NIS2 implementatie in Europa: twee jaar te laat, drie landen zonder wet

Een Nederlandse MSP beheert de IT van een Franse dochteronderneming van een klant in de industrie. Sinds 15 augustus 2026 geldt in Nederland de Cyberbeveiligingswet (Cbw). In Frankrijk is er nog geen wet. De vraag van de klant is simpel: "Moet die dochter nu ook iets doen?"

Op 17 oktober 2026 was de Europese deadline voor de NIS2 implementatie precies twee jaar verstreken. Dit is de stand van zaken op 21 oktober 2026 en wat het betekent voor uw advieswerk.

NIS2 implementatie: wie heeft een wet en wie niet

Richtlijn (EU) 2022/2555 moest uiterlijk op 17 oktober 2024 zijn omgezet. Volgens een secundaire tracker, voor het laatst bijgewerkt medio september 2026, hebben 24 van de 27 lidstaten inmiddels een wet in werking. Frankrijk, Ierland en Spanje niet. Controleer elke rij altijd bij de nationale bron.

Nederland hoorde zelf tot 8 juli 2026 bij de achterblijvers. Die dag verwees de Europese Commissie Ierland, Spanje, Frankrijk én Nederland door naar het Hof van Justitie van de EU. De Cyberbeveiligingswet (Stb. 2026, 187) trad vijf weken later in werking, op 15 augustus 2026. Het NCSC beheert het entiteitenregister via MijnNCSC.

Andere landen lopen al langer. Italië zette NIS2 op tijd om met decreet 138/2024, in werking sinds 16 oktober 2024. Duitsland volgde op 6 december 2025, Polen op 3 april 2026 en Oostenrijk op 1 oktober 2026.

Voor een klant met vestigingen in meerdere landen betekent dit meerdere kalenders tegelijk. In Frankrijk, Spanje en Ierland loopt er nog geen kalender. Dat is niet hetzelfde als geen verplichting.

Frankrijk: van de agenda gehaald een dag voor het debat

De Franse Senaat nam het wetsvoorstel op 12 maart 2025 aan, met 181 stemmen voor en 134 tegen. Daarna wachtte het ruim anderhalf jaar op de Assemblée nationale. Het debat stond gepland op 7 en 9 oktober 2026. Op 6 oktober haalde de Conférence des présidents beide zittingen van de agenda. Er is nog geen nieuwe datum bevestigd.

Er liggen nog zo''n 397 amendementen. De discussie draait vooral om artikel 16 bis over encryptie en achterdeurtjes, dat de regering wil schrappen. Gebeurt dat, dan gaat de tekst naar een gemengde commissie (CMP) om de twee kamers te verzoenen. Pas na definitieve goedkeuring en afkondiging volgen de uitvoeringsbesluiten.

Wel bestaat al het ReCyF-raamwerk van de Franse toezichthouder ANSSI, beschikbaar sinds maart 2026, met 20 beveiligingsdoelstellingen voor essentiële en 15 voor belangrijke entiteiten. Grote inkopers noemen het al in aanbestedingen. Meer detail leest u in onze gids over de Franse NIS2-wet en ReCyF.

Spanje en Ierland: ontwerpen, geen wetten

Het Spaanse Consejo de Ministros keurde het ontwerp voor de Ley de Coordinación y Gobernanza de la Ciberseguridad goed op 14 januari 2025, met spoedprocedure. Het is nog steeds een ontwerp dat op parlementair debat wacht. De taken blijven verdeeld over CCN, INCIBE en sectorale autoriteiten. Lees ook Spanje en de verwijzing naar het Hof.

In Ierland wordt de National Cyber Security Bill nog opgesteld. Zie de stand van het Ierse wetsvoorstel.

Het Hof zet regeringen onder druk, niet uw klant

De Commissie vraagt het Hof om een forfaitair bedrag en dagelijkse boetes tot de lidstaat de volledige omzetting meldt. Dat zijn sancties tegen de staat, niet tegen uw klant. De Nederlandse Cbw is hier het voorbeeld van hoe zo''n verwijzing werkt: de wet kwam er binnen vijf weken. De procedure loopt door tot de Commissie de omzetting als voltooid beschouwt.

Wat een ontbrekende wet wel en niet verandert

Een richtlijn is gericht aan lidstaten. Zolang Frankrijk, Spanje of Ierland niet hebben omgezet, heeft een bedrijf daar geen wettelijke registratieplicht, geen nationaal auditschema en geen boete op grond van een nationale NIS2-wet.

Maar de verplichting komt via de keten. NIS2 artikel 21, lid 2, onder d, verplicht entiteiten hun leveranciersrisico te beheersen. Een Nederlandse zorginstelling of een Duitse essentiële entiteit legt eisen op aan elke leverancier, ook aan Franse, Spaanse en Ierse, via vragenlijsten en contractclausules. Die clausules zijn nu al contractueel afdwingbaar. Het mechanisme staat in NIS2 en supply chain security.

De eerste NIS2-audit van een klant komt dus mogelijk van een afnemer, niet van een toezichthouder. En een toezichthouder in een land met wet controleert wat zijn eigen entiteiten bij leveranciers hebben opgevraagd.

Triage voor klanten in landen zonder wet

Begin bij de reikwijdte, niet bij de ontbrekende wet. Stel per klant drie vragen:

1. Levert de klant aan een entiteit in een land waar NIS2 al geldt? Dan komen er nu vragenlijsten.
2. Valt de klant op grond van sector en omvang onder de EU-tekst? Dan is de reikwijdte waarschijnlijk, wat het nationale tijdpad ook is.
3. Heeft de klant al bewijs voor de tien maatregelen van artikel 21?

Een gap-analyse beantwoordt vraag drie in een middag in plaats van een kwartaal. Doe de quick scan van NIS2Certify en gebruik de gaten als het werkplan dat u verkoopt.

Leg daarna het bewijs vast: gedateerd beleid, een assetlijst, een geteste incidentprocedure en een leveranciersregister. Dat vraagt een afnemer eerst, en later een toezichthouder. Onze gids over wat toezichthouders na registratie controleren laat dezelfde bewijslast zien vanuit de kant van de toezichthouder.

Wat u klanten deze maand vertelt

Zeg een Franse, Spaanse of Ierse klant niet dat NIS2 nog niet geldt. Zeg dat de nationale wet te laat is, dat hun afnemers in andere landen dat niet zijn, en dat het bewijs dat ze nu opbouwen straks hoe dan ook nodig is.