NIS2-registratie: hoe vind je de juiste bevoegde autoriteit

Als je bent begonnen met Googelen op “NIS2-registratie”, is je waarschijnlijk iets frustrerends opgevallen:
de antwoorden zijn allesbehalve consistent.

Dat komt niet doordat NIS2 vaag is. Het komt doordat NIS2 een richtlijn is — en elke EU-lidstaat deze op zijn eigen manier omzet in nationale wetgeving (met eigen tijdlijnen, portalen, autoriteiten en exacte formuleringen).

Wat in het ene land “registratie” heet, kan in een ander land worden aangeduid als “zelfidentificatie” of “entiteitenregistratie”.

Dit artikel is bewust geen stap-voor-stap invulinstructie. Wij zijn een cybersecuritypartner — geen juridisch loket. In plaats daarvan is dit een trust-first gids die je helpt om:

• te begrijpen wat “registratie” in NIS2-context meestal betekent,
• veelgemaakte fouten te vermijden die weken vertraging opleveren,
• en snel de juiste bevoegde autoriteit in jouw land te vinden.

Heb je de scope nog niet bevestigd? Begin dan hier: controleer of NIS2 van toepassing is op jouw organisatie.

TL;DR

• NIS2-“registratie” draait meestal om het helpen van nationale autoriteiten bij het identificeren van organisaties die binnen de scope vallen en onder toezicht moeten staan.
• Omdat NIS2 wordt omgezet in nationale wetgeving, verschilt het waar en hoe per land.
• De snelste route is: scope bevestigen → bevoegde autoriteit vinden → het officiële proces van die autoriteit volgen.
• Registratie is belangrijk, maar niet het lastigste deel. Het echte risico zit meestal in Article 21-maatregelen en Article 23-incidentrapportage-gereedheid.

Gerelateerd leesvoer:

• NIS2-gereedheidschecklist voor EU-mkb
• NIS2-incidentrapportage (Article 23): het 24–72–30-playbook
• Article 21: beveiligingsmaatregelen in begrijpelijke taal

Wat “registratie” meestal betekent onder NIS2

In veel landen gaat “registratie” onder NIS2 minder over papierwerk om het papierwerk — en meer over zichtbaarheid.

Autoriteiten moeten weten:

• wie binnen de scope valt,
• hoe zij organisaties kunnen bereiken tijdens incidenten,
• en welke entiteiten onder toezicht moeten vallen.

In de praktijk betekent dit vaak dat een organisatie een basisset aan gegevens aanlevert, zodat de autoriteit een actueel overzicht kan bijhouden van essentiële en belangrijke entiteiten.

Een goede mindset: registratie is de voordeur. Compliance-gereedheid is het huis erachter.

Welke informatie doorgaans wordt gevraagd (hoog niveau)

We houden dit bewust algemeen (omdat nationale formulieren verschillen), maar je kunt vragen verwachten over:

• Basisgegevens van de organisatie en contactinformatie
• Sector / type dienst (hoe je jezelf positioneert binnen NIS2-sectoren)
• Landen waarin je actief bent of diensten levert
• Belangrijke contactpersonen voor security- en incidentcommunicatie
• Soms: technische identificatoren die relevant zijn voor de operatie (verschilt per land)

Als dit onduidelijk voelt: dat is normaal. Het doel is niet om te gokken, maar om de juiste bron bij de bevoegde autoriteit van jouw land te gebruiken.

Waarom registratie per land verschilt (en waarom je daar niet tegen moet vechten)

Een veelgemaakte fout is het zoeken naar “dat ene EU-brede portaal”. Zo werkt NIS2 niet.

Lidstaten implementeren en operationaliseren de richtlijn via hun eigen bevoegde autoriteiten, nationale CSIRTs en nationale processen. Daarom voelt zoekresultatenonderzoek vaak als een lappendeken.

Het doel is dus niet om één universeel antwoord te vinden, maar om een herhaalbare aanpak te hanteren:

• “Welke nationale wetgeving is op ons van toepassing?”
• “Wie is de bevoegde autoriteit?”
• “Wat is hun officiële richtlijn of portaal?”

Zo vind je de juiste bevoegde autoriteit (een eenvoudige 3-stappenmethode)

Dit is het onderdeel dat tijd bespaart — zonder dat je jurist hoeft te worden.

Stap 1: Bevestig je scope en je ‘thuisbasis’

Begin met de simpelste vraag: vallen we binnen de scope — en onder welk land vallen we waarschijnlijk qua toezicht?

Twijfel je? Ga niet gokken. Gebruik eerst de scopetoets: controleer of NIS2 van toepassing is op jouw organisatie.

Stap 2: Gebruik een betrouwbare transpositietracker

Vertrouw niet op willekeurige blogs, maar gebruik een betrouwbare tracker om de juiste nationale bronnen te vinden (bevoegde autoriteiten, implementatiestatus, verwijzingen naar officiële pagina’s).

(We delen aanbevolen bronnen aan het einde van dit artikel.)

Stap 3: Volg de officiële instructies van de autoriteit (en leg bewijs vast)

Zodra je bij de officiële bron bent, volg je de meest recente instructies — en houd je intern eenvoudig bij:

• wanneer je hebt gecontroleerd,
• welke versie/datum van de richtlijn gold,
• en wat je hebt ingediend (of geprobeerd hebt in te dienen).

Die kleine bewijslast kan later goud waard zijn als regels wijzigen of vragen opkomen.

De grote misvatting: “Registratie = compliant”

Het is een begrijpelijke aanname: je registreert je — en klaar. Maar zo werkt het niet.

Registratie is meestal administratief. De echte inspanning zit in operationele gereedheid:

• Article 21 gaat over basale risicobeheersmaatregelen — beleid, controls, governance, leveranciersrisico, monitoring en het bewijs dat je dit daadwerkelijk uitvoert.
  Zie: Article 21 beveiligingsmaatregelen in begrijpelijke taal.
• Article 23 draait om klaar zijn om significante incidenten snel te melden — juist onder druk.
  Zie: NIS2-incidentrapportage (Article 23): het 24–72–30-playbook.
• Voor een end-to-end overzicht: begin bij de hub: NIS2-gereedheidschecklist voor EU-mkb.

Als je doel zakelijk vertrouwen is (en niet alleen vinkjes zetten), dan zit hier het echte werk.

Helderheid zonder er een juridisch project van te maken?

We doen ons niet voor als jouw indieningsagent. Maar we kunnen je wél helpen met het bevestigen van scope, het afstemmen van je beveiligingsmaatregelen op NIS2-verwachtingen en het opbouwen van het bewijs dat je nodig hebt bij toezicht of incidenten.

Bullets:

• Scopebevestiging en een praktische readiness-roadmap
• Evidence-first implementatie afgestemd op Article 21 en Article 23

Over Sunbytes: Transform · Secure · Accelerate

Sunbytes is gebouwd rond drie pijlers die elkaar versterken:

• Transform – We helpen teams producten en delivery te moderniseren, zodat groei niet gepaard gaat met verborgen kwetsbaarheid.
• Secure – We maken cybersecurity praktisch en operationeel, zodat risicomanagement onderdeel wordt van hoe je levert.
• Accelerate – We helpen organisaties opschalen met de juiste mensen en systemen, zodat snelheid niet ten koste gaat van kwaliteit of compliance.

Samen zorgen deze pijlers ervoor dat je verder gaat dan “registratie” — richting echte operationele gereedheid, waar vertrouwen zich bewijst onder druk.