- Betekenis
- Nationale toezichthouder op NIS2
- In Nederland
- Sectoraal verdeeld, geen centrale autoriteit
- Taak
- Toezicht, meldingen, handhaving
- Verwant
- NCSC, SPOC
- Bijgewerkt
- juni 2026
- Redactie
- Compliance Compass
Wat is de bevoegde autoriteit?
De bevoegde autoriteit (competent authority) ziet toe op de naleving van NIS2 en ontvangt meldingen. Welke instantie dat is, verschilt per land en per sector – NIS2 verplicht elke lidstaat één of meer bevoegde autoriteiten aan te wijzen. De term beschrijft dus een wettelijke functie, toezicht en handhaving, die in Nederland is verdeeld over sectorale toezichthouders: RDI, ILT, DNB, AFM, IGJ, NVWA, ANVS en de Inspectie van het Onderwijs. Wie die functie juist niet vervult, is het NCSC.
Bevoegdheid in Nederland
In Nederland ligt de bevoegdheid per sector bij een andere instantie. Zij houdt toezicht en handhaaft; het Entiteitenregister wordt beheerd door het NCSC. Daarnaast wijst elke lidstaat een centraal contactpunt aan, het SPOC , en werkt samen met ENISA op EU-niveau. Waar de bevoegde autoriteit staat voor toezicht en handhaving, staat het centraal contactpunt voor de grensoverschrijdende coördinatie en het CSIRT voor de operationele afhandeling van incidenten. In Nederland zijn die rollen juist gescheiden: het toezicht ligt bij de sectorale toezichthouders, het CSIRT-werk bij het NCSC.
Welke bevoegdheden zij heeft
- Meldingen ontvangen en de inschrijving in het entiteitenregister controleren
- Onderzoeken en audits uitvoeren
- Bindende aanwijzingen geven en bestuurlijke boetes opleggen – tot 10 miljoen euro of 2 % van de wereldwijde jaaromzet bij essentiële entiteiten, tot 7 miljoen euro of 1,4 % bij belangrijke entiteiten; bestuurders tot 25.000 euro bij verzuim van de scholingsplicht, na een overgangstermijn van twee jaar
Wat dat voor organisaties betekent
De bevoegde autoriteit is tegelijk aanspreekpunt en controleur. Sinds de Cyberbeveiligingswet op 15 augustus 2026 in werking trad, moeten entiteiten de meldketen naleven: een vroegtijdige waarschuwing binnen 24 uur, een incidentmelding binnen 72 uur en een eindverslag binnen een maand. Wie zijn maatregelen netjes documenteert, gaat een controle het rustigst tegemoet.
Een typisch geval
Na een datalek bij een drinkwaterbedrijf vraagt de bevoegde toezichthouder – voor water is dat de ILT – de risicoanalyse en de getroffen technische maatregelen op. Omdat het bedrijf zijn maatregelen doorlopend heeft vastgelegd, kan het de stukken binnen enkele dagen leveren. Het onderzoek eindigt met voorschriften in plaats van een boete – een voorbeeld van hoe degelijk bewijs de procedure ontzenuwt.
Meer informatie: NCSC – Cyberbeveiligingswet (NIS2)
Veelgestelde vragen
Wat is de bevoegde autoriteit onder NIS2?
De bevoegde autoriteit (competent authority) is de nationale instantie die toeziet op de naleving van NIS2 en meldingen ontvangt. NIS2 verplicht elke lidstaat één of meer bevoegde autoriteiten aan te wijzen. Nederland heeft gekozen voor een sectorale verdeling: welke instantie bevoegd is, hangt af van de sector waarin een organisatie werkt. Sinds de Cyberbeveiligingswet op 15 augustus 2026 in werking trad, moeten entiteiten met hun toezichthouder samenwerken en de meldketen naleven.
Wie is in Nederland de bevoegde autoriteit?
Nederland heeft geen enkele, sectoroverstijgende toezichthouder. De RDI is bevoegd voor digitale infrastructuur, energie en de gehele overheid, de ILT voor transport en water, DNB voor banken, de AFM voor de financiële marktinfrastructuur, de IGJ voor de zorg, de NVWA voor voedsel, de ANVS voor nucleaire installaties en de Inspectie van het Onderwijs voor onderwijs. Het NCSC is het nationale CSIRT en beheert het entiteitenregister, maar is geen toezichthouder. Bij essentiële entiteiten is het toezicht proactief, bij belangrijke entiteiten reactief.
Welke bevoegdheden heeft de bevoegde autoriteit?
De bevoegde autoriteit ontvangt meldingen, doet onderzoek en audits, kan bindende aanwijzingen geven en bij overtreding een bestuurlijke boete opleggen. De boete bedraagt bij essentiële entiteiten tot 10 miljoen euro of 2 % van de wereldwijde jaaromzet en bij belangrijke entiteiten tot 7 miljoen euro of 1,4 %. Bestuurders riskeren daarnaast tot 25.000 euro als zij de scholingsplicht verzuimen, na een overgangstermijn van twee jaar. Tegelijk is zij het aanspreekpunt voor de meldketen van 24 uur, 72 uur en één maand.