NIS2 is de Europese richtlijn die eisen stelt aan cyberveiligheid bij organisaties in bepaalde sectoren. Of de richtlijn rechtstreeks voor uw bedrijf geldt, hangt af van twee dingen: de sector waarin u actief bent en de omvang van uw onderneming. Valt u niet onder die combinatie, dan bent u zelf waarschijnlijk geen directe doelgroep van de richtlijn, maar dat betekent niet dat NIS2 u nooit raakt.
Veel bedrijven die zelf buiten de reikwijdte vallen, krijgen namelijk toch vragen over cyberveiligheid van een klant die wél onder NIS2 valt. Die klant moet aantonen dat zijn hele keten voldoende beveiligd is, en stuurt daarom een vragenlijst door aan leveranciers. In dat geval geldt de richtlijn niet voor u, maar wel de contractuele afspraak die uw klant eraan verbindt.
Sector en omvang bepalen de directe plicht
De richtlijn richt zich op wat zij "essentiële" en "belangrijke" entiteiten noemt: organisaties in sectoren als energie, vervoer, drinkwater, digitale infrastructuur, bankwezen en gezondheidszorg, aangevuld met een aantal andere sectoren die in de richtlijn zelf staan opgesomd. Daarbovenop gelden groottecriteria, die per sector en per categorie kunnen verschillen. Een klein installatiebedrijf zonder rol in een van deze sectoren valt in de regel buiten de directe werking van NIS2. De exacte sectorlijst en de manier waarop lidstaten dit hebben omgezet in nationale wetgeving, vindt u in de officiële tekst en bij de toezichthouder die in uw land is aangewezen; in Nederland is dat de Rijksinspectie Digitale Infrastructuur.
Ook buiten de sector: de vraag van uw klant
Een bedrijf dat wél onder NIS2 valt, moet onder meer beoordelen hoe veilig de organisaties zijn waarmee het samenwerkt. Dat heet ketenrisico of leveranciersrisico, en de richtlijn noemt dit expliciet als aandachtspunt. In de praktijk vertaalt zich dat naar een vragenlijst of een contractbepaling bij uw klant: heeft u een aanspreekpunt voor incidenten, meldt u een datalek binnen een bepaalde termijn, heeft u toegangsbeheer geregeld. Dit zijn vaak dezelfde soort maatregelen als de tien die de richtlijn zelf noemt voor de bedrijven die er rechtstreeks onder vallen. Meer over wat die vragen precies betekenen en hoe ze zich verhouden tot bestaande verplichtingen zoals de AVG, leest u in de uitleg per onderwerp in de kennisbank.
Hoe u dit voor uzelf nagaat
Of NIS2 rechtstreeks voor u geldt, is een feitelijke vraag die u het beste kunt beantwoorden aan de hand van de officiële sectorindeling en de groottecriteria zoals die in uw land zijn omgezet. Twijfelt u, dan is de bevoegde toezichthouder of een jurist de aangewezen partij om dat te beoordelen; dit artikel kan die beoordeling niet vervangen. Wat u zelf wel snel kunt nagaan, is of u signalen krijgt die wijzen op een indirecte betrokkenheid: een klant die net een vragenlijst over cyberveiligheid heeft gestuurd, een contract dat verwijst naar meldplichten, of een aanbesteding waarin beveiligingsmaatregelen worden gevraagd. Dat zijn praktische aanwijzingen, geen juridisch oordeel.
Wat als u wél vragen krijgt, ongeacht de directe plicht
Of u nu rechtstreeks onder NIS2 valt of alleen via een klant met de gevolgen te maken krijgt, de vragenlijst zelf verandert niet veel: u wordt gevraagd te beschrijven welke maatregelen u heeft genomen en dat te onderbouwen. Dat overlapt vaak met wat u al voor andere doeleinden heeft vastgelegd, zoals toegangsbeheer voor de AVG of noodprocedures voor de bedrijfscontinuïteit. Het is die overlap die maakt dat bedrijven dezelfde soort bewijsstukken keer op keer moeten aanleveren, in net weer een ander format. Antwoorden op veelgestelde vragen over hoe dit soort lijsten precies werken, vindt u in de veelgestelde vragen over vragenlijsten, en een toelichting op waar de informatie op deze site vandaan komt staat op de pagina over hoe het werkt.
Er is geen instantie die voor u vaststelt of NIS2 op uw bedrijf van toepassing is; dat blijft een beoordeling die bij uzelf, uw jurist of de toezichthouder ligt. Wat u wel snel kunt doen, is nagaan of de signalen die u herkent passen bij een directe of indirecte betrokkenheid. Wilt u dat overzichtelijk naast elkaar zien, dan kunt u in een paar vragen een indicatie krijgen van waar u staat, of rustig de onderwerpen doornemen die op uw situatie van toepassing kunnen zijn.