NIS2 is inmiddels wet in de meeste EU-lidstaten, DORA geldt voor de hele financiële sector en de AVG voor iedereen met persoonsgegevens. Allemaal willen ze zien dat back-ups, herstel en incidentafhandeling geregeld zijn, en dat je dat kunt laten zien.
Een kort overzicht voor de Europese Unie. Of je organisatie eronder valt, bepaal je zelf, samen met je toezichthouder of adviseur.
Energie, vervoer, zorg, drinkwater, digitale infrastructuur, maakindustrie, overheid en meer. Elke EU-lidstaat heeft zijn eigen wet, zoals de Cyberbeveiligingswet in Nederland en de NIS2-wetten in België en Duitsland.
Back-up en herstel: Artikel 21 noemt bedrijfscontinuïteit, zoals back-upbeheer en noodherstel, en crisisbeheer met name.
MSP’s en managed security providers zijn een aparte sector in NIS2. Vanaf middelgroot (50 medewerkers of €10 miljoen omzet) vallen ze er in elke lidstaat onder.
Back-up en herstel: Je eigen continuïteit, en de vragen van elke klant die zijn toeleveringsketen moet controleren.
Banken, verzekeraars, beleggingsondernemingen en andere financiële instellingen in de hele EU. Van toepassing sinds 17 januari 2025.
Back-up en herstel: Back-upbeleid, procedures voor terugzetten en herstel, en grip op je ICT-leveranciers.
Artikel 32 vraagt overal in de EU om passende beveiliging van persoonsgegevens.
Back-up en herstel: Het vermogen om na een incident de beschikbaarheid van en toegang tot persoonsgegevens tijdig te herstellen.
De Baseline Informatiebeveiliging Overheid (versie 1.3, afgestemd op de Cbw) en de norm voor informatiebeveiliging in de zorg.
Back-up en herstel: Back-ups, continuïteit en beschikbaarheid van gegevens horen bij de maatregelen die je moet kunnen aantonen.
Waar de meeste van onze klanten zitten, en waar de regels al gelden.
Van kracht sinds 15 augustus 2026. Organisaties die eronder vallen, registreren zich bij het NCSC. De zorgplicht noemt bedrijfscontinuïteit, zoals back-upbeheer, uitdrukkelijk, en het bestuur moet de maatregelen goedkeuren en erop toezien.
Van kracht sinds 18 oktober 2024, met het CCB als toezichthouder. Essentiële entiteiten moesten uiterlijk 18 april 2026 laten zien dat ze een erkende route volgen: CyberFundamentals (CyFun) of ISO 27001, met volledige ISO 27001-certificering uiterlijk in april 2027.
Het deel over back-up en herstel: onveranderbare back-ups, geteste restores, een herstelplan en de rapporten die het aantonen. Compliant maken we je niet; dat deel maken we aantoonbaar.
Bronnen: CCB over de deadline van 18 april 2026 en de NCSC-flyer over de Cyberbeveiligingswet.
Van regel naar bewijs
Elk kader vraagt in eigen woorden om hetzelfde: dat je je data en systemen terugkrijgt, en dat je dat kunt aantonen. Kies een kader en zie welke onderdelen van onze dienst je dat bewijs leveren.
“Bedrijfscontinuïteit, zoals back-upbeheer en herstel na een noodgeval, en crisisbeheer”, plus de beveiliging van je toeleveringsketen.
Een back-upbeleid en geteste procedures voor terugzetten en herstel. Plus grip op de ICT-leveranciers waar je van afhankelijk bent.
“Het vermogen om bij een incident de beschikbaarheid van en de toegang tot persoonsgegevens tijdig te herstellen”, en een verwerker met wie je een overeenkomst hebt.
Nederlandse normen voor de overheid en de zorg. Back-ups, continuïteit, beschikbaarheid van patiëntgegevens en grip op leveranciers horen erbij.
Wij leveren maatregelen en bewijs. Of je organisatie voldoet, beoordeel je zelf of samen met je auditor of toezichthouder.
De details verschillen per lidstaat, de kern is overal hetzelfde.
| Verplichting | Wat het betekent | Waar Immutec helpt |
|---|---|---|
| Zorgplicht | Neem passende maatregelen voor je netwerk- en informatiesystemen, op basis van een risicoanalyse. | Onveranderbare back-ups buiten je netwerk, disaster recovery en geteste restores |
| Meldplicht | Vroegtijdige waarschuwing binnen 24 uur, melding binnen 72 uur, eindrapport binnen een maand. | Logs en een incidenttijdlijn uit je back-upgeschiedenis |
| Verantwoordelijkheid van het bestuur | Het bestuur keurt de maatregelen goed, houdt er toezicht op en volgt training. | Heldere rapportages en testresultaten die het bestuur begrijpt |
| Toeleveringsketen | Beoordeel de beveiliging van je leveranciers. | ISO 27001:2022-gecertificeerde leverancier, data in de EU, vastgelegde scope |
| Registratie | Registreer je bij de nationale toezichthouder als je organisatie eronder valt, in Nederland bij het NCSC. | Dit doe je zelf; wij vertellen je graag welke gegevens er meestal nodig zijn |
NIS2 maakt boetes mogelijk tot € 10 miljoen of 2% van de wereldwijde omzet voor essentiële entiteiten. Deze pagina is algemene informatie, geen juridisch advies. Controleer je eigen verplichtingen bij de officiële bronnen, bijvoorbeeld de NCSC-flyer over de Cyberbeveiligingswet en BIO2 versie 1.3.
Beheerde back-up Disaster recovery Cyber recovery Bewijs voor je directieStaat je vraag er niet bij? Bel ons op +31 (0)85 482 3400.
Geen enkele leverancier kan ervoor zorgen dat je aan de regels voldoet. Dat gaat over je hele organisatie. Wij regelen een belangrijk deel van de maatregelen, namelijk back-up en herstel, en geven je het bewijs om dat te laten zien.
Managed service providers zijn een aparte sector in NIS2. Met 50 of meer medewerkers of meer dan €10 miljoen omzet val je er zeer waarschijnlijk onder. Check het bij je nationale toezichthouder; in Nederland heeft de overheid een zelftest. Ook als je er niet onder valt, gaan je klanten ernaar vragen.
Ja. Je back-ups staan in onze eigen private cloud in een datacenter in Amsterdam.
Rapporten van hersteltests, het herstelplan met RPO en RTO per dienst, back-uplogs en, tijdens een incident, een tijdlijn uit je back-upgeschiedenis. Plus ons ISO 27001:2022-certificaat voor je leveranciersdossier.
We lopen je afspraken over back-up en herstel met je door en zeggen wat er nog ontbreekt voor NIS2, DORA of de AVG.