NIS2 vs GDPR
NIS2 versus GDPR: de één beschermt de weerbaarheid van diensten, de ander beschermt persoonsgegevens. Veel bedrijven moeten beide naleven.
NIS2 vs GDPR is een kwestie van wat elke wet beschermt. GDPR beschermt de persoonsgegevens van individuen en geldt voor bijna elke organisatie die deze verwerkt. NIS2 beschermt de beveiliging en continuïteit van netwerk- en informatiesystemen en geldt voor organisaties in de genoemde sectoren boven een omvangdrempel.
Ze overlappen elkaar, maar de een vervangt de ander niet. Een bedrijf in een gedekte sector kan met beide regels tegelijk te maken krijgen, en één incident, zoals een datalek met persoonsgegevens, kan meldingen onder beide regels triggeren. Deze pagina is algemene informatie, geen juridisch advies.
Naast elkaar
| Mogelijkheid | NIS2 | GDPR |
|---|---|---|
| Volledige naam | Richtlijn (EU) 2022/2555 over maatregelen voor een hoog gezamenlijk niveau van cyberbeveiliging | Verordening (EU) 2016/679, de Algemene verordening gegevensbescherming |
| Wat het beschermt | Beveiliging en continuïteit van netwerk- en informatiesystemen en -diensten | Persoonsgegevens en de rechten van individuen |
| Rechtsvorm | Richtlijn, elke lidstaat stelt zijn eigen nationale wet vast | Verordening, geldt rechtstreeks in alle lidstaten |
| Wie wordt gedekt | Essentiële en belangrijke entiteiten in de genoemde sectoren, doorgaans middelgroot en groot | Elke organisatie die persoonsgegevens van mensen in de EU verwerkt, elke omvang |
| Kerntaken | Risicomanagementmaatregelen, supply chain security, verantwoording van het management | Rechtsgrond, dataminimalisatie, beveiliging, rechten van betrokkenen |
| Incidentmelding | Vroege waarschuwing binnen 24 uur, melding binnen 72 uur, eindrapport binnen één maand | Meld een datalek binnen 72 uur bij de gegevensbeschermingsautoriteit |
| Wie wordt geïnformeerd | Nationale cybersecurityautoriteit of CSIRT | Gegevensbeschermingsautoriteit, en getroffen personen bij hoog risico |
| Maximale boetes | Tot EUR 10 miljoen of 2% van de omzet voor essentiële entiteiten, EUR 7 miljoen of 1,4% voor belangrijke entiteiten | Tot EUR 20 miljoen of 4% van de wereldwijde omzet |
| Aansprakelijkheid van het management | Expliciet, management moet maatregelen goedkeuren en toezicht houden | Organisatie is verantwoordelijk, geen specifieke managementclausule |
Waar elk goed in is
NIS2
- Verhoogt de beveiligingsbasis in hele sectoren
- Legt de verantwoordelijkheid voor beveiliging bij het management
- Dekt risico's in de toeleveringsketen
- Stelt duidelijke, snelle stappen voor incidentmelding vast
- Reikwijdte en details verschillen per lidstaat
- Geldt alleen voor bepaalde sectoren en groottes
- Vereist dat beveiligingsmaatregelen worden gepland en gedocumenteerd
GDPR
- Geeft individuen sterke, duidelijke rechten
- Geldt op dezelfde manier in de hele EU
- Goed gevestigd, met jarenlange begeleiding
- Dekt organisaties van elke omvang
- Richt zich op persoonsgegevens, niet op alle systemen
- Beveiligingsregels zijn breed in plaats van specifiek
- Zware documentatie- en toestemmingsverplichtingen
Focus op NIS2 wanneer
- U bent actief in een sector die de richtlijn noemt, zoals energie, transport, gezondheid, digitale infrastructuur of productie van kritieke goederen
- U bent een middelgroot of groot bedrijf, of levert daaraan
- Uitval van uw dienst zou klanten of het publiek raken
- Een klant vraagt om bewijs van supply chain-beveiliging
- Uw bestuur moet kunnen aantonen dat het cyberrisico beheerst
Focus op GDPR wanneer
- U verzamelt of bewaart klant-, medewerker- of gebruikersdata
- U beheert een website, webshop of app met accounts of tracking
- U gebruikt verwerkers of clouddiensten voor persoonsgegevens
- Mensen vragen om hun gegevens in te zien, te corrigeren of te verwijderen
- U bent een klein bedrijf buiten de NIS2-sectoren
Veelgestelde vragen
Wat is het belangrijkste verschil tussen NIS2 en GDPR?
Vervangt NIS2 de GDPR?
Moeten kleine bedrijven NIS2 vs GDPR volgen?
Wanneer ging NIS2 in?
Weet u niet zeker hoe dit voor u werkt?
Een senior engineer loopt uw site, uw zoekpositie en de manier waarop aanvragen u bereiken na, en schrijft dan de drie dingen op die u het eerst moet aanpakken. Het document is hoe dan ook van u.