NIS2-sectoren: welke sectoren vallen onder de wet?

De NIS2-sectoren bepalen samen met uw omvang of de Cyberbeveiligingswet op u van toepassing is. Staat uw sector niet in een van de bijlagen, dan valt u niet onder de wet, hoe groot u ook bent.

De wet werkt met twee lijsten: sectoren van hoge kriticiteit en overige kritieke sectoren. Dat onderscheid werkt door in de categorie waarin u valt en dus in de zwaarte van het toezicht.

Hieronder ziet u welke sectoren het betreft, hoe u bepaalt in welke u valt en waarom die vraag vaker lastig is dan hij lijkt.

Sectoren van hoge kriticiteit

Dit zijn de sectoren waar uitval de grootste maatschappelijke gevolgen heeft. In hoofdlijnen gaat het om energie, vervoer, bankwezen, financiële markten, gezondheidszorg, drinkwater, afvalwater, digitale infrastructuur, beheer van ICT-diensten, overheid en ruimtevaart.

Binnen elke sector zijn subsectoren en typen entiteiten benoemd. Bij energie gaat het bijvoorbeeld om elektriciteit, stadsverwarming, olie, gas en waterstof, elk met eigen rollen zoals producent, netbeheerder of leverancier.

Dat detailniveau is belangrijk. Werkt u in een sector die genoemd wordt, dan is de vervolgvraag of uw specifieke rol ook wordt genoemd. Niet elke partij in een sector valt eronder.

Overige kritieke sectoren

De tweede lijst is nieuw ten opzichte van de eerste NIS-richtlijn en verklaart waarom er nu zoveel meer organisaties onder vallen. Het gaat onder meer om post- en koeriersdiensten, afvalstoffenbeheer, de chemische sector, de voedingssector, de maakindustrie, digitale aanbieders en onderzoeksorganisaties.

Vooral de maakindustrie en de digitale aanbieders zorgen voor veel nieuwe gevallen. Bij de maakindustrie gaat het om specifieke categorieën producten, waaronder medische hulpmiddelen, computers en elektronica, machines, motorvoertuigen en transportmiddelen.

Bij digitale aanbieders gaat het om onlinemarktplaatsen, zoekmachines en socialenetwerkplatforms. Beheerders van ICT-diensten staan juist op de eerste lijst, wat aangeeft hoe zwaar die rol weegt.

Waarom de sectorvraag lastiger is dan hij lijkt

Drie dingen maken de beoordeling in de praktijk ingewikkeld.

Het eerste is dat de wet naar uw dienst kijkt en niet naar uw inschrijving. Wat er in het handelsregister staat is niet altijd wat u werkelijk doet, en het is die werkelijke activiteit die telt.

Het tweede is dat organisaties meerdere diensten leveren. Levert u er vijf en valt er een onder de wet, dan valt u eronder. Dat is genoeg, maar het helpt wel bij het bepalen van uw scope.

Het derde is dat de sectorindeling niet aansluit op hoe bedrijven zichzelf omschrijven. Een IT-dienstverlener kan onder beheerder van ICT-diensten vallen, onder digitale infrastructuur, of onder geen van beide, afhankelijk van wat er precies wordt geleverd.

Zo bepaalt u in welke sector u valt

Begin bij uw diensten, niet bij de lijst. Zet op een rij wat u levert, aan wie, en wat er misgaat bij uw afnemers als u uitvalt. Leg dat naast de bijlagen.

Komt u er niet uit, dan is de zelfevaluatie een goed startpunt, want die loopt langs dezelfde structuur. Blijft het twijfelachtig, laat het dan beoordelen en leg de uitkomst met onderbouwing vast.

Dat vastleggen is geen formaliteit. Valt u er net buiten, dan is dat onderbouwde oordeel precies wat u aan een klant of toezichthouder laat zien. Zie ook voor wie geldt NIS2.

Als u in meerdere sectoren actief bent

Dat komt vaker voor dan u zou denken, zeker bij bedrijven die naast hun kernactiviteit ook diensten leveren aan derden. Een producent die ook onderhoud verkoopt, of een zorgorganisatie die haar ICT-afdeling als dienst aanbiedt.

De regel is eenvoudig: valt een van uw activiteiten onder de wet, dan valt uw organisatie eronder. U hoeft niet in alle genoemde sectoren te zitten.

Wat wel verschilt is de scope van uw maatregelen. Die richt u in op de systemen en processen die de betreffende dienst ondersteunen. Een brede organisatie met een smalle NIS2-activiteit hoeft niet alles onder hetzelfde regime te brengen, mits de afbakening verdedigbaar is en de afhankelijkheden zijn meegenomen.

Waarom de maakindustrie de meeste verwarring geeft

Van alle sectoren levert de maakindustrie de meeste vragen op, en dat komt doordat niet de sector maar het product bepalend is.

De wet noemt specifieke categorieën: onder meer medische hulpmiddelen, computers en elektronica, elektrische apparatuur, machines, motorvoertuigen en andere transportmiddelen. Maakt u iets anders, dan valt u er niet onder, hoe groot uw fabriek ook is.

Dat leidt tot situaties die op het eerste gezicht willekeurig lijken. Twee producenten van vergelijkbare omvang in dezelfde straat kunnen verschillend uitpakken, puur door wat er van de band rolt.

Maakt u meerdere producten waarvan er een in een genoemde categorie valt, dan valt u eronder. De scope van uw maatregelen richt u vervolgens in op de systemen en processen die dat product ondersteunen.

De rol binnen de sector telt ook mee

Een tweede punt dat regelmatig wordt gemist: het is niet genoeg om vast te stellen dat uw sector in de bijlage staat. Binnen elke sector zijn typen entiteiten benoemd, en niet elke partij in een sector valt eronder.

Bij energie gaat het bijvoorbeeld om rollen als producent, netbeheerder of leverancier, elk met een eigen omschrijving. Een bedrijf dat diensten levert aan die partijen is zelf geen netbeheerder en valt dus niet automatisch onder de wet.

Diezelfde nuance speelt bij digitale infrastructuur en bij beheerders van ICT-diensten. Dat laatste is een brede categorie waar veel IT-dienstverleners zich in herkennen, terwijl de omschrijving specifieker is dan hij op het eerste gezicht lijkt.

Loop daarom niet alleen de sectorlijst langs maar ook de omschrijving van de rollen daarbinnen. Dat is het verschil tussen een aanname en een onderbouwd oordeel.

Veelgestelde vragen over de NIS2-sectoren

Wat is het verschil tussen de twee lijsten?

Sectoren van hoge kriticiteit zijn de sectoren waar uitval de grootste gevolgen heeft. De overige kritieke sectoren zijn nieuw toegevoegd bij NIS2. Het onderscheid werkt door in de categorie waarin u valt, en dus in de zwaarte van het toezicht.

Onze sector staat er niet in. Zijn we klaar?

Voor de wet wel. Levert u aan organisaties die er wel onder vallen, dan krijgt u de eisen alsnog via het contract, want zij moeten hun keten beheersen. Dat is voor veel bedrijven de manier waarop dit onderwerp binnenkomt.

Wij zitten in de maakindustrie. Vallen wij eronder?

Alleen als u producten maakt in de genoemde categorieën, waaronder medische hulpmiddelen, computers en elektronica, machines, motorvoertuigen en transportmiddelen. De maakindustrie als geheel valt er niet onder.

Telt onze sector als we maar een klein deel van onze omzet daaruit halen?

Ja, als u de dienst levert die in de bijlage staat. De wet kijkt naar de activiteit, niet naar het aandeel in uw omzet. Wel helpt het bij het bepalen van de scope van uw maatregelen.

Waar vind ik de volledige lijst?

In de bijlagen bij de Cyberbeveiligingswet en in de zelfevaluatie van de overheid, die langs dezelfde structuur loopt. Wij lopen de lijst met u door als onderdeel van de gap-analyse.