Een van de eerste vragen die bedrijven over NIS2 stellen, is simpelweg: geldt dit voor ons? Het antwoord hangt af van de sector waarin u actief bent, uw omvang, het soort dienst dat u levert en het nationale recht van elke EU-lidstaat waar u actief bent. Deze gids vat de algemene opbouw van de reikwijdte van de richtlijn samen, zodat u een gerichte vraag aan juridische adviseurs kunt voorleggen en kunt bepalen wat u vervolgens doet. Het is algemene informatie en geen juridisch advies.
Wat het is
NIS2 (Richtlijn (EU) 2022/2555) noemt de sectoren die eronder vallen in twee bijlagen. Bijlage I omvat sectoren met een hoge kriticiteit: energie, vervoer, bankwezen, infrastructuur voor de financiële markt, gezondheidszorg, drinkwater, afvalwater, digitale infrastructuur, beheer van ICT-diensten (business-to-business), overheid en ruimtevaart. Bijlage II omvat andere kritieke sectoren: post- en koeriersdiensten, afvalbeheer, vervaardiging en distributie van chemische stoffen, productie en distributie van levensmiddelen, vervaardiging van bepaalde producten (zoals medische hulpmiddelen, computers en elektronica, elektrische apparatuur, machines en voertuigen), digitale aanbieders (onlinemarktplaatsen, zoekmachines en platforms voor socialenetwerkdiensten) en onderzoek. Als hoofdregel geldt de richtlijn voor middelgrote en grote organisaties in deze sectoren; volgens de mkb-definitie van de EU is een organisatie grofweg ten minste middelgroot als zij 50 of meer werknemers heeft, of als zowel de jaaromzet als het balanstotaal hoger is dan 10 miljoen euro. Sommige entiteiten vallen er ongeacht hun omvang onder, zoals bepaalde aanbieders van openbare elektronische communicatie, verleners van vertrouwensdiensten, DNS-dienstverleners en registers voor topleveldomeinen, en lidstaten kunnen andere entiteiten aanwijzen. Organisaties die eronder vallen, worden ingedeeld als essentiële of belangrijke entiteiten. Grofweg zijn grote organisaties in sectoren van bijlage I essentieel, terwijl middelgrote organisaties uit bijlage I en organisaties uit bijlage II belangrijk zijn, behoudens omvangsonafhankelijke regels en nationale aanwijzing. De indeling heeft vooral gevolgen voor toezicht en sancties, niet voor de verwachte basismaatregelen.
Voor wie het is
Deze gids is nuttig voor:
- Managers van middelgrote bedrijven in productie, logistiek, digitale diensten, levensmiddelen, chemie of zorggerelateerde toeleveringsketens
- Managed-service- en ICT-aanbieders die voor zakelijke klanten werken
- Leveranciers van entiteiten onder NIS2 die beveiligingsvragenlijsten ontvangen
- Concerns die in meerdere EU-lidstaten actief zijn en een consistent beeld nodig hebben
Wat Het Helpt Verduidelijken
De opbouw van de reikwijdte doornemen helpt verduidelijken:
- of een van uw activiteiten overeenkomt met een sector uit bijlage I of bijlage II
- of u de omvangsdrempel haalt of in een categorie valt die ongeacht omvang onder de richtlijn valt
- welke nationale wetten en autoriteiten van welke lidstaten relevant zijn
- of uw verplichtingen direct zijn of indirect voortvloeien uit klantcontracten
Wat is inbegrepen
- Maak een lijst van elke activiteit en dienstlijn, niet alleen van de hoofdomschrijving van het bedrijf
- Leg elke activiteit naast de sectoromschrijvingen in bijlage I en bijlage II
- Controleer personeelsomvang, omzet en balanstotaal, rekening houdend met de concernstructuur en partner- of verbonden ondernemingen, zoals de mkb-definitie van de EU vereist
- Stel elke lidstaat vast waarin u diensten onder de richtlijn levert of vestigingen hebt
- Controleer de nationale omzettingswet en de richtsnoeren van de autoriteit in elk relevant land
- Leg de uitkomst, onderbouwing en datum vast, en herzie deze wanneer uw bedrijf verandert
- Als u er niet onder valt: maak een lijst van klanten die er wel onder vallen en van de beveiligingseisen die zij doorgeven
Wat is niet inbegrepen
- Een juridische vaststelling of NIS2 op uw organisatie van toepassing is
- Interpretatie van een specifieke nationale omzettingswet
- Registratie bij autoriteiten namens u
- Certificering of goedkeuring op het gebied van compliance
Wanneer u het kiest
Gebruik deze gids vroeg, voordat u in een groot programma investeert, en opnieuw wanneer u een nieuwe sector of een nieuw land betreedt, een bedrijf overneemt of een omvangsdrempel overschrijdt. Als het antwoord onduidelijk is, bijvoorbeeld omdat een activiteit op de grens van een sectoromschrijving ligt, win dan juridisch advies in in plaats van uit te gaan van aannames. Ook organisaties die niet direct onder de richtlijn vallen, hebben vaak baat bij voorbereiding, omdat klanten die er wel onder vallen de risico's in hun toeleveringsketen moeten beheersen. Dit artikel is algemene informatie en geen juridisch advies.
Onze Aanpak
Benader de reikwijdte als een gedocumenteerd besluit, niet als een snel ja of nee. Verzamel eerst de feiten: activiteiten, omvangsgegevens, concernstructuur en landen. Leg de vraag daarna met dat bewijs voor aan juridische adviseurs. Kijk tegelijkertijd naar de beveiligingsmaatregelen die NIS2 verwacht; die weerspiegelen breed erkende goede praktijken, dus verbetering ervan is nuttig, hoe de vraag over de reikwijdte ook wordt beantwoord. Onze Security Baseline Review kan u een schriftelijk beeld geven van afgesproken assets en naar ernst ingedeelde observaties, met observaties over tekortkomingen in de voorbereiding ten opzichte van een afgesproken referentie, waar dat in de bevestigde scope is opgenomen. Dat bewijs kan gesprekken met klanten, directie en adviseurs ondersteunen. Het is materiaal ter ondersteuning van besluiten waarmee u gerichte vragen kunt voorleggen aan juridische adviseurs en, waar relevant, certificerende instellingen. Bent u leverancier, vraag dan uw klanten die onder de richtlijn vallen welke specifieke maatregelen u moet aantonen, en geef die voorrang.
Veelgestelde vragen
Gerelateerde artikelen
Aan de slag
Wilt u een helderder beeld van uw NIS2-positie?
Deel uw sectoren, landen en de systemen achter uw belangrijkste diensten. Wij stellen een afgebakende review voor ter ondersteuning van uw gesprek over voorbereiding.
Vraag een schriftelijke scope aan