVG-verwerkersrol alleen doordat een klant hem een uitgebreid beveiligingsformulier laat invullen.
De Wbni is vervangen; eerdere dossiers blijven bruikbaar
Artikel 106 van de geldende Cyberbeveiligingswet trekt de Wet beveiliging netwerk- en informatiesystemen in. Een oud Wbni-dossier kan technische maatregelen, contactpersonen en incidentervaring bevatten die nog waardevol zijn. Het bewijst echter niet zonder verdere vergelijking dat de nieuwe classificatie, meldroute en bestuursverplichtingen correct zijn uitgevoerd. Behandel de overgang als een inhoudelijke controle van het bestaande dossier.
Het artikel over de Wbni en de Nederlandse overgang biedt achtergrond voor organisaties die eerder al onder het netwerkbeveiligingsregime vielen. Voor de huidige uitvoering moet duidelijk zijn welke entiteit geregistreerd is en welke bevoegde autoriteit en welk CSIRT bij haar horen. Registratie in het nationale Cbw-register is bovendien iets anders dan een intern AVG-verwerkingsregister: het ene vervangt het andere niet.
Beveiligingsmaatregelen overlappen, hun onderbouwing verschilt
Artikel 32 AVG verlangt passende technische en organisatorische maatregelen, rekening houdend met onder meer de stand van de techniek, uitvoeringskosten en risico’s voor personen. Het noemt onder voorwaarden onder andere versleuteling, vertrouwelijkheid, integriteit, beschikbaarheid, herstelvermogen en regelmatige beoordeling van de effectiviteit. Het Nederlandse overzicht van artikel 32 en beveiliging werkt uit hoe u deze verplichting op een verwerking toepast.
Artikel 21 Cbw verlangt passende en evenredige technische, operationele en organisatorische maatregelen op basis van een benadering die alle gevaren omvat. De onderwerpen omvatten onder meer incidentenbehandeling, continuïteit, leveranciersbeveiliging, kwetsbaarheden, toegang en opleiding. De wet maakt daarbij onderscheid tussen verplichte onderwerpen en de concrete uitwerking die bij het risico past. Een maatregel is niet voor iedere organisatie in precies dezelfde configuratie voorgeschreven.
Een geteste back-up kan aan beide regimes bijdragen. Het Cbw-dossier moet laten zien welke dienst ermee wordt hersteld en welke afhankelijkheden blijven bestaan. Het AVG-dossier moet daarnaast laten zien welke persoonsgegevens worden hersteld, wie toegang krijgt en hoe onnodig bewaarde gegevens worden behandeld. Dezelfde technische proef kan dus meerdere bewijsdoelen dienen, mits de resultaten die doelen daadwerkelijk beantwoorden.
Combineer waar mogelijk inventarisatie, toegangsbeheer en herstelproeven, maar behoud de juridische onderbouwing per verplichting. De uitwerking van NIS2-zorgplichtmaatregelen ondersteunt dat werk. Een certificaat of leveranciersverklaring kan informatie leveren; het neemt de eigen beoordeling niet over. Controleer de onderzochte dienst, locatie, periode en eventuele uitzonderingen voordat u zo’n verklaring als bewijs in beide dossiers gebruikt.
Het bestuur heeft onder de Cbw een uitdrukkelijke taak
Artikel 24 Cbw vereist goedkeuring van de maatregelen door het bestuur en stelt eisen aan kennis en vaardigheden. Bestuursleden moeten risico’s, maatregelen en gevolgen voor de dienstverlening kunnen beoordelen. De wet bevat een termijn van twee jaar vanaf de betreffende inwerkingtreding of een latere benoeming om aan de kennis- en vaardigheidseis te voldoen. Die termijn is geen algemene vrijstelling om beveiligingsmaatregelen twee jaar uit te stellen.
Deelname aan een training wordt met een certificaat aangetoond; het Cyberbeveiligingsbesluit stelt eisen aan de behandelde onderwerpen en de inhoud van dat bewijs. Ook moet kennis aantoonbaar actueel blijven. Dit gaat om bestuursbekwaamheid, niet om een certificering waarmee de hele organisatie automatisch aan NIS2 voldoet. Leg naast deelname vast welke besluiten over risico’s en middelen het bestuur daadwerkelijk heeft genomen.
De AVG legt verantwoordingsplichten bij de verwerkingsverantwoordelijke en kent taken voor een eventueel aangewezen functionaris voor gegevensbescherming. Dat betekent niet dat privacy uitsluitend het werk van die functionaris is of dat bestuurders onder de AVG nooit verantwoordelijkheden hebben. Evenmin veroorzaakt elk cyberincident automatisch persoonlijke aansprakelijkheid van iedere bestuurder. Voor aansprakelijkheid en sancties moeten de relevante grondslag, gedraging en omstandigheden afzonderlijk worden beoordeeld.
Een incident krijgt twee afzonderlijke meldbeoordelingen
Onder de Cbw gaat de verplichte melding over significante incidenten. Artikel 25 noemt ernstige operationele verstoringen of financiële verliezen die het incident veroorzaakt of kan veroorzaken, en aanzienlijke materiële of immateriële schade voor andere entiteiten die het heeft getroffen of kan treffen. Toepasselijke Europese uitvoeringsregels en nationale sectorcriteria kunnen deze beoordeling nader invullen. Niet iedere storing bij een betrokken entiteit is automatisch significant.
Onder de AVG moet eerst sprake zijn van een inbreuk op de beveiliging die leidt tot bijvoorbeeld verlies, ongeoorloofde wijziging of ongeoorloofde toegang tot persoonsgegevens. Ook verlies van beschikbaarheid kan relevant zijn; het ontbreken van aanwijzingen voor diefstal sluit een datalek niet uit. Vervolgens beoordeelt de verantwoordelijke of het onwaarschijnlijk is dat de inbreuk risico’s voor personen meebrengt. Alleen dan geldt de uitzondering op de melding aan de toezichthouder.
Bij een te melden AVG-inbreuk moet de verantwoordelijke zonder onredelijke vertraging en, waar mogelijk, binnen 72 uur na kennisneming melden. Een latere melding vereist een motivering. Ontbrekende informatie kan gefaseerd worden aangevuld zonder onredelijke verdere vertraging. De uitleg van artikel 33 AVG helpt deze voorwaarden correct in een procedure op te nemen. Een verwerker informeert de verantwoordelijke zonder onredelijke vertraging en heeft geen eigen algemene wachttijd van 72 uur.
Alle persoonsgegevensinbreuken moeten worden gedocumenteerd, ook wanneer zij onder de uitzondering op de meldplicht vallen. Leg feiten, gevolgen, herstelmaatregelen en de reden van de meldbeslissing vast. Bij een waarschijnlijk hoog risico voor personen moet daarnaast de informatieplicht van artikel 34 worden beoordeeld, met de daar genoemde uitzonderingen. Een Cbw-melding vervangt deze AVG-documentatie en afweging niet.
De Nederlandse Cbw-meldroute kent opeenvolgende stappen
De Cbw verlangt een vroegtijdige waarschuwing aan het bevoegde CSIRT en de bevoegde autoriteit: onverwijld of, als dat niet mogelijk is, binnen 24 uur na kennisneming van het significante incident. De waarschuwing vermeldt onder meer vermoedelijk kwaadwillige oorzaken, mogelijke grensoverschrijdende gevolgen en de contactgegevens van de verantwoordelijke meldfunctionaris. Wacht hiervoor niet totdat het volledige technische onderzoek is afgerond.
De daaropvolgende melding volgt onverwijld of, als dat niet mogelijk is, binnen 72 uur. Zij bevat de toepasselijke update en initiële beoordeling en beschikbare informatie over onder meer aantastingsindicatoren en grensoverschrijdende gevolgen. Voor een aanbieder van vertrouwensdiensten geldt hiervoor de afwijkende termijn van 24 uur wanneer het significante incident gevolgen heeft voor de verlening van zijn vertrouwensdienst. Deze uitzondering moet niet op iedere dienst van iedere digitale aanbieder worden toegepast.
Op verzoek volgt een tussentijds verslag. Uiterlijk één maand na de betreffende melding moet een eindverslag worden ingediend. Duurt het incident op dat moment voort, dan komt daarvoor een voortgangsverslag in de plaats en volgt het eindverslag binnen één maand nadat het incident is afgehandeld. Eén maand is niet hetzelfde als een vaste periode van dertig dagen. De gedetailleerde NIS2-meldprocedure kan als basis dienen voor uw interne draaiboek.
Het NCSC beschrijft Mijn NCSC als gezamenlijke meldvoorziening: één melding bereikt het CSIRT en de toezichthouder. Dat is geen gezamenlijke Cbw- en AVG-melding. Als ook aan de AVG-meldvoorwaarden is voldaan, moet de daarvoor geldende route worden gevolgd. De praktische uitleg over een datalek melden bij de AP behandelt die afzonderlijke handeling.
Drie hypothetische situaties maken het onderscheid zichtbaar
Bij een fictieve industriële onderneming valt een besturingssysteem langdurig uit. Het incident kan onder de Cbw significant zijn vanwege de gevolgen voor de dienst. Als het onderzochte systeem geen persoonsgegevens verwerkt en ook geen andere persoonsgegevensverwerking is geraakt, volgt daaruit geen AVG-datalek. Het onderzoek moet die feitelijke begrenzing wel onderbouwen; een eerste aanname van de technische ploeg is niet altijd voldoende.
Bij een fictieve kleine adviespraktijk wordt een dossier met gevoelige klantinformatie aan de verkeerde ontvanger gestuurd. Als de praktijk buiten de Cbw-reikwijdte valt, ontstaat daardoor geen Cbw-meldplicht. Een AVG-melding en mogelijk informatie aan betrokkenen kunnen wel noodzakelijk zijn. Het ontbreken van een netwerkstoring of NIS2-classificatie verlaagt de privacyrisico’s van de verkeerde verstrekking niet.
Bij een fictieve betrokken dienstverlener maakt ransomware zowel de operationele dienst als klantdossiers onbeschikbaar. Beide routes kunnen dan aan de orde zijn. Beoordeel de betekenis van het dienstverlies, de herstelmogelijkheden, eventuele uitlezing en gevolgen voor personen. Gebruik één feitelijke tijdlijn, maar leg per regime vast wanneer voldoende kennis bestond om de betreffende verplichting te activeren. Zo worden dezelfde uren niet op basis van verschillende, onuitgesproken aannames berekend.
Toezichthouders en sectorregels blijven onderscheiden
De AP houdt toezicht op de AVG. Voor de Cbw hangt de bevoegde toezichthouder af van de sector; het NCSC is dus niet de algemene toezichthouder op alle betrokken organisaties. Het NCSC-overzicht van toezicht en CSIRT-taken onderscheidt technische ondersteuning van toezicht. Leg de juiste instanties en bereikbaarheidsgegevens vast voordat een incident ontstaat.
Sectorspecifieke Europese regels kunnen bepaalde Cbw-verplichtingen vervangen wanneer aan de wettelijke gelijkwaardigheidsvoorwaarden is voldaan. DORA is daarbij relevant voor financiële entiteiten binnen zijn eigen toepassingsgebied. Behandel dit niet als de stelling dat iedere financiële onderneming geheel van alle cybersecurityregels is uitgezonderd. De uitleg over DORA en toezicht door DNB en AFM helpt de sectorspecifieke route te herkennen. De AVG blijft daarnaast afzonderlijk relevant voor persoonsgegevens.
De twee regimes hebben eigen handhavingsbevoegdheden en sanctievoorwaarden. Een maximumboete is geen voorspelling van de uitkomst van een concreet incident. Evenmin is iedere beveiligingsfout automatisch een overtreding waarvoor de hoogste AVG-categorie geldt. Voor een vergelijking die het bestuur moet helpen beslissen, zijn de ontbrekende maatregel, de verantwoordelijke persoon en het herstelplan meestal nuttiger dan een optelsom van theoretische maxima.
Leveranciers en gezamenlijke bewijsvoering organiseren
Een rechtstreekse leverancier kan belangrijk zijn voor Cbw-ketenbeveiliging zonder persoonsgegevens namens u te verwerken. Een verwerker kan omgekeerd privacykritisch zijn terwijl zijn uitval uw primaire dienst nauwelijks raakt. Beoordeel daarom zowel de operationele afhankelijkheid als de privacyrol. Voor daadwerkelijke verwerking in opdracht gelden de voorwaarden van artikel 28 AVG; de verwerkersovereenkomst en haar clausules behandelen dat afzonderlijke juridische instrument.
Vraag leveranciers om informatie die uw beslissingen ondersteunt: welke dienst is geraakt, welke gegevens zijn betrokken, wanneer is het incident ontdekt en welke maatregelen zijn getroffen? Spreek bereikbaarheid en snelle updates af zonder een willekeurige contracttermijn als wettelijke meldtermijn te presenteren. Houd er rekening mee dat u soms eerder zelf een melding moet doen dan de leverancier zijn volledige onderzoek kan afronden.
Een bruikbaar gezamenlijk dossier verbindt systemen, verwerkingen, leveranciers en herstelmaatregelen. Het houdt tegelijk de verantwoordelijke voor elke beoordeling zichtbaar. Oefen een incident waarbij persoonsgegevens nog niet direct in beeld zijn en later toch geraakt blijken. Zo controleert u of de privacyfunctie tijdig wordt betrokken en of eerdere meldingen worden bijgewerkt. Integratie werkt wanneer dezelfde feiten betrouwbaar worden gedeeld en de verschillende wettelijke beslissingen traceerbaar blijven.