Kort gezegd: De EU-richtlijn NIS2 verplicht aanzienlijk meer bedrijven dan voorheen tot maatregelen voor risicobeheer en tot het melden van significante beveiligingsincidenten. In Duitsland wordt ze omgezet door het NIS2-Umsetzungs- und Cybersicherheitsstärkungsgesetz (NIS2UmsuCG, Duitse wet); bevoegde autoriteit is het BSI. Voor webservers betekent dat vooral: updates, kwetsbaarhedenbeheer en incidentafhandeling moeten georganiseerd en aantoonbaar zijn. Deze pagina is algemene informatie, geen juridisch advies.
Geen juridisch advies: of uw bedrijf onder NIS2 valt en welke verplichtingen in het individuele geval gelden, zoekt u uit aan de hand van de opgaven van het BSI en met juridisch advies. Wij noemen bewust geen drempelwaarden of termijnen die van uw indeling afhangen.
Wat NIS2 is
NIS2 is de tweede EU-richtlijn voor netwerk- en informatiebeveiliging. Ze verruimt de kring van verplichte bedrijven aanzienlijk ten opzichte van de eerdere regeling en maakt onderscheid tussen essentiële en belangrijke entiteiten. Welke sectoren en grootteklassen eronder vallen, bepaalt de wet.
In Duitsland zet het NIS2UmsuCG de richtlijn om en herschrijft daarvoor onder meer de BSI-Gesetz (BSI-wet, Duitse wet). Het BSI is aanspreekpunt voor registratie, meldingen en toezicht en biedt op zijn website informatie en hulpmiddelen voor de indeling. Betrouwbare, actuele gegevens over termijnen en procedures vindt u daar, niet in algemene samenvattingen.
NIS2-verplichtingen voor bedrijven in overzicht
Voor getroffen bedrijven zijn de verplichtingen grofweg in drie gebieden samen te vatten:
Risicobeheer. Bedrijven moeten passende en evenredige technische en organisatorische maatregelen nemen. Daartoe behoren typisch concepten voor risicoanalyse en informatiebeveiliging, het afhandelen van beveiligingsincidenten, bedrijfscontinuïteit met back-ups en crisisbeheer, beveiliging van de toeleveringsketen, beveiliging bij aanschaf, ontwikkeling en onderhoud, inclusief de omgang met kwetsbaarheden, toegangscontrole en cryptografie.
Meldingen. Significante beveiligingsincidenten moeten worden gemeld aan het BSI. De richtlijn voorziet daarvoor in een gefaseerde procedure, van een vroege eerste melding tot een eindverslag. De precieze termijnen en meldkanalen voor Duitsland vindt u in de opgaven van het BSI.
Verantwoordelijkheid van de leiding. De bedrijfsleiding moet de maatregelen goedkeuren, de uitvoering ervan toezien en zich laten scholen in vraagstukken van cyberbeveiliging. Meer daarover onder Aansprakelijkheid van de directie.
Wat dat voor webservers betekent
Webservers zijn vaak het meest open systeem van een bedrijf. PHP2Shell laat zien hoe snel een kwetsbaarheid in een basiscomponent alle daarop draaiende toepassingen kan treffen. De twee kwetsbaarheden CVE-2026-109618 en CVE-2026-109619 maken codeuitvoering zonder inloggen mogelijk; het BSI heeft waarschuwingsniveau 3 (oranje) afgekondigd en een onmiddellijke update geadviseerd.
Voor een NIS2-plichtig bedrijf rijzen daaruit praktische vragen: weten wij welke servers PHP gebruiken en in welke versie? Wie volgt beveiligingsmeldingen en beslist over noodupdates? Kunnen wij een aanval herkennen, en wie beoordeelt of een incident significant en dus meldplichtig is? Is geregeld wat hostingprovider en dienstverleners overnemen?
Een patch verwijdert geen schadelijke software die eerder is ingebracht en bewijst niet dat er niets is gebeurd. Ook dat hoort bij de beoordeling van het incident.
Concrete maatregelen voor de webinfrastructuur
De volgende punten vormen geen uitputtende lijst, maar dekken de meest voorkomende hiaten:
| Maatregel | Aanknopingspunt |
|---|---|
| Inventaris van alle webservers, PHP-versies en toepassingen | Risicoanalyse |
| Vaste procedure voor beveiligingsupdates incl. herstart en bewijs | Kwetsbaarhedenbeheer |
| Bewaking en bewaring van logs | Incidentafhandeling |
| Geteste back-ups en herstelplan | Bedrijfscontinuïteit |
| Taakverdeling met hostingprovider en bureaus schriftelijk | Toeleveringsketen |
| Multifactorauthenticatie voor beheerderstoegangen | Toegangscontrole |
| Voorbereide meldkanalen en verantwoordelijkheden | Meldplichten |
Als methodisch kader is de IT-Grundschutz van het BSI geschikt. Een IT-noodplan voor webservers verbindt techniek, verantwoordelijkheden en meldkanalen.
NIS2 en gegevensbescherming samen bekijken
Een aanval op een webserver kan tegelijk een NIS2-incident en een inbreuk op de gegevensbescherming zijn. Dan lopen twee procedures naast elkaar, met verschillende autoriteiten en eisen. De melding aan de toezichthouder voor gegevensbescherming volgens art. 33 AVG is beschreven in Meldplicht AVG: 72 uur. Plan beide wegen vooraf, zodat in een noodgeval niemand hoeft te improviseren.
Een ander punt betreft dienstverleners. Veel bedrijven laten websites door bureaus onderhouden en servers door hostingproviders beheren. De plicht om risico's in de toeleveringsketen mee te wegen betekent in de praktijk: contractueel regelen wie beveiligingsupdates doorvoert, hoe snel kritieke kwetsbaarheden worden behandeld, hoe u over incidenten wordt geïnformeerd en welk bewijs u ontvangt. De situatie rond PHP2Shell is een goede toetssteen of deze regelingen al bestaan en in een noodgeval hebben gewerkt. Ontbreekt een antwoord, dan is dat een punt voor uw risicobeheer.
Hoe helpt PHP SOS concreet?
- Wij inventariseren uw webinfrastructuur en beoordelen risico's en hiaten in een vorm die u voor uw risicobeheer kunt gebruiken.
- Wij richten een aantoonbare procedure voor beveiligingsupdates in en nemen die op verzoek over via een beveiligingsonderhoudscontract.
- Met security monitoring en logbewaring leggen we de basis om incidenten te herkennen en te beoordelen.
- Bij een incident leveren we de technische feiten voor uw melding aan het BSI; de juridische beoordeling blijft bij u en uw juridisch adviseur.
Veelgestelde vragen
Valt mijn bedrijf onder NIS2?
Dat hangt onder meer af van sector en bedrijfsgrootte. De precieze criteria volgen uit de nationale omzettingswetgeving; in Duitsland uit de Duitse omzettingswet. Het BSI (de Duitse federale dienst voor informatiebeveiliging) biedt op zijn website informatie over de betrokkenheid; laat u in geval van twijfel juridisch adviseren.
Wat betekent NIS2 voor een bedrijfswebsite?
Webservers, klantenportalen en webwinkels horen bij de systemen waarvan een getroffen bedrijf de risico's moet beheersen. Daartoe behoren updates, kwetsbaarhedenbeheer, toegangscontrole en het vermogen incidenten te herkennen en te melden.
Welke meldtermijnen gelden volgens NIS2?
De richtlijn voorziet in een gefaseerde meldprocedure voor significante beveiligingsincidenten. De bindende termijnen, kanalen en formulieren voor Duitsland vindt u in de opgaven van het BSI en in de wettekst. Wij noemen hier bewust geen termijnen zonder verband met uw situatie.
Geldt NIS2 ook voor toeleveranciers?
NIS2 verlangt van getroffen entiteiten dat ze ook de veiligheid van hun toeleveringsketen meewegen. Daarom vragen veel klanten hun dienstverleners en toeleveranciers naar beveiligingsmaatregelen, ook als die zelf niet rechtstreeks onder de wet vallen.