Duitslands NIS2-deadline is verstreken — en duizenden entiteiten staan nog steeds niet geregistreerd

Er komt een brief van de BSI — de federale cybersecurityautoriteit van Duitsland. Jouw bedrijf had zich uiterlijk 6 maart 2026 moeten registreren. Dat is niet gebeurd. De BSI heeft nu de wettelijke bevoegdheid om jouw organisatie te auditeren, bindende bevelen uit te vaardigen en boetes op te leggen: tot €500.000 alleen al voor de gemiste registratie, en tot €10 miljoen als de verplichte beveiligingsmaatregelen niet genomen zijn. En onder § 38 van de nieuwe BSIG zijn bestuurders die hun plichten verzaken aansprakelijk tegenover het bedrijf voor de schade.

Dit is geen hypothetisch scenario. Het gebeurt nu in Duitsland — en het is een voorproefje van wat er in de rest van de Europese Unie aankomt.

Wat er op 6 maart 2026 gebeurde

De Duitse implementatiewet voor NIS2 — de NIS2-Umsetzungs- und Cybersicherheitsstärkungsgesetz (NIS2UmsuCG) — trad op 6 december 2025 in werking. Organisaties in scope kregen precies drie maanden de tijd om zich via het speciale portaal bij de BSI te registreren.

Die deadline was 6 maart 2026.

De BSI schat dat ongeveer 29.500 bedrijven onder de wet vallen. Op 30 juni 2026, vier maanden na de deadline, hadden 17.729 zich geregistreerd in het BSI-portaal, volgens de eigen cijfers van de BSI. Afgezet tegen die schatting ontbreken er nog bijna 12.000 organisaties: zij schenden een wettelijke verplichting nog vóórdat ze ook maar begonnen zijn met hun daadwerkelijke cybersecuritymaatregelen.

De boodschap van de BSI aan wie nog ontbreekt is helder: de deadline is verstreken, dus registreer je direct in het BSI-portaal. Duitsland is de eerste grote EU-lidstaat die dit handhavingsmijlpaal bereikt — en de cijfers zijn opvallend.

Waarom zoveel bedrijven de deadline misten

Drie patronen verklaren de kloof.

Veel organisaties weten nog steeds niet dat ze in scope vallen. De NIS2-richtlijn is van toepassing op bedrijven met 50 of meer medewerkers, of minder dan 50 met zowel omzet als balanstotaal boven € 10 miljoen, die actief zijn in 18 aangewezen sectoren. Duitslands Mittelstand — de ruggengraat van de industriële economie — omvat duizenden middelgrote fabrikanten, logistieke dienstverleners en IT-bedrijven die nooit eerder met cybersecurityregelgeving te maken hadden.

De tijdlijn was krap. Drie maanden tussen de inwerkingtreding van de wet en de registratiedeadline bood weinig ruimte aan bedrijven die nog aan het beoordelen waren of NIS2 überhaupt op hen van toepassing was. Velen wachtten op definitieve duidelijkheid over sectorclassificaties en drempelwaarden.

Toeleveranciers werden verrast. Onder Artikel 21(2)(d) moeten NIS2-entiteiten cybersecurityrisico's in hun toeleveringsketen beheren. Dat betekent dat leveranciers die niet direct in scope vallen, compliancevereisten krijgen opgelegd door hun klanten — maar de registratieplicht geldt voor de NIS2-entiteit, niet voor de leverancier. De verwarring tussen directe verplichtingen en indirecte ketendruk vertraagde de besluitvorming.

Wat de BSI nu kan doen

De handhavingsbevoegdheden van de BSI onder de nieuwe BSIG zijn aanzienlijk:

Proactieve audits. Voor essentiële entiteiten — energie, transport, zorg, digitale infrastructuur, bankwezen — kan de BSI audits uitvoeren zonder op een incident te wachten. Ze kan documentatie opvragen, beveiligingsmaatregelen inspecteren en bewijs van Artikel 21-naleving verlangen.

Bindende bevelen. Als de BSI tekortkomingen constateert, kan ze wettelijk bindende instructies uitvaardigen om die binnen een bepaalde termijn te verhelpen. Niet-naleving van een bindend bevel verhoogt de ernst van de handhaving.

Boetes. In Duitsland riskeren bijzonder belangrijke entiteiten boetes tot €10 miljoen en belangrijke entiteiten tot €7 miljoen (§ 65 BSIG). Voor een bedrijf met een totale omzet boven €500 miljoen wordt het maximum 2% of 1,4% van de wereldwijde omzet. Alleen al een gemiste registratie kan tot €500.000 kosten. Dit zijn geen theoretische maxima — het is het kader dat nationale autoriteiten in de hele EU nu mogen toepassen.

Aansprakelijkheid van bestuurders. § 38 van de BSIG verplicht bestuurders de cybersecurityrisicobeheersmaatregelen te implementeren en toezicht te houden op de uitvoering ervan. Bestuurders die deze plichten schenden, zijn tegenover hun bedrijf aansprakelijk voor de schade. Dit weerspiegelt Artikel 20 van de NIS2-richtlijn, dat de aansprakelijkheid van bestuursorganen in alle lidstaten vastlegt.

Tijdelijk bestuursverbod. In ernstige gevallen van aanhoudende niet-naleving kan de BSI verzoeken dat bestuurders tijdelijk worden geschorst. Dit is het scherpste handhavingsinstrument in de NIS2-gereedschapskist en Duitsland heeft het expliciet geïmplementeerd.

Wat dit betekent voor de rest van Europa

Duitsland is geen geïsoleerd geval. Het is de vroegste indicator.

België handhaaft zijn NIS2-omzetting al sinds eind 2024 — het eerste EU-land dat dit deed. Italië (ACN) en Kroatië hebben hun kaders op orde. Frankrijk (ANSSI) lanceerde in maart 2026 zijn ReCyF-referentiekader en bouwt zijn handhavingsinfrastructuur op. Nederland verwacht zijn Cyberbeveiligingswet (Cbw) in het tweede kwartaal van 2026, met de RDI (Rijksinspectie Digitale Infrastructuur) als toezichthouder en het NCSC als operationeel aanspreekpunt.

Het patroon is duidelijk: elke EU-lidstaat beweegt van wetgeving naar handhaving. De implementatietijdlijn verschilt per land, maar de richting is uniform.

Als de Duitse ervaring iets leert, dan is het dit: de kloof tussen "de wet bestaat" en "bedrijven zijn klaar" is enorm. En toezichthouders wachten niet tot die kloof is gedicht voordat ze beginnen met handhaven.

Wat je deze week moet doen

Of je organisatie nu in Duitsland of in een andere EU-lidstaat zit, de BSI-deadline is een signaal om in actie te komen.

1. Bepaal of NIS2 op jou van toepassing is. Controleer je personeelsbestand, omzet en sectorclassificatie. De criteria zijn consistent in de hele EU — als je 50 of meer medewerkers hebt (of minder dan 50 met zowel omzet als balanstotaal boven € 10 miljoen) en actief bent in een gedekte sector, val je vrijwel zeker in scope.

2. Registreer je bij je nationale autoriteit. De deadline in Duitsland is verstreken, maar andere landen zijn hun registratieportalen nog aan het openen. Nederland (via mijn.ncsc.nl), Frankrijk (via MesServicesCyber) en Italië (via ACN) hebben allemaal registratieprocessen lopen of op komst.

3. Begin met Artikel 21. Registratie is slechts de toegangspoort. De eigenlijke verplichting is het implementeren van de tien cybersecuritymaatregelen uit Artikel 21: risicoanalyse, incidentafhandeling, bedrijfscontinuïteit, ketenbeveiliging, netwerkbeveiliging, kwetsbaarheidsbeheer en meer.

4. Informeer je bestuur. NIS2 is een governanceverplichting, geen IT-project. Artikel 20 vereist dat bestuursorganen cybersecuritymaatregelen goedkeuren en training volgen. Als jouw bestuur NIS2 nog niet heeft besproken, is dat gesprek al te lang uitgesteld.

5. Breng je huidige positie in kaart. Je hebt geen consultant nodig om te beginnen. Een gestructureerde gereedheidscan laat je in minuten zien waar je staat ten opzichte van de NIS2-vereisten — en toont precies waar de hiaten zitten. Start de gratis NIS2-gereedheidscan en ontdek vandaag nog waar jouw organisatie staat.

Het venster sluit zich

Duitslands niet-geregistreerde bedrijven ondervinden nu in de praktijk wat handhaving inhoudt. Elke andere EU-lidstaat volgt hetzelfde pad — de enige variabele is het tijdstip.

Organisaties die nu handelen, vóórdat hun nationale deadline aanbreekt, hebben het voordeel van voorbereiding in plaats van de druk van handhaving. Wie wacht, belandt in dezelfde situatie als Duitslands Mittelstand vandaag: een toezichthouder met de bevoegdheid om te auditeren, boetes op te leggen en bestuurders persoonlijk aansprakelijk te stellen — en een complianceprogramma dat al maanden geleden had moeten starten.