NIS2 uitgelegd: wat je als eventmanager moet weten over NIS2 en cyber security

Wat is NIS2? 

NIS2 is een Europese richtlijn die organisaties met een essentiële of belangrijke maatschappelijke rol verplicht om hun cyberweerbaarheid structureel te versterken. Het doel is dus om organisaties in de EU flink weerbaarder te maken tegen cybercrime. De richtlijn trad  per 16 januari 2023 in werking . 

De NIS2 geldt voor essentiële en belangrijke entiteiten, groot en middelgroot. Er worden diverse harde eisen gesteld: 

• Organisaties die hieronder vallen dienen zich te registreren.

• Ook hebben zij een snellere en duidelijke meldplicht.

• Er wordt een zorgplicht gevraagd waarin cyber security maatregelen worden genomen, bijvoorbeeld met betrekking tot governance en risicomanagement.

• De eindverantwoordelijkheid wordt gelegd bij het bestuur. 

  EU-landen kregen de opdracht om de richtlijn te vertalen naar een nationale wet voor 17 oktober 2024. 

   

Wie valt onder de NIS2? 

De NIS2 geldt dus voor essentiële en belangrijke entiteiten. Doorslaggevend zijn de sector, de bedrijfsgrootte en in sommige gevallen de activiteit. 

De sectoren zijn als volgt ingedeeld: 

In de basis gaat het om organisaties die in één van deze sectoren zitten en die voldoen aan de voorwaarden qua bedrijfsgrootte:

• Grote bedrijven: met 250+ werknemers of meer dan 50 miljoen omzet.

• Middelgrote bedrijven: met meer dan 50 werknemers of meer dan 10 miljoen omzet.

Val je niet binnen een van deze sectoren en/of werk je bij een kleine organisatie? Grote kans dat je dan niet onder de NIS2 valt. 

Waarom is dit nu een boardroom kwestie? 

De AVG stelt privacy en gegevensbescherming al jaren verplicht, maar de NIS2 gaat een stap verder en maakt dit een actief getoetst onderwerp. De wet legt de verantwoording voor het voldoen aan deze eisen ook bij het bestuur zelf. 

Het bestuur dient zich hierin te verdiepen en ook trainingen te volgen. Ook is er de verplichting om ervoor te zorgen dat de organisatie aan deze wet voldoet. Hierdoor zal dit een actief onderwerp worden binnen alle lagen in de organisatie. 

Hoe passen events en eventdata hierin? 

Nu denk je misschien: maar evenementen worden toch doorgaans niet als essentieel gezien? Doorgaans niet nee. Wel organiseren essentiële en belangrijke entiteiten regelmatig evenementen. Vaak zijn dit juist dé organisaties die veel stakeholders hebben. Denk aan een ziekenhuis dat een symposium organiseert voor honderden zorgprofessionals, een energiebedrijf dat stakeholders bijpraat over de energietransitie, of een gemeente die een evenement organiseert voor bewoners en samenwerkingspartners. 

En bij de registratie van een evenement verzamel je ongemerkt veel gevoelige data: namen, functies en directe contactgegevens, maar vaak ook dieetwensen, betalingsgegevens of toegangsrechten. Om er een paar te noemen. 

We geven je een paar voorbeeldsituaties waarin dataveiligheid toch wel heel dichtbij komt: 

• Je organiseert een evenement voor de bewoners van een bepaalde gemeente. Tijdens de check-in laat een van de hostesses de tablet onbemand op tafel - met alle beschikbare deelnemerdata.
  Je werkt met een event software partij.

• Er is een datalek waardoor deelnemersgegevens mogelijk gelekt zijn. Je zult dan binnen een bepaalde tijd een melding moeten krijgen, met de juiste informatie en deze doorspelen naar de juiste personen intern. Als eventmanager moet je weten hoe je softwareleverancier hiermee omgaat. 

• Je werkt bij een organisatie met meerdere subentiteiten die elk hun eigen events organiseren met eigen Excel-lijstjes en eigen tools. Hierdoor heeft het bestuur, die nu persoonlijk verantwoordelijk is, geen enkel overzicht van de hoeveelheid deelnemersdata die er eigenlijk door de hele organisatie zwerft.  

Is dit nieuw? Niet helemaal: dataveiligheid was altijd al belangrijk, maar door NIS2 wordt er meer gevraagd van organisaties. Als organisatie moet je niet alleen de gegevensbeveiliging 'stilletjes op orde hebben': er wordt gevraagd dat je dit ook echt toetst en aantoonbaar kunt bewijzen.

Wanneer en hoe vertalen de EU-landen de NIS2-richtlijn? 

Natuurlijk hebben niet alle landen de deadline gehaald. Sommige landen zijn op het moment van schrijven nog bezig met het vertalen van de wet. We zoomen in op Nederland, België en Duitsland als voorbeelden.

België: de NIS2-wet (La loi NIS2)

België was een van de eerste EU-landen die de NIS2-wet omzette in nationale wetgeving, namelijk op 18 oktober 2024. 

Als je onder deze wetgeving valt, moet je je in België registreren bij het CCB. Hier hebben ze een online formulier voor, die staat opgesteld in deze duidelijke brochure. In België hebben al meer dan 4500 organisaties zich geregistreerd via het CCB - al raadt het CCB ook organisaties die niet onder de NIS2 vallen om zich te registreren. 

Goed om te weten: ISO 27001 is een handige certificering om te zien of een leverancier voldoet aan verschillende NIS2 maatregelen. In België is er ook CyberFundamentals (CyFun). Deze wordt door CCB erkend als een vergelijkbaar alternatief ipv ISO 27001. Deze is specifiek gemaakt voor België en zou sneller en simpeler zijn om te implementeren. 75% van de Belgische organisaties kozen voor CyFun ipv ISO 27001.

Nederland: de Cyberbeveiligingswet (Cbw)

Nederland vertaalt de NIS2 richtlijn naar de Cyberbeveiligingswet. De wet is aangenomen en gaat in werking per 15 augustus 2026. In Nederland dient de organisatie zich te registreren bij de toezichthouder via mijn.ncsc.nl. Naar schatting gaat het om minimaal 8000 organisaties. 

Er zijn dezelfde richtlijnen qua bedrijfsgrootte en sector voor de NIS2. De enige uitzondering daarop is het Hoger Onderwijs: de minister van Onderwijs heeft deze sector namelijk ook aangewezen om te voldoen aan de cbw.

Duitsland: de NIS2UmsuCG

De NIS2UmsuCG is een aangepaste wet die sinds 6 december 2025 van kracht is (mede gebaseerd op de EU NIS2 richtlijn). Ook in Duitsland moeten betrokken organisaties zich (in twee stappen) bij het BSI registreren als 'belangrijke' of 'bijzonder belangrijke' entiteit, waarvoor vooraf een 'Mein Unternehmenskonto' via ELSTER moet worden ingericht.  

In Duitsland worden ongeveer 21.600 bedrijven bij de belangrijke organisaties geschaard en ongeveer 8.250 als bijzonder belangrijk - naast de bestaande KRITIS-exploitanten

Waar kun je op letten bij een (event) software leverancier?

Met de juiste event software krijg je de juiste garanties. Voor jezelf, je IT en compliance afdeling, maar ook voor externe stakeholders. Hier kun je zoal op letten: 

• Meldproces bij incidenten: vraag hoe snel en hoe een leverancier een datalek meldt.

• Bewaartermijnen of automatisch wissen: kun je instellen dat deelnemersgegevens na afloop van het event automatisch en veilig worden verwijderd? Ook dit is goed om na te vragen.

• Verwerkersovereenkomst (DPA/AVV) vooraf checken, niet achteraf: heeft de leverancier een standaard verwerkersovereenkomst klaarliggen, in plaats van dat je die zelf moet afdwingen?

• Laatste pentest/audit-datum opvragen: een leverancier die op verzoek kan laten zien wanneer die voor het laatst extern is getest, geeft meer garantie dan alleen een certificering die een jaar geleden is behaald.

• Aantoonbare veiligheidscertificeringen: Kies voor software met een ISO 27001-certificering en een SOC 2 Type II-verklaring. Hiermee toon je aan dat de beveiliging en processen officieel zijn getoetst en bewezen. ISO is al een aantoonbare standaard die zich richt op het beleid en risicomanagement omtrent informatiebeveiliging. SOC 2 gaat hier een stap verder en bewijst ook dat deze actief getoetst wordt.

• Europese data-opslag: Controleer of de servers binnen de EU staan, zodat de gegevensverwerking ook onder EU-recht valt.

• Scherp rechtenbeheer: Zorg dat je exact kunt instellen wie binnen jouw team toegang heeft tot specifieke (deelnemers)data, zodat gevoelige informatie nooit op de verkeerde plek belandt.

• (Versleuteld) uploaden binnen de software: voorkom heen en weer mailen met persoonsgegevens tussen teamleden en upload data beveiligd in de software. Soms nemen leveranciers ook extra maatregelen, zoals het encrypten van deelnemersdata binnen de software. Zo is deze zelfs bij een onverhoopt datalek veilig.

Wij raden je aan om altijd naar deze zaken te vragen bij de selectie van een nieuwe leverancier. 

Wat levert dit je op als eventorganisator?

Als je dataveiligheid en compliance vanaf het begin een actief onderwerp maakt en goed inricht dan levert dat:

• Meer rust. Je weet dat dit goed geregeld is en dat risico's zijn geminimaliseerd.

• Voorkom twijfels. Zowel bij interne als bij externe stakeholders.

• Voorkom vertraging in je organisatieproces en maak sneller beslissingen.

Hierdoor krijg jij de handen vrij om je volledig te kunnen richten op wat telt: het neerzetten van een succesvol evenement. 

Benieuwd naar hoe aanmelder.nl hiermee omgaat? Lees meer op onze beveiliging en compliance pagina of ervaar het zelf. 

De kleine lettertjes:

Vanuit aanmelder.nl verdiepen we ons actief in dataveiligheid om veilige processen voor eventmanagers te garanderen. Wel is dit algemene informatie, vanuit onze eigen expertise. Het is geen juridisch advies, dus raadpleeg bij twijfel altijd een expert.