Direct antwoord
NIS2 (in Nederland uitgewerkt in de Cyberbeveiligingswet) geldt voor organisaties in 18 aangewezen sectoren die middelgroot of groter zijn: vanaf 50 medewerkers of 10 miljoen euro jaaromzet. Essentiële entiteiten (energie, water, zorg, digitale infrastructuur, banken) krijgen het zwaarste regime; belangrijke entiteiten (digitale aanbieders, industrie, post, afval, voedsel) een lichter toezicht. Kleine bedrijven vallen er meestal buiten, maar krijgen de eisen indirect via klanten die hun keten moeten beveiligen.
De vraag “valt mijn organisatie onder NIS2?” beantwoord je langs twee assen: de sector en de omvang. En wie er zelf buiten valt, krijgt de eisen vaak alsnog, via de keten.
As 1: de sectoren
NIS2 wijst 18 sectoren aan, verdeeld in twee categorieën. Zeer kritieke sectoren (essentiële entiteiten, het zware regime): energie, transport, bankwezen, financiële marktinfrastructuur, gezondheidszorg, drinkwater, afvalwater, digitale infrastructuur (datacenters, DNS, cloud), ICT-dienstenbeheer (waaronder managed service providers), overheid en ruimtevaart. Overige kritieke sectoren (belangrijke entiteiten, het lichtere regime): post en koeriers, afvalbeheer, chemie, voedsel, industrie (waaronder machinebouw en elektronica), digitale aanbieders (marktplaatsen, zoekmachines, sociale platforms) en onderzoek.
As 2: de omvang
De hoofdregel: je valt onder de wet als je in een aangewezen sector zit én middelgroot of groter bent: 50 of meer medewerkers, of meer dan 10 miljoen euro jaaromzet. Groot (250+ medewerkers of 50 miljoen omzet) in een zeer kritieke sector betekent essentiële entiteit; middelgroot in die sectoren en alle formaten in de overige kritieke sectoren betekent doorgaans belangrijke entiteit. Uitzonderingen daargelaten: sommige diensten (DNS, trustdiensten, telecomaanbieders) vallen er ongeacht omvang onder.
Wat het regime betekent
Beide categorieën krijgen dezelfde kernverplichtingen: een zorgplicht (risicobeheersmaatregelen over tien gebieden, van incidentafhandeling tot ketenbeveiliging), een meldplicht (significante incidenten binnen 24 uur vroegtijdig en 72 uur volledig melden bij het CSIRT), registratieplicht en bestuurdersverantwoordelijkheid (het bestuur moet toezien en getraind zijn). Het verschil zit in het toezicht: essentiële entiteiten krijgen proactief toezicht, belangrijke entiteiten achteraf, en de maximale boetes verschillen (tot 10 respectievelijk 7 miljoen euro of een omzetpercentage).
De keten: waarom “nee” vaak toch “ja” is
De zorgplicht omvat expliciet de beveiliging van de toeleveringsketen. NIS2-plichtige organisaties moeten dus eisen stellen aan hun leveranciers, en daar zit de werkelijke reikwijdte: de MSP van twaalf man, de SaaS-leverancier en de hostingpartij krijgen NIS2-achtige eisen in hun contracten, met de vraag om aantoonbare beveiliging. Een ISO 27001-certificaat dekt het gros van die vragen in één keer af; zie het artikel over NIS2 en ISO 27001 voor de mapping.
Zo werkt dit in Control One
Benieuwd hoe dit voor jouw organisatie uitpakt? De gratis quickscan geeft in 3 minuten een persoonlijk advies.
Veelgestelde vragen
Valt een klein IT-bedrijf onder NIS2?
Meestal niet direct: onder de omvangsgrens (50 medewerkers en 10 miljoen omzet) val je in de meeste sectoren buiten de wet, met uitzonderingen voor onder meer DNS- en trustdiensten. Maar indirect wél: NIS2-plichtige klanten moeten hun toeleveranciers beveiligingseisen opleggen, dus MSP's, softwareleveranciers en hostingpartijen krijgen de eisen via contracten. Een ISO 27001-certificaat is dan het gangbare antwoord.
Hoe weet je zeker of je eronder valt?
Doorloop de zelfevaluatie van de Rijksoverheid (regelhulpenvoorbedrijven.nl heeft de NIS2-zelfevaluatie) langs sector en omvang, en houd de aanwijzing als essentieel of belangrijk in de gaten: registratieplicht bij de toezichthouder (RDI of sectoraal) hoort erbij. Bij twijfel: juridisch advies, want de sectordefinities kennen randgevallen.