NIS2: de Duitse coulanceperiode loopt af

De coulanceperiode eindigt op 31 juli 2026

De Duitse NIS2-implementatiewet – het NIS2UmsuCG – is sinds december 2025 van kracht, zonder overgangsperiode. Betrokken entiteiten moesten zich binnen drie maanden registreren bij het BSI, de Duitse federale autoriteit voor cyberbeveiliging; die termijn verliep op 6 maart 2026. Het resultaat was ontnuchterend: van naar schatting 29.500 betrokken bedrijven in Duitsland hadden er op de peildatum slechts ongeveer 11.500 zich geregistreerd.

Het BSI heeft sindsdien duidelijk gemaakt dat het openstaande registraties uiterlijk 31 juli 2026 verwacht. Deze coulanceperiode is een kans, geen vrijbrief: de registratieplicht bestaat al sinds maart, en alleen al een overtreding daarvan kan worden beboet met maximaal 500.000 euro.

• Wet van kracht sinds december 2025, registratietermijn verstreken op 6 maart 2026
• Slechts ongeveer een derde van de betrokken bedrijven registreerde zich op tijd
• Het BSI verwacht achterblijvers uiterlijk 31 juli 2026

Wie onder de wet valt – en hoe u dat vaststelt

NIS2 onderscheidt essentiële en belangrijke entiteiten in 18 sectoren – van energie, vervoer en gezondheidszorg tot digitale infrastructuur en maakindustrie. Als vuistregel kunnen bedrijven in deze sectoren met 50 of meer medewerkers of meer dan 10 miljoen euro jaaromzet en balanstotaal onder de reikwijdte vallen; sommige entiteiten vallen er ongeacht hun omvang onder. Voor internationale concerns geldt: een Duitse dochteronderneming kan onder de wet vallen, ook als het moederbedrijf elders wordt gereguleerd.

Vertrouw niet op vuistregels. Het BSI biedt een officiële NIS-2-toepasselijkheidscheck waarmee u uw classificatie gestructureerd kunt vaststellen en documenteren. Deze beoordeling is een verantwoordelijkheid van het bestuur – ook een gedocumenteerde conclusie "valt er niet onder" moet met onderbouwing worden bewaard.

Hoe de registratie werkt

De registratie verloopt via het meldportaal van het BSI, het MUK-portaal. Voor authenticatie is een ELSTER-organisatiecertificaat nodig – het inlogmiddel van de Duitse belastingdienst. Heeft uw organisatie er geen, vraag het dan direct aan: de uitgifte duurt doorgaans enkele dagen en wordt vlak voor deadlines een knelpunt.

Zorg voor de registratie zelf dat de stamgegevens klaarliggen: entiteit en sector, contactgegevens van een bereikbaar aanspreekpunt, IP-adresbereiken en de lidstaten waarin diensten worden verleend. Met een goede voorbereiding is het proces snel afgerond.

Na de registratie begint het echte werk

De wet verplicht betrokken entiteiten een stevig pakket maatregelen voor risicobeheer te onderhouden: van risicoanalyse en incidentafhandeling tot back-up- en crisisbeheer en beveiliging van de toeleveringsketen. Daar komen gefaseerde meldplichten voor significante incidenten bij – een eerste melding binnen 24 uur, een vervolgmelding binnen 72 uur en een eindverslag na één maand – evenals persoonlijke verplichtingen voor het bestuur, dat de maatregelen moet goedkeuren en erop moet toezien en daarvoor training moet volgen.

Voor overtredingen van deze verplichtingen gaan de boetes veel verder dan de sanctie voor de registratie: tot 10 miljoen euro of 2 procent van de wereldwijde jaaromzet voor essentiële entiteiten, en tot 7 miljoen euro of 1,4 procent voor belangrijke entiteiten.

• Risicobeheer in lijn met de stand van de techniek, inclusief de toeleveringsketen
• Meldprocessen die termijnen van 24 uur werkelijk aankunnen
• Aantoonbare governance: de verantwoordelijkheid ligt bij het bestuur

Van deadline naar structuur

De deadline in juli is een goede aanleiding om NIS2 niet te behandelen als een in te vullen formulier, maar als een structurele opgave: eisen, maatregelen, eigenaren en bewijs horen blijvend met elkaar verbonden te zijn – niet in verspreide spreadsheets die vóór elke audit opnieuw worden gesorteerd.

Precies daarvoor bouwen we Secani: een werkruimte waarin eisen uit frameworks zoals NIS2 of IT-Grundschutz++ gestructureerd beschikbaar zijn en implementatie en bewijs herleidbaar worden gedocumenteerd. Wilt u de coulanceperiode voor meer gebruiken dan alleen de registratie, neem dan contact met ons op.