welke toezichthouder controleert mijn sector onder nis2

Toezicht per land en per sector geregeld

Welke toezichthouder controleert, hangt af van het land en de sector waarin een organisatie actief is. NIS2 verplicht elke lidstaat om zelf een of meerdere bevoegde autoriteiten aan te wijzen, en die keuze verschilt per land. In Nederland gebeurt die aanwijzing via de Cyberbeveiligingswet, de nationale omzetting van NIS2, en daar wordt per sector vastgelegd wie er toezicht houdt — dat kan een sectorale toezichthouder zijn of een instantie die specifiek voor dit doel is aangewezen. Voor algemene voorlichting over de zorgplicht en de meldplicht is het NCSC een vaste vindplaats, maar het NCSC is niet automatisch de toezichthouder voor elke sector.

Voor wie nog niet weet of dit onderwerp überhaupt relevant is, is het zinvol eerst te bekijken hoe te bepalen is of een bedrijf onder NIS2 valt — de vraag "wie controleert mij" volgt namelijk pas op de vraag "word ik gecontroleerd". Zodra dat helder is, is de volgende stap meestal het overzicht van de tien maatregelen die uit de zorgplicht volgen, omdat de toezichthouder daar in de praktijk op toetst. Dit onderwerp krijgt hier bewust nog geen definitieve toewijzing van een specifieke toezichthouder per sector, omdat die indeling per land anders is uitgewerkt en in Nederland via de Cyberbeveiligingswet nog verder wordt ingevuld.

Grond in de richtlijn en de nationale wet

NIS2 zelf richt zich in artikel 21 lid 2 op de tien maatregelen die essentiële en belangrijke entiteiten moeten nemen, maar de vraag wélke autoriteit toezicht houdt wordt in de richtlijn aan de lidstaten overgelaten en pas concreet in de nationale omzetting — in Nederland de Cyberbeveiligingswet. Daarom is de juiste vindplaats voor de exacte toezichthouder per sector de tekst van die wet zelf, aangevuld met de publicaties van de toezichthouders die het NCSC bijhoudt.