NIS2 voor internetproviders (ISP's)

Bent u een internetprovider (ISP) in Nederland? Dan valt u vrijwel zeker onder de Cyberbeveiligingswet (Cbw), de Nederlandse uitwerking van NIS2. Dat geldt ook voor kleine providers. In dit artikel vertalen wij de wet naar uw dagelijkse praktijk: het netwerk, DNS, beheertoegang, routering, DDoS en communicatie bij storingen.

Waarom een ISP onder de wet valt

De Cbw geldt voor aanbieders van openbare elektronische communicatienetwerken en openbare elektronische communicatiediensten. Een internettoegangsdienst die u aan klanten levert, is zo'n dienst. Voor deze groep geldt geen algemene vrijstelling voor kleine bedrijven:

• Bent u middelgroot of groter? Dan bent u een essentiële entiteit (artikel 8 Cbw).
• Bent u klein of micro? Dan bent u een belangrijke entiteit (artikel 12 Cbw).

Beide groepen hebben dezelfde zorgplicht en meldplicht. Het verschil zit vooral in het toezicht en de hoogte van de maximale boetes. De wet geldt als u uw diensten in Nederland aanbiedt (artikel 4, tweede lid, Cbw). Twijfelt u over uw indeling? Lees Val ik onder NIS2? of doe de gratis zelfscan.

Toezicht ligt bij de Rijksinspectie Digitale Infrastructuur (RDI). U registreert uw organisatie via MijnNCSC. Daarbij geeft u onder meer uw publieke IP-adressen of -reeksen, domeinnamen en AS-nummers op. Dat staat op de registratiepagina van het NCSC.

Let op uw andere diensten

Veel ISP's doen meer dan internettoegang. Denk aan DNS voor klantdomeinen, hosting, colocatie of beheer van klantnetwerken. Die diensten kunnen een eigen plek in de wet hebben:

• DNS-dienstverlener: de wet noemt een bedrijf dat openbare recursieve DNS voor internetgebruikers levert, of gezaghebbende DNS voor derden. DNS-dienstverleners zijn essentieel, ongeacht hun omvang (artikel 8 Cbw).
• Cloud, datacenter en beheerde diensten: ook deze zijn aparte soorten entiteiten in de wet.

Voor deze soorten entiteiten gelden de zorgplichtartikelen 6 tot en met 18 van het Cyberbeveiligingsbesluit niet. Zij volgen de Europese Uitvoeringsverordening (EU) 2024/2690 (artikel 4 Cbb). Ook kan voor hen het land van de hoofdvestiging bepalend zijn in plaats van het land waar u de dienst aanbiedt. Of de resolvers voor uw eigen abonnees of de DNS voor domeinen van klanten u ook tot DNS-dienstverlener maken, hangt af van uw situatie. Beoordeel dat apart en leg uw conclusie vast.

Wat de zorgplicht betekent voor uw netwerk

De Cbw vraagt passende en evenredige maatregelen (artikel 21 Cbw). De wet noemt tien onderwerpen, van risicoanalyse tot multifactorauthenticatie. De Regeling cyberbeveiliging EZK geeft voor telecom een aantal concrete eisen. Hieronder vertalen wij die naar een ISP.

Beheertoegang tot routers en switches

Wie uw routers kan beheren, kan uw hele dienst stilleggen. De regeling vraagt daarom een beleid voor beheeraccounts (artikel 6). Dat betekent:

• sterke identificatie en authenticatie voor beheeraccounts;
• beheerrechten zo veel mogelijk persoonlijk en beperkt;
• beheerrechten alleen gebruiken voor beheerwerk.

In de praktijk: geen gedeelde admin-accounts, persoonlijke logins met een tweede factor, toegang tot beheerpoorten alleen vanaf een vast beheernetwerk of via een beveiligde verbinding, en oude accounts direct intrekken. Leg ook vast welke leveranciers toegang hebben en hoe.

Segmentatie

De regeling vraagt dat u uw netwerk opdeelt in zones op basis van uw risicoanalyse. Waar dat past, scheidt u uw systemen ook van die van derden (artikel 5, vierde lid). Voor een ISP ligt een apart beheervlak voor de hand. Klantverkeer en beheerverkeer lopen dan niet door elkaar.

Patches en kwetsbaarheden

Beveiligingspatches komen uit betrouwbare bronnen en past u binnen een redelijke termijn toe. Stelt u een patch uit, bijvoorbeeld omdat een router-update risico op uitval geeft? Dan motiveert u dat en legt u het vast (artikel 5, tweede lid). Waar dat past, voert u periodiek kwetsbaarheidsscans uit en legt u de uitkomst vast. Kwetsbaarheden die een risico vormen, verhelpt u onverwijld, of u legt vast waarom dat later gebeurt.

Back-ups en continuïteit

Bewaar configuratieback-ups van routers, switches en servers. De regeling vraagt dat u hersteltijden, herstelpunten en bewaartermijnen vastlegt, en dat u het herstel kunt waarborgen (artikel 4). Test dus ook echt of u een router kunt terugzetten. Uw continuïteitsplan noemt in elk geval taken, contacten, communicatiekanalen en wanneer het plan in werking treedt.

BGP en RPKI

De wet noemt BGP en RPKI niet bij naam. Toch horen routeringsrisico's in uw risicoanalyse. Een verkeerde route-aankondiging, van uzelf of van een ander, kan uw klanten onbereikbaar maken. Maatregelen die veel ISP's nemen zijn: filters op wat u van klanten en peers accepteert, RPKI-validatie van ontvangen routes, ROA's voor uw eigen prefixen en een vaste werkwijze bij wijzigingen in de routering. Welke maatregelen voor u passend zijn, onderbouwt u zelf in uw risicoanalyse.

DDoS

Ook DDoS staat niet als los woord in de wet. Een DDoS-aanval kan wel tot een significant incident leiden, bijvoorbeeld als veel klanten lang geen internet hebben. Leg vast hoe u een aanval herkent, wie beslist over maatregelen (zoals filteren of het tijdelijk onbereikbaar maken van een aangevallen adres) en welke afspraken u met upstream-leveranciers heeft. Oefen dit scenario minstens eens.

Leveranciers

De RDI meldde op 3 juli 2026 dat bij 76% van de telecomincidenten uit het afgelopen jaar een leverancier betrokken was. Ruim de helft had een fysieke oorzaak, zoals een kabelbreuk door graafwerk. De RDI schrijft er nadrukkelijk bij dat de aanbieder zelf verantwoordelijk blijft, ook als de oorzaak buiten de eigen organisatie ligt. Kijk dus naar uw transitleveranciers, glasvezelroutes, datacenters en hardwareleveranciers. Lees meer in Leveranciers en ketenbeveiliging.

Melden en klanten informeren bij storingen

Bij een significant incident meldt u in stappen: een vroegtijdige waarschuwing binnen 24 uur, een melding binnen 72 uur en een eindverslag binnen een maand. Voor telecom is een incident onder meer significant als minstens 50.000 gebruikers vier uur of langer geen dienst hebben, of als het alarmnummer niet beschikbaar is (artikel 8 Regeling cyberbeveiliging EZK). Ook gegevenslekken kunnen meetellen. Werknemers van een zakelijke klant kunnen volgens de toelichting als afzonderlijke gebruikers tellen. De volledige uitleg staat in Meldplicht incident NIS2.

Volgens de RDI was bij eerdere inspecties het meldproces bij een deel van de vaste internetaanbieders nog niet op orde. Regel dit dus vooraf.

Daarnaast moet u waar nodig uw klanten onverwijld informeren over een significant incident dat hun dienst kan raken (artikel 30 Cbw). Bij een significante cyberdreiging vertelt u welke maatregelen klanten zelf kunnen nemen. Praktisch betekent dit:

• een statuspagina of storingskanaal dat niet afhankelijk is van uw eigen netwerk;
• vaste teksten voor de eerste melding, met alleen feiten die u zeker weet;
• een vaste persoon die beslist wanneer en wat u communiceert;
• een lijst met zakelijke klanten die bij uitval extra snel bericht moeten krijgen.

De eerste stappen

1. Bepaal uw indeling. Bent u essentieel of belangrijk? Levert u ook DNS, hosting of beheer? Leg de conclusie vast.
2. Registreer bij het NCSC via MijnNCSC, met eHerkenning. Houd uw IP-reeksen en AS-nummers bij de hand. Zie Registratie onder de Cbw.
3. Maak een overzicht van uw netwerk: routers, switches, DNS, beheersystemen, klantportaal, stroom en leveranciers.
4. Beveilig de beheertoegang: persoonlijke accounts, tweede factor, apart beheernetwerk.
5. Maak een risicoanalyse met scenario's zoals een verkeerde BGP-aankondiging, een DDoS-aanval en een kabelbreuk.
6. Richt het meldproces in: wie beoordeelt, wie meldt, wie informeert klanten. Oefen het.
7. Laat het bestuur besluiten over de maatregelen. Het bestuur keurt ze goed en volgt een training (artikel 24 Cbw). Zie de cursus voor bestuurders.

Een volledig overzicht van alle onderwerpen vindt u in de NIS2-checklist.

Volgende stap

Begin met de gratis zelfscan: in ongeveer 15 minuten weet u of u onder de wet valt en waar u staat. Wilt u uw maatregelen, risico's, leveranciers en incidenten op één plek bijhouden, met een meldklok voor 24 uur, 72 uur en een maand? Probeer het NIS2-portaal 30 dagen gratis.