Boetes en handhaving onder NIS2: de rol van de RDI en sectortoezichthouders
NIS2 introduceert forse boetes en uitgebreide toezichtsbevoegdheden. In Nederland houden sectorale toezichthouders toezicht, waaronder de Rijksinspectie Digitale Infrastructuur (RDI) voor digitale sectoren.
Maximale boetes
- Essentiële entiteit: tot € 10 miljoen of 2% van de wereldwijde jaaromzet
- Belangrijke entiteit: tot € 7 miljoen of 1,4% van de wereldwijde jaaromzet
- Daarnaast lasten onder dwangsom en bindende aanwijzingen
Proactief versus reactief toezicht
Essentiële entiteiten krijgen proactief toezicht: inspecties, audits en informatieverzoeken zonder aanleiding. Belangrijke entiteiten krijgen reactief toezicht na een incident of signaal.
Wie is uw toezichthouder?
Dit verschilt per sector: bijvoorbeeld de RDI (digitale infrastructuur en digitale aanbieders), IGJ (zorg), ILT (vervoer en water) en DNB/AFM (financieel).
Voorbereiden op een toezichtsverzoek
Zorg dat u binnen enkele dagen kunt aanleveren: de scopebepaling, het goedgekeurde beleid en directienotulen, de risicoanalyse, bewijs van kernmaatregelen (MFA-dekking, hersteltesten, trainingsdeelname), het meldprotocol en het incidentregister, en het leveranciersoverzicht. Wijs een vaste contactpersoon aan voor de toezichthouder. Organisaties die dit dossier op orde hebben, krijgen doorgaans eerder de ruimte om tekortkomingen zelf binnen een termijn te herstellen.
Praktijkvoorbeeld
Bij een toezichtsonderzoek vroeg de toezichthouder om directienotulen, de risicoanalyse en de laatste hersteltest. Ontbrekende documentatie leidde tot een bindende aanwijzing met termijn.