NIS2-boetes: hoe hoog zijn ze en wie is aansprakelijk?

Onder de Cyberbeveiligingswet kan een essentiële entiteit een boete krijgen van maximaal 10 miljoen euro of 2 procent van de wereldwijde jaaromzet, en een belangrijke entiteit maximaal 7 miljoen euro of 1,4 procent. Het hoogste van die twee bedragen telt. Voor overtredingen buiten de zorgplicht en de meldplicht ligt het maximum op 1 miljoen euro. Een individueel bestuurslid kan daarnaast zelf een boete van maximaal 25.000 euro krijgen.

Waar de boetes staan

De Cyberbeveiligingswet (Cbw) is sinds 15 augustus 2026 van kracht en is de Nederlandse uitwerking van de NIS2-richtlijn. De boetebepalingen staan in hoofdstuk 15 van die wet. Artikel 80 gaat over essentiële entiteiten, artikel 87 over belangrijke entiteiten. De bedragen komen een op een uit artikel 34 van de richtlijn: Nederland heeft de Europese minimumbedragen overgenomen en niet verhoogd.

Wat de Nederlandse wet er wel bij doet, is de boete splitsen in twee categorieën. Voor overtreding van de zorgplicht en de meldplicht geldt het miljoenenmaximum. Voor iedere andere overtreding van de wet geldt een vast maximum van 1 miljoen euro. Welke categorie van toepassing is hangt af van welk artikel je overtreedt en niet van hoe erg de toezichthouder het vindt.

Boetemaxima onder de Cyberbeveiligingswet, per type overtreding.

Overtreding	Essentiële entiteit (art. 80)	Belangrijke entiteit (art. 87)
Zorgplicht en meldplicht: artikelen 21, 21a en 25 tot en met 30 Cbw	10 miljoen euro of 2 procent van de wereldwijde jaaromzet, het hoogste bedrag geldt	7 miljoen euro of 1,4 procent van de wereldwijde jaaromzet, het hoogste bedrag geldt
Iedere andere overtreding van de wet	1 miljoen euro	1 miljoen euro
Niet meewerken aan het toezicht (artikel 5:20 Awb)	Boete mogelijk, de wet noemt hier geen eigen maximum	Boete mogelijk, de wet noemt hier geen eigen maximum
Een individueel bestuurslid, voor de eigen verplichtingen uit artikel 24	25.000 euro (art. 93)	25.000 euro (art. 93)

Eén rij verdient een kanttekening. Artikel 80 lid 2 en artikel 87 lid 2 geven de bevoegdheid om te beboeten als je niet meewerkt aan het toezicht (artikel 5:20 van de Algemene wet bestuursrecht), maar noemen daar geen apart maximum bij. De wettekst zegt er niets over, dus de meest voor de hand liggende lezing is dat de restcategorie van 1 miljoen euro uit lid 3 onder b geldt. Lees dat als een uitleg en niet als een cijfer dat in de wet staat.

Verleen je domeinnaamregistratiediensten zonder zelf essentiële of belangrijke entiteit te zijn, dan geldt een apart maximum van 1 miljoen euro (artikel 91).

Het percentage rekent met de hele onderneming

Het percentage gaat niet over de omzet van de entiteit alleen. De wet spreekt van de totale wereldwijde jaaromzet in het voorgaande boekjaar van de onderneming waartoe de entiteit behoort. Zit je als dochter in een groep, dan is de groepsomzet de rekenbasis. Voor een werkmaatschappij met 30 miljoen euro omzet in een groep van 2 miljard is 2 procent gelijk aan 40 miljoen euro, en dus hoger dan het vaste bedrag van 10 miljoen. Dat maakt het maximum voor grote groepen in de praktijk het percentage en niet het bedrag.

Hoe de toezichthouder de hoogte bepaalt

Artikel 69 Cbw schrijft voor waar de bevoegde autoriteit rekening mee houdt bij elk handhavingsbesluit, boetes inbegrepen:

• de ernst van de overtreding en het belang van de geschonden bepalingen;
• de duur van de overtreding;
• eerdere overtredingen door dezelfde entiteit;
• de veroorzaakte materiële of immateriële schade, inclusief effecten op andere diensten en het aantal getroffen gebruikers;
• opzet of nalatigheid van de overtreder;
• de maatregelen die de entiteit nam om schade te voorkomen of te beperken;
• de naleving van goedgekeurde gedragscodes of certificeringsmechanismen;
• de mate waarin de overtreder meewerkt met de toezichthouder.

De laatste twee zijn de enige factoren die je op de dag van het onderzoek nog kunt beïnvloeden. Let op de precieze formulering van de zevende factor: de wet weegt de naleving van goedgekeurde gedragscodes en goedgekeurde certificeringsmechanismen. Of een certificaat als ISO 27001 daaronder valt, hangt af van die goedkeuring. Reken er dus niet op als korting, maar zie het als het enige punt in het handhavingskader waar aantoonbare normnaleving expliciet meetelt.

Dezelfde bepaling noemt vijf gevallen die in elk geval een ernstige overtreding vormen:

1. herhaalde overtredingen;
2. het niet melden of niet verhelpen van significante incidenten;
3. het niet verhelpen van tekortkomingen na een bindende aanwijzing;
4. het belemmeren van audits of monitoring waartoe de toezichthouder opdracht gaf;
5. het verstrekken van valse of zeer onnauwkeurige informatie over de zorgplicht of de meldplicht.

Drie van die vijf gaan niet over de staat van je beveiliging maar over je gedrag richting de toezichthouder. Niet melden, niet opvolgen en onjuist informeren wegen zwaarder dan een tekortkoming die je zelf op tafel legt.

De boete komt zelden als eerste

Artikel 80 lid 1 staat een boete alleen toe samen met of na een waarschuwing, of samen met of na de inzet van een van de andere handhavingsinstrumenten. Een boete uit het niets kan dus niet. De wet bouwt een ladder, en die ladder is voor essentiële entiteiten langer dan voor belangrijke.

Handhavingsinstrumenten per entiteitstype, met de artikelen uit de Cyberbeveiligingswet.

Instrument	Essentiële entiteit	Belangrijke entiteit
Beveiligingsscan, kosten voor de toezichthouder	Ja (art. 71)	Ja (art. 82)
Verplichte audit door een onafhankelijke deskundige, kosten in beginsel voor de entiteit	Ja (art. 72)	Ja (art. 83)
Openbaarmaking van onderdelen van de overtreding	Ja (art. 73)	Ja (art. 84)
Bindende aanwijzing	Ja (art. 74)	Ja (art. 85)
Last onder bestuursdwang, en via de Awb een last onder dwangsom	Ja (art. 75)	Ja (art. 86)
Controlefunctionaris in de organisatie, kosten voor de entiteit	Ja (art. 70)	Nee
Einddatum waarop de overtreding beëindigd moet zijn	Ja (art. 76)	Nee
Verzoek tot tijdelijke schorsing van certificering of vergunning	Ja (art. 77)	Nee
Verzoek aan de rechter om bestuursleden te schorsen	Ja (art. 78)	Nee
Bestuurlijke boete	Ja (art. 80)	Ja (art. 87)

Twee instrumenten in die tabel doen vaak meer pijn dan de boete zelf. De verplichte audit betaal je in beginsel zelf, en de toezichthouder schrijft voor hoe het onderzoek wordt uitgevoerd. De openbaarmaking is een reputatie-instrument: de toezichthouder kan je verplichten onderdelen van je eigen overtreding publiek te maken, op een manier die zij bepaalt.

Er zit een rem op de boete zelf. De werking van het boetebesluit wordt opgeschort totdat het besluit onherroepelijk is (artikel 80 lid 4 en artikel 87 lid 4). Zolang bezwaar of beroep loopt, hoef je niet te betalen.

Essentieel wordt actief gecontroleerd, belangrijk pas bij een signaal

Bij essentiële entiteiten mag de toezichthouder proactief controleren, ook als er niets is misgegaan. Bij belangrijke entiteiten mag hij de instrumenten uit de artikelen 82 tot en met 87 alleen inzetten als hij bewijs, een aanwijzing of informatie heeft van een mogelijke overtreding (artikel 81). Dat is het echte verschil tussen de twee categorieën: niet de maatregelen, maar het moment waarop iemand meekijkt.

Voor overheidsinstanties gelden de artikelen 76, 77 en 78 niet (artikel 79). De einddatum, de schorsing van een vergunning en de schorsing van bestuursleden zijn dus geen instrumenten tegen een gemeente of een ministerie. De boete en de aanwijzing blijven wel overeind.

Wie handhaaft in jouw sector

Er is geen enkele NIS2-toezichthouder. De Cbw wijst per sector een bevoegde autoriteit aan, en die autoriteit wijst vervolgens de toezichthoudende ambtenaren aan (artikel 68). Het meldpunt en de toezichthouder zijn bovendien niet hetzelfde loket: melden doe je bij je CSIRT, gecontroleerd word je door de toezichthouder.

Meldpunt en toezichthouder per sector, volgens de doorverwijsboom van het NCSC.

Sector	CSIRT voor meldingen	Toezichthouder
Energie	NCSC	RDI
Vervoer, drinkwater, industrieel afvalwater, afvalstoffenbeheer, chemische stoffen	NCSC	ILT
Bankwezen	NCSC	DNB
Infrastructuur financiële markt	NCSC	AFM
Gezondheidszorg en vervaardiging van medische hulpmiddelen	Z-CERT	IGJ
Levensmiddelen en verpakt drinkwater	NCSC	NVWA
Digitale infrastructuur, beheerde ICT-diensten, digitale aanbieders, post- en koeriersdiensten, maakindustrie, ruimtevaart	NCSC	RDI
Rijksoverheid en provincies	NCSC	RDI
Gemeenten	IBD	RDI
Waterschappen	CERT-WM	ILT

Voor onderzoek is de toezichthouder inmiddels wel duidelijk: de RDI wijst onderzoek zelf aan als belangrijke entiteit, met de kanttekening dat het gaat om onderwerpen van Economische Zaken en niet om onderwijsinstellingen (rdi.nl). Voor hbo- en wo-instellingen als onderwijsinstelling stond de toezichthouder in de informatiebrochure van het NCSC nog als nader te bepalen. Zit je in die hoek, controleer dan het actuele overzicht voordat je iets aanneemt.

Wie aansprakelijk is: de organisatie en het bestuur apart

De boetes uit de artikelen 80 en 87 zijn gericht aan de entiteit. Daarnaast kent de wet een aparte handhavingsparagraaf voor bestuursleden. De toezichthouder kan een lid van het bestuur van een essentiële of belangrijke entiteit een last onder dwangsom opleggen (artikel 92) en een bestuurlijke boete van maximaal 25.000 euro (artikel 93), voor overtreding van de eigen verplichtingen uit artikel 24: kennis en vaardigheden, de training en het certificaat.

Die twee sporen lopen naast elkaar. Een organisatie kan een boete van miljoenen krijgen terwijl haar bestuursleden ieder afzonderlijk een boete van 25.000 euro ontvangen voor een ontbrekend trainingscertificaat. Wat dat voor bestuurders concreet betekent, staat in bestuurdersaansprakelijkheid onder de Cyberbeveiligingswet.

Als er ook persoonsgegevens bij betrokken zijn

Raakt een incident persoonsgegevens, dan loopt er een tweede regime naast NIS2. De Cbw regelt in artikel 58 dat de bevoegde autoriteit en de Autoriteit Persoonsgegevens samenwerken, en dat er geen boete op grond van artikel 80 of 87 volgt als de AP voor dezelfde gedraging al een boete op grond van de AVG heeft opgelegd. Geen dubbele boete dus, wel twee meldplichten met eigen termijnen.

Wat je nu doet

1. Bepaal of je essentieel of belangrijk bent en leg de onderbouwing vast. Dat bepaalt zowel je boetemaximum als de vraag of je proactief wordt gecontroleerd. De gids NIS2 en de Cyberbeveiligingswet loopt die stap met je door.
2. Zoek op wie jouw toezichthouder is en welk CSIRT je meldpunt is. Zet beide in je incidentprocedure, met naam en contactgegevens.
3. Regel de meldketen. Drie van de vijf wettelijke ernstverzwarende gevallen gaan over melden en opvolgen, niet over techniek.
4. Toets wat vandaag al meetbaar is. Onze gratis domeinscan controleert TLS, security headers, DNSSEC en e-mailbeveiliging op je eigen domein, en laat zien welke uitkomsten als bewijs meetellen voor de zorgplicht.