Frankrijks uitstel van NIS 2 is geen vrijstelling van naleving

Uitstel is geen vrijstelling, en Franse organisaties die het nieuws van deze week lezen als toestemming om te wachten, onderschatten hun eigen risico. Het wetsvoorstel dat de NIS 2-richtlijn omzet in Franse wetgeving zou op 7 oktober 2026 in de Nationale Vergadering worden behandeld. De agendacommissie van de Vergadering heeft het voorstel de dag ervoor ingetrokken, zonder nieuwe datum.

Het klinkt als goed nieuws als je verantwoordelijk bent voor beveiliging of compliance bij een ziekenhuisgroep, een chemieproducent, een onderzoeksinstituut of een contractproducent die nooit eerder aan een Europese cyberbeveiligingsautoriteit heeft gerapporteerd. Dat is het niet. De berichtgeving van Silicon.fr over het wetsvoorstel beschrijft een tekst die de gereguleerde perimeter uitbreidt van 6 naar 18 sectoren en van ongeveer 500 naar bijna 15.000 entiteiten. Wanneer de stemming ook plaatsvindt, zullen deze organisaties een vraag krijgen die ze niet uit het hoofd kunnen beantwoorden.

De vraag is simpel. Kun je op verzoek aantonen dat gevoelige gegevens die je organisatie binnenkomen en verlaten, zijn gecontroleerd, gelogd en binnen de tijd van de toezichthouder rapporteerbaar zijn? NIS 2-naleving is net zozeer een bewijsvoering als een beveiligingsvraagstuk, en bewijs kost meer tijd om te verzamelen dan een wetgevingskalender je ooit zal geven. Kiteworks secure data exchange vult precies dat gat, en daarom is deze vertraging belangrijker voor de CISO en de Chief Compliance Officer dan de kop doet vermoeden.

Belangrijkste inzichten

1. De vertraging is geen vrijstelling.

De Vergadering trok het wetsvoorstel op 6 oktober 2026 in, maar de EU-deadline voor omzetting verliep al in oktober 2024 en de Europese Commissie vraagt de rechter inmiddels om Frankrijk financiële sancties op te leggen.

2. De gereguleerde perimeter groeit naar verwachting dertigvoudig.

Het wetsvoorstel voorziet in een groei van ongeveer 500 gereguleerde entiteiten naar bijna 15.000, verspreid over 18 sectoren in plaats van 6.

3. De verplichtingen zijn nu al bekend.

De richtlijn zelf stelt een 24-uurs vroegtijdige waarschuwing, een 72-uurs incidentmelding, verplichtingen voor beveiliging van de toeleveringsketen en boeteplafonds van minimaal 10 miljoen euro of 2 procent van de wereldwijde omzet voor essentiële entiteiten.

4. Bewijs, niet tooling, is de bottleneck.

Gefragmenteerde logs over e-mail, bestandsoverdracht en beheerde bestandsoverdracht veranderen een 72-uurs rapportagetermijn in een handmatig forensisch onderzoek.

5. Eerst scope, dan bewijs, nooit wachten.

CISO’s en Chief Compliance Officers moeten de entiteitsstatus bevestigen, gevoelige gegevensuitwisseling met leveranciers in kaart brengen en een exporteerbaar bewijspakket opbouwen voordat de Franse decreten zijn geschreven.

Wat is er deze week met het Franse NIS 2-wetsvoorstel gebeurd?

De tekst is wetsvoorstel nummer 1112, over de weerbaarheid van kritieke infrastructuren en de versterking van cyberbeveiliging. Het bevat ook de omzetting van de richtlijn kritieke entiteiten weerbaarheid en de richtlijn die DORA begeleidt, dus NIS 2 is één van drie onderwerpen op hetzelfde traject. De regering diende het voorstel op 15 oktober 2024 in bij de Senaat onder de versnelde procedure. De Senaat nam het aan op 12 maart 2025 met 181 stemmen tegen 134. Een speciale commissie van de Vergadering nam vervolgens haar eigen versie aan op 10 september 2025.

Daarna bleef het liggen. De juridische update van Leto over het uitstel vermeldt dat op 6 oktober de conferentie van voorzitters van de Vergadering het wetsvoorstel van de agenda voor de zittingen van 7 en 9 oktober verwijderde. Officieel is de agenda overvol; de behandeling van een apart wetsvoorstel over seksueel en seksistisch geweld loopt uit. Rapporteur Éric Bothorel heeft aangegeven te hopen dat de tekst binnen twee tot drie weken terugkeert. De volgende conferentie van voorzitters is op 13 oktober, en een ingetrokken tekst krijgt niet automatisch zijn plek terug.

Lees die volgorde nog eens. Een wetsvoorstel dat in maart 2025 door de Senaat kwam, is nu twee keer vertraagd in de Vergadering, de eerste keer tot september 2026. Niemand verwacht serieus dat de Franse regering de omzetting laat varen. Iedereen moet verwachten dat het schema onvoorspelbaar blijft.

Eén politiek detail verdient aandacht omdat het de bron van de frictie toont. De Senaat voegde een artikel toe, genummerd 16 bis, dat de staat zou verbieden om encryptie-aanbieders te verplichten achterdeurtjes in te bouwen of master keys af te geven. De analyse van NOVRISK over het uitstel meldt dat drie dagen voor het uitstel, op 3 oktober, een regeringsamendement werd ingediend om dat artikel te schrappen, en merkt op dat er geen openbaar document is dat de twee gebeurtenissen koppelt. Dit is een debat over encryptiebeleid, niet over NIS 2-verplichtingen. Het laat zien dat de vertraging een politieke oorzaak heeft, en politieke oorzaken zijn tijdelijk.

De sprong in scope: van 500 naar bijna 15.000 entiteiten

Dit is het getal dat je prioriteiten zou moeten veranderen. Momenteel vallen ongeveer 500 Franse entiteiten onder het eerdere NIS-regime. Na de wijziging voorziet de toelichting van het wetsvoorstel in bijna 15.000. Dat is ongeveer een dertigvoudige uitbreiding van het aantal organisaties dat cyberbeveiligingsbeheer aan een nationale autoriteit moet aantonen.

Die autoriteit is ANSSI, het Franse nationale agentschap voor cyberbeveiliging. Volgens Silicon.fr verwacht de commissie dat ANSSI ongeveer 14.500 entiteiten zal superviseren. In hetzelfde artikel staat dat de perimeter ongeveer 1.500 lokale overheden omvat, waaronder gemeenten met meer dan 30.000 inwoners, naast centrale overheden, middelgrote en grote bedrijven en actoren in de toeleveringsketen.

Twee kenmerken van het ontwerp zijn relevant voor lezers uit de private sector. Ten eerste worden entiteiten ingedeeld als essentieel of belangrijk, met verplichtingen die geschaald zijn naar kritiek. Ten tweede zijn de staat, lokale overheden en hun administratieve publieke lichamen vrijgesteld van boetes, maar niet van de beveiligings- en meldingsplichten. Werk je bij een publiek lichaam, dan loop je geen boeterisico; het risico is een negatieve audit.

De sectorlijst komt uit de NIS 2-richtlijn zelf, waarvan de bijlagen veel verder reiken dan de energie-, transport- en banksector die eerder onder de regels vielen. Ze noemen onder andere zorg, digitale infrastructuur, chemie, post- en koeriersdiensten, onderzoek en de productie van bepaalde goederen. Een middelgrote producent van medische apparatuur, een regionaal laboratoriumnetwerk, een contractproducent van chemicaliën en een managed hosting provider kunnen allemaal onder de scope vallen zonder ooit een cyberbeveiligingsrapport bij een toezichthouder te hebben ingediend.

Denk aan een hypothetisch voorbeeld. Een precisieproducent met 600 medewerkers in de regio Auvergne-Rhône-Alpes levert onderdelen aan een luchtvaart-hoofdaannemer en wisselt engineeringbestanden, leverancierskwaliteitsrapporten en personeelsgegevens uit met elf partners via e-mail, SFTP en een bestandsoverdrachtsdienst die iemand op operations vier jaar geleden heeft geïntroduceerd. Niemand binnen het bedrijf is ooit gevraagd om aan een auditor te tonen wie wat, aan wie, onder welk beleid heeft verstuurd. In het nieuwe regime wordt die vraag routine. De producent heeft maandag geen nieuwe producten nodig. Het moet weten wat het dinsdag kan overhandigen.

Brussel is het debat al voorbij

De omzettingsdeadline voor NIS 2 was 17 oktober 2024. Tegen de tijd dat de Franse Vergadering de tekst weer oppakt, is Frankrijk er twee jaar overheen.

De EU ziet dat niet als een afrondingsfout. Op 8 juli 2026 maakte de Europese Commissie bekend dat zij Ierland, Spanje, Frankrijk en Nederland voor het Hof van Justitie van de Europese Unie daagt wegens het niet melden van nationale omzettingsmaatregelen, inclusief een verzoek om financiële sancties. De Commissie vraagt om boetes die lopen tot volledige omzetting is gemeld, dus het uitstel stopt de teller niet. Die blijft lopen.

De vergelijking is ook relevant, want het verhaal dat Frankrijk slechts één van vele achterblijvers is, klopt niet. De NIS 2 transposition tracker van ECSO telt 23 van de 27 lidstaten die een nationale wet hebben aangenomen, al telt deze alleen de primaire wetgeving en niet de strengere toets van de Commissie. Daarmee staat Frankrijk bij de vier landen die de Commissie voor de rechter bracht, niet in een Europa dat half is omgezet. Bedrijven met activiteiten in Italië of België vallen al onder nationale regels, en een Franse dochter die rapporteert aan een groeps-CISO krijgt nu al vragen over NIS 2-gereedheid van het moederbedrijf.

Het praktische gevolg is een compliancepositie met twee snelheden. Je groep wordt waarschijnlijk al gemeten aan NIS 2-verwachtingen. Je Franse entiteit wacht op een wet. Die twee posities kunnen niet allebei standhouden bij de eerste klantvragenlijst of de eerste grensoverschrijdende audit.

Verplichtingen wachten niet tot de wet definitief is

De Franse uitvoeringsdecreten zijn nog niet geschreven, en volgens ANSSI, geciteerd door Silicon.fr, treedt NIS 2 in Frankrijk pas in werking zodra de wet, decreten en besluiten allemaal zijn afgekondigd. Er is nog geen publieke compliance-datum. Dat is het sterkste argument om te wachten, maar het is minder sterk dan het lijkt, want de richtlijn geeft het grootste deel van wat de decreten zullen operationaliseren al prijs.

Begin met verantwoordelijkheid. Volgens de richtlijn moet het bestuursorgaan van een entiteit cyberbeveiligingsmaatregelen goedkeuren en toezicht houden op de uitvoering, en kunnen leden aansprakelijk worden gesteld voor overtredingen, zoals de tekst van de richtlijn expliciet maakt. Die zin maakt van NIS 2 een bestuursprobleem in plaats van alleen een IT-probleem, en daarom moeten de Chief Compliance Officer en de General Counsel samen met de CISO aan tafel zitten.

Dan de klok. Dezelfde richtlijn vereist een vroegtijdige waarschuwing binnen 24 uur na kennisname van een significant incident, een incidentmelding binnen 72 uur en een eindrapport binnen een maand. Een organisatie die een week nodig heeft om uit te zoeken welke bestanden via welk kanaal zijn vertrokken, haalt die termijnen niet. Het incident response plan is meestal niet het zwakke punt. De data die het voedt wel.

Vervolgens de beveiliging van de toeleveringsketen. De richtlijn vereist risicobeheersmaatregelen die de beveiliging van relaties met directe leveranciers en dienstverleners adresseren. Als je risicobeheer toeleveringsketen een spreadsheet met leveranciers en een vragenlijst is, heb je een inventaris, geen bewijs van controle. Een auditor zal vragen hoe gevoelige data tussen jou en een leverancier beweegt, wie het heeft goedgekeurd en waar het bewijs daarvan is opgeslagen.

Tot slot de boetes. Silicon.fr meldt dat de Franse tekst administratieve boetes maximeert op 10 miljoen euro of 2 procent van de wereldwijde jaaromzet, wat overeenkomt met het minimumplafond van de richtlijn voor essentiële entiteiten. Belangrijke entiteiten krijgen een lager plafond, minimaal 7 miljoen euro of 1,4 procent. Voor een middelgroot bedrijf is de boete een plafond dat je hoopt nooit te benaderen. De aansprakelijkheid die sneller komt, is een mislukte audit, een corrigerende maatregel en een contract dat je grootste klant niet verlengt tot je het hebt opgelost. De achtergrond over NIS 2 audit en handhaving laat zien hoe dat proces meestal verloopt.

Het bewijsprobleem achter elke deadline

De meeste organisaties falen niet in compliance omdat ze geen controle hebben. Ze falen omdat ze niet kunnen bewijzen dat de controle werkte.

Dat blijkt uit de onderzoeksresultaten van Kiteworks onder 225 security-, IT-, compliance- en risicoleiders, verzameld in het vierde kwartaal van 2025. In het Kiteworks 2026 Data Security and Compliance Risk: Annual Forecast Report hanteerde slechts 39 procent van de respondenten een geïntegreerde aanpak van gegevensuitwisseling met handhaving. De overige 61 procent werkte met gedeeltelijke, kanaalspecifieke of minimale aanpakken, en het rapport koppelt die fragmentatie direct aan logs die verspreid zijn over platforms, elk met hun eigen formaat en bewaarbeleid.

Denk na over wat dat betekent met een 72-uurs klok. Er doet zich een incident voor. Het securityteam moet bepalen welke data betrokken was, wie er toegang toe had en via welk kanaal. De e-mail logs staan in het ene systeem, de logs van beheerde bestandsoverdracht in een ander, het audittrail van bestandsoverdracht in een derde, en de webformulierinzendingen zijn nergens duidelijk te vinden. Niemand faalde op beveiliging. Ze faalden op samenstelling. Uit hetzelfde rapport blijkt dat een derde van de respondenten helemaal geen audittrails van bewijskwaliteit heeft.

Leveranciersenquêtes verdienen scepsis, ook die van ons. Dit is een Kiteworks-studie met een bescheiden steekproef, dus zie het als richtinggevend. Maar het patroon dat wordt beschreven, is hetzelfde dat elke Chief Compliance Officer herkent, en het CCO-perspectief is hier het nuttige. De logs bestaan. Ze zijn geen bewijs. Een auditor wil geen twaalf exports en een mondelinge uitleg. Een auditor wil een samenhangende chronologische documentatie die de organisatie in dagen kan overleggen, want de klok van de toezichthouder loopt in dagen, en het bewijspakket kost meestal weken.

Noem het het samenstellingsprobleem. Het is het verschil tussen logs hebben en kunnen bewijzen wat ze aantonen, en daar wordt een NIS 2-onderzoek gewonnen of verloren.

Waar gevoelige gegevensuitwisseling NIS 2 raakt

Zoom in op de werklast die de richtlijn het meest direct raakt voor de nieuw gereguleerden: gevoelige data die de organisatie verlaat en binnenkomt. Patiënten- en onderzoeksgegevens in de zorg. Engineeringtekeningen, formuleringen en leveranciersdossiers in productie en chemie. Personeelsdossiers overal. Elk van die stromen passeert een grens waar de verplichtingen van de richtlijn op toegangscontrole, encryptie, incidentafhandeling en beveiliging van de toeleveringsketen samenkomen.

Het architecturale uitgangspunt om te overwegen is één controlevlak voor die uitwisseling in plaats van een aparte set tools per kanaal. In het Kiteworks Control Plane delen beveiligde MFT, beveiligde e-mail en beveiligde bestandsoverdracht één beleidsengine en één geconsolideerde auditlog, zodat een vraag over een specifiek bestand één antwoord uit één bron oplevert. Audit logs zijn ontworpen als onveranderlijk, en logfeeds kunnen in realtime naar een SIEM worden gestuurd, wat belangrijk is als de 24-uurs waarschuwingsklok al loopt. Het platform is bovendien gecertificeerd voor ISO 27001, ISO 27017 en ISO 27018 en SOC 2 Type II, wat aansluit bij de leveranciersgarantievragen die je eigen klanten gaan stellen.

Wees precies over wat dat wel en niet doet. Geen enkele software maakt een organisatie NIS 2-compliant. Compliance is een beoordeling van je governance, risicobeheer en rapportage, uitgevoerd door een toezichthouder. Wat een uniforme gegevensuitwisselingslaag biedt, is de bewijszijde van de balans, het deel dat het lastigst achteraf te realiseren is na een incident. Daarom reguleren toezichthouders data, niet tools. ANSSI zal niet vragen welk product je hebt gekocht. Ze willen weten wie toegang had tot wat, wanneer, en onder wiens bevoegdheid.

Voor zorgorganisaties maakt de overlap met GDPR en nationale gezondheidsdatavoorschriften die registratie nog waardevoller, omdat dezelfde log zowel het dossier van de Data Protection Officer als het incidentenbestand van de CISO ondersteunt. Voor producenten en chemie adresseert het de leveranciersgerichte kant van de richtlijn, waar intellectueel eigendom en operationele data naar partners gaan die je niet zelf beheerst.

Wat te doen vóór de decreten van kracht worden

Wachten op de decreten is een logische keuze vanuit juridisch oogpunt, maar een slechte keuze qua voorbereiding. Dit is wat een CISO en een Chief Compliance Officer nu kunnen doen, in een volgorde die past bij een normale planningscyclus.

Beantwoord de scope-vraag. Stel vast of jouw entiteit, en elke dochter, waarschijnlijk essentieel, belangrijk of buiten scope valt, op basis van de bijlagen van de richtlijn en de gepubliceerde ANSSI-richtlijnen. Ga er niet vanuit dat klein zijn of eerder ongereguleerd je beschermt. De perimeter breidt ongeveer dertigvoudig uit.

Wijs een eigenaar aan. De richtlijn maakt het bestuursorgaan verantwoordelijk, wat in de meeste organisaties een onduidelijkheid oplevert die je bewust moet oplossen. In veel organisaties is dat eigenaarschap verdeeld over de CIO, de CISO en legal, en heeft niemand vastgelegd wie welk onderdeel beheert. Leg vast wie incidentmeldingen beheert, wie leveranciersgarantie verzorgt en wie het bewijs ondertekent.

Breng gevoelige gegevensuitwisseling in kaart. Maak een lijst van elk kanaal waarlangs gereguleerde of vertrouwelijke data naar leveranciers, klanten en partners gaat, inclusief de schaduwkanalen. Stel per kanaal de samenstellingsvraag: als er vanavond een incident in dit kanaal plaatsvindt, hoe lang duurt het om een volledig overzicht te produceren van wat is verstuurd, wie erbij betrokken was en welk beleid gold?

Oefen de 24- en 72-uurs drill. Test niet het geschreven plan, maar het bewijs. Kies een realistisch incident, start een stopwatch en kijk hoe lang het duurt om de meldingsinhoud samen te stellen. De eerste poging zal confronterend zijn. Goed. Beter dat je dat in oktober leert dan midden in een incident.

Plan het bewijspakket. Bepaal nu wat je een auditor zou overhandigen en in welke vorm. Beleid, toegangsbeoordelingen, encryptiestatus, leveranciersgarantiedocumenten en een opvraagbaar audittrail vormen de kern. Gebruik een interne NIS 2 gap-analyse om te bepalen wat ontbreekt, en schat de inspanning af tegen realistische NIS 2 compliancekosten, zodat het budgetgesprek plaatsvindt vóór de deadline.

Hiervoor is de Vergadering niet nodig. Alles hiervan zal worden vereist door wie als eerste aan ANSSI rapporteert.

Wil je meer weten over het opbouwen van auditklaar bewijs voor NIS 2 over e-mail, bestandsoverdracht en beheerde bestandsoverdracht, plan vandaag nog een demo op maat.

Aanvullende bronnen

• Blog Post Het touwtrekken om je data: hoe de CLOUD- en SHIELD-wetten beveiliging en privacy tegenover elkaar zetten
• Blog Post Beveilig gevoelige data door DSPM te koppelen aan je compliance-doelen
• Brief Top 3 FERPA-overtredingen en hoe je ze voorkomt
• Blog Post Executive Order 14117: Bescherming van de gevoelige bulkdata van Amerikanen
• Blog Post NIS2-naleving nodig? Begin met ISO 27001