De boetes
| Categorie | Maximale boete |
|---|---|
| Essentiële entiteit | Tot €10 mln of 2% van de wereldwijde jaaromzet, het hoogste van beide |
| Belangrijke entiteit | Tot €7 mln of 1,4% van de wereldwijde jaaromzet, het hoogste van beide |
Boetes zijn het sluitstuk, niet het uitgangspunt. Het doel van NIS2 is aantoonbare weerbaarheid; de sancties bestaan om dat af te dwingen.
Toezicht verschilt per categorie
Essentiële entiteiten staan onder proactief (ex-ante) toezicht: audits en inspecties, ook zonder aanleiding. Belangrijke entiteiten staan onder reactief (ex-post) toezicht: een controle volgt doorgaans na een incident of klacht. De lat voor "aantoonbaar in orde" ligt voor beide, alleen het moment van controle verschilt.
Ook het bestuur is verantwoordelijk
NIS2 legt de verantwoordelijkheid uitdrukkelijk bij de leiding. Het bestuur moet de cyberrisicomaatregelen goedkeuren en toezien op de uitvoering, en kan daarop aangesproken worden. Cyberveiligheid is onder NIS2 dus een bestuurskwestie, geen louter IT-aangelegenheid.
Begin bij u aantoonbare maatregelen
Ik zou boetes niet als vertrekpunt nemen. Breng eerst in kaart welke risico’s en maatregelen vandaag aantoonbaar worden beheerd. Een gap-assessment kan helpen om ontbrekende punten in een werkbare volgorde te zetten.