Of een organisatie onder de NIS2 richtlijn valt, hangt af van drie factoren: de sector waarin je actief bent, de omvang van je organisatie, en of je een essentiële of belangrijke rol speelt in die sector. De meeste middelgrote en grote organisaties in aangewezen sectoren vallen automatisch onder NIS2 in Nederland. Twijfel je of NIS2 van toepassing is op jouw organisatie? Neem gerust contact op en wij denken graag met je mee. In dit artikel beantwoorden we de meest gestelde vragen over NIS2 sectoren, drempelwaarden en wat de richtlijn concreet van jou vraagt.
Welke sectoren vallen onder de NIS2 richtlijn?
De NIS2 richtlijn is van toepassing op organisaties in specifiek aangewezen sectoren die als kritiek worden beschouwd voor de maatschappij en economie. De richtlijn onderscheidt twee categorieën: sectoren met een hoge kritikaliteit en andere kritieke sectoren. Samen omvatten ze een breed scala aan industrieën.
Sectoren met een hoge kritikaliteit zijn onder andere:
- Energie (elektriciteit, gas, olie, waterstof)
- Transport (luchtvaart, spoor, water, wegvervoer)
- Bankwezen en financiële marktinfrastructuur
- Gezondheidszorg
- Drinkwater en afvalwater
- Digitale infrastructuur (zoals cloudaanbieders, DNS-diensten, datacenters)
- ICT-dienstverlening (beheerde diensten en beheerde beveiligingsdiensten)
- Ruimtevaart
- Overheid (centrale en regionale overheden)
Daarnaast zijn er andere kritieke sectoren die ook onder NIS2 vallen:
- Post- en koeriersdiensten
- Afvalstoffenbeheer
- Chemische industrie
- Voedingsmiddelenindustrie
- Maakindustrie (waaronder medische hulpmiddelen en elektronica)
- Digitale aanbieders (online marktplaatsen, zoekmachines, sociale netwerken)
- Onderzoeksorganisaties
Herken je jouw organisatie in een van deze categorieën? Dan is de kans groot dat NIS2 van toepassing is. De precieze afbakening is vastgelegd in de Nederlandse implementatiewetgeving, de Cyberbeveiligingswet.
Wat zijn de drempelwaarden voor organisatiegrootte?
De NIS2 richtlijn hanteert twee drempelwaarden op basis van het aantal medewerkers en de jaarlijkse omzet of het balanstotaal. Organisaties die als middelgroot of groot worden aangemerkt en actief zijn in een aangewezen sector, vallen in principe automatisch onder de richtlijn.
De gehanteerde definities zijn:
- Middelgrote organisatie: 50 of meer medewerkers én een jaaromzet of balanstotaal van meer dan 10 miljoen euro
- Grote organisatie: 250 of meer medewerkers én een jaaromzet van meer dan 50 miljoen euro of een balanstotaal van meer dan 43 miljoen euro
Organisaties die aan beide criteria voldoen (sector én omvang) hoeven zich niet af te vragen of ze onder NIS2 vallen. Dat is automatisch het geval. Kleine organisaties met minder dan 50 medewerkers zijn in de meeste gevallen uitgezonderd, al zijn er uitzonderingen die we verderop bespreken.
Wat is het verschil tussen een essentiële en een belangrijke entiteit?
Binnen de NIS2 richtlijn wordt onderscheid gemaakt tussen essentiële entiteiten en belangrijke entiteiten. Het verschil zit niet in de verplichtingen zelf, maar in de intensiteit van het toezicht en de hoogte van de mogelijke boetes.
Essentiële entiteiten
Essentiële entiteiten zijn grote organisaties in sectoren met een hoge kritikaliteit. Denk aan grote energiebedrijven, ziekenhuizen, aanbieders van digitale infrastructuur en overheden. Deze organisaties vallen onder proactief toezicht: de toezichthouder kan ook zonder aanleiding controles uitvoeren. Bij overtredingen kunnen boetes oplopen tot 10 miljoen euro of 2% van de wereldwijde jaaromzet.
Belangrijke entiteiten
Belangrijke entiteiten zijn middelgrote organisaties in sectoren met hoge kritikaliteit, of middelgrote en grote organisaties in de andere kritieke sectoren. Voor hen geldt reactief toezicht: de toezichthouder treedt op als er een aanleiding is, zoals een incident of een klacht. De maximale boete bedraagt hier 7 miljoen euro of 1,4% van de wereldwijde jaaromzet.
Beide categorieën moeten voldoen aan dezelfde basisverplichtingen op het gebied van risicobeheer, meldplicht en beveiliging. Het verschil in toezicht maakt de classificatie echter wel degelijk relevant voor hoe je als organisatie je informatiebeveiliging organiseert en documenteert.
Gelden er uitzonderingen voor kleine organisaties?
Ja, kleine organisaties met minder dan 50 medewerkers en een omzet of balanstotaal onder de 10 miljoen euro zijn in principe uitgezonderd van de NIS2 richtlijn. De richtlijn is primair gericht op middelgrote en grote organisaties. Toch zijn er situaties waarin ook kleine organisaties wel degelijk onder NIS2 kunnen vallen.
Uitzonderingen op de uitzondering zijn:
- Organisaties die de enige aanbieder zijn van een essentiële dienst in een lidstaat
- Aanbieders van bepaalde vertrouwensdiensten en registrars van domeinnamen
- Kleine organisaties waarvan een verstoring aanzienlijke gevolgen kan hebben voor de openbare veiligheid, nationale veiligheid of volksgezondheid
- Organisaties die door hun lidstaat specifiek zijn aangewezen
Ben je een kleine organisatie maar actief in een gevoelige sector? Dan is het verstandig om toch te toetsen of je onder een van deze uitzonderingen valt. Bovendien kunnen grote opdrachtgevers of aanbestedende partijen eisen stellen die verder gaan dan wat de wet verplicht.
Hoe bepaal je definitief of jouw organisatie onder NIS2 valt?
Om definitief vast te stellen of NIS2 van toepassing is op jouw organisatie, doorloop je een eenvoudige driestappentoets: controleer je sector, toets je omvang, en bepaal je categorie. Samen geven deze drie stappen een helder antwoord.
- Stap 1: Sectorcheck. Valt je primaire activiteit binnen een van de aangewezen sectoren uit de NIS2 richtlijn? Gebruik hiervoor de bijlagen van de Cyberbeveiligingswet als referentie.
- Stap 2: Omvangscheck. Heb je 50 of meer medewerkers én een omzet of balanstotaal boven de 10 miljoen euro? Dan val je in principe onder de richtlijn.
- Stap 3: Categorisering. Ben je groot en actief in een sector met hoge kritikaliteit? Dan ben je een essentiële entiteit. In alle andere gevallen val je vermoedelijk onder de categorie belangrijke entiteit.
De Nederlandse overheid biedt ook een zelfevaluatietool aan via het Nationaal Cyber Security Centrum (NCSC) om organisaties te helpen bij deze bepaling. Twijfel je alsnog? Dan helpt een gesprek met een gespecialiseerde partij je snel verder. Wij ondersteunen organisaties bij het in kaart brengen van hun verplichtingen en helpen bij het opzetten van een passend certificeringstraject.
Wat zijn de gevolgen als je ten onrechte buiten NIS2 valt?
Als een organisatie ten onrechte aanneemt dat NIS2 niet van toepassing is, loopt zij het risico op handhaving door de toezichthouder, hoge boetes en reputatieschade. Bovendien mis je als organisatie de kans om je digitale weerbaarheid structureel te versterken, wat in de praktijk een groter risico kan zijn dan de juridische consequenties.
Concreet kunnen de gevolgen zijn:
- Boetes tot 10 miljoen euro of een percentage van de wereldwijde omzet, afhankelijk van de categorie
- Aanwijzingen of bevelen van de toezichthouder om maatregelen te treffen
- Tijdelijke schorsing van leidinggevenden in ernstige gevallen
- Verlies van vertrouwen bij klanten, partners en aanbestedende partijen
Naast de formele risico’s is er een praktisch argument: organisaties die NIS2-verplichtingen serieus nemen, zijn beter beschermd tegen cyberincidenten, datalekken en operationele verstoringen. NIS2 compliance is daarmee niet alleen een wettelijke verplichting, maar ook een investering in de continuïteit van je organisatie. Wil je weten waar jouw organisatie staat en wat er nodig is om compliant te worden? Neem contact op en wij helpen je stap voor stap verder.
Veelgestelde vragen
Wat moet ik doen als ik niet zeker weet of mijn organisatie onder NIS2 valt?
V: Wat moet ik doen als ik niet zeker weet of mijn organisatie onder NIS2 valt?nA: Doorloop de driestappentoets: controleer je sector, toets je omvang en bepaal je categorie op basis van de Cyberbeveiligingswet. Gebruik daarnaast de zelfevaluatietool van het NCSC of schakel een gespecialiseerde partij in die je helpt bij het in kaart brengen van je verplichtingen en het opzetten van een passend traject.
Hoe verschilt het toezicht voor essentiële en belangrijke entiteiten in de praktijk?
V: Hoe verschilt het toezicht voor essentiële en belangrijke entiteiten in de praktijk?nA: Essentiële entiteiten vallen onder proactief toezicht, wat betekent dat de toezichthouder ook zonder aanleiding controles kan uitvoeren, terwijl belangrijke entiteiten alleen reactief worden gecontroleerd bij een incident of klacht. Dit verschil maakt het voor essentiële entiteiten extra belangrijk om informatiebeveiliging structureel en aantoonbaar goed te organiseren.
Waarom kan NIS2 ook gelden voor kleine organisaties die onder de drempelwaarden vallen?
V: Waarom kan NIS2 ook gelden voor kleine organisaties die onder de drempelwaarden vallen?nA: Kleine organisaties kunnen toch onder NIS2 vallen als zij de enige aanbieder zijn van een essentiële dienst, als een verstoring grote gevolgen heeft voor de openbare of nationale veiligheid, of als zij door hun lidstaat specifiek zijn aangewezen. Het is daarom verstandig om ook als kleine organisatie in een gevoelige sector te toetsen of je onder een uitzondering valt.
Gerelateerde artikelen
- Wat is een readiness assessment en wat controleert de ISO 27001 auditor daarbij?
- Voldoe je aan de NIS2 als je ISO 27001 gecertificeerd bent?
- Wat is het verschil tussen ISO 27001 en ISO 27002?
- Wat is het verschil tussen een ISO 27001 certificaat en een eigen verklaring?
- Hoe implementeer je ISO 27001 in een klein team?
