Voor wie geldt NIS2? Essentiële en belangrijke entiteiten

Voor wie geldt NIS2? Twee dingen bepalen dat: uw sector en uw omvang. Staat uw sector in een van de bijlagen van de wet en komt u boven de drempels uit, dan valt u eronder. Er zijn uitzonderingen waarbij omvang niet meetelt.

Daarnaast kent de wet twee categorieën: essentiële en belangrijke entiteiten. Dat onderscheid bepaalt hoe zwaar het toezicht is, niet hoe zwaar de zorgplicht is. Dat wordt vaak door elkaar gehaald.

Hieronder leest u hoe de reikwijdte werkt, wat het verschil tussen de twee categorieën betekent en wat er geldt als u er net buiten valt.

Sector eerst, dan omvang

De wet werkt met bijlagen waarin sectoren staan opgesomd, verdeeld in sectoren van hoge kriticiteit en overige kritieke sectoren. Staat uw sector daar niet in, dan valt u niet onder de wet, hoe groot u ook bent.

Staat uw sector er wel in, dan komt de omvangstoets: het aantal medewerkers en de jaaromzet of het balanstotaal. Die drempels sluiten aan op de Europese definities van middelgrote en grote ondernemingen.

Welke sectoren het betreft staat in NIS2-sectoren. Twijfelt u, dan geeft de zelfevaluatie binnen een kwartier een eerste beeld.

Essentieel of belangrijk: wat het verschil is

De categorie volgt uit uw sector en uw omvang. Grofweg zijn grotere organisaties in sectoren van hoge kriticiteit essentieel, en vallen de overige onder belangrijk.

De belangrijkste boodschap uit deze tabel: de zorgplicht is voor beide categorieën gelijk. Wie hoopt dat “belangrijk” een lichter regime betekent, komt bedrogen uit. Alleen de manier waarop er toezicht wordt gehouden verschilt.

De uitzonderingen op de omvangstoets

Voor sommige organisaties geldt de wet ongeacht hun omvang. Dat betreft onder meer bepaalde aanbieders van digitale infrastructuur en organisaties die als enige aanbieder van een dienst in een lidstaat opereren, of waar uitval grote maatschappelijke gevolgen zou hebben.

Dat maakt de omvangstoets minder eenduidig dan hij lijkt. Een klein bedrijf met een sleutelrol in een keten kan er alsnog onder vallen.

Laat dit uitzoeken in plaats van het zelf in te schatten op basis van het aantal medewerkers. De uitkomst bepaalt of u een programma optuigt of niet.

Als u er net buiten valt

Dan bent u niet klaar, want de eisen bereiken u waarschijnlijk alsnog via uw klanten. Organisaties die wel onder de wet vallen moeten hun keten beheersen, en die verplichting leggen zij contractueel bij hun leveranciers neer.

In de praktijk betekent dat vragenlijsten, contractbepalingen over incidenten en toegang, en soms een auditrecht. Bereid daar een standaardantwoord op voor, anders onderhandelt u met elke klant apart over dezelfde punten.

Veel organisaties kiezen er daarom voor de zorgplicht vrijwillig te volgen. Dat is goedkoper dan per klant maatwerk leveren en het scheelt bij aanbestedingen. Zie de NIS2 zorgplicht.

Zo pakt u de toets praktisch aan

De beoordeling is in een paar uur te doen als u hem in deze volgorde aanpakt.

Begin bij uw inschrijving en uw werkelijke activiteiten. Wat er in het handelsregister staat is niet altijd wat u doet, en de wet kijkt naar de dienst die u levert. Zet op een rij welke diensten u aanbiedt en aan wie.

Leg die diensten daarna naast de bijlagen van de wet. Let op dat een organisatie meerdere diensten kan leveren waarvan er maar een onder de wet valt. Dat is genoeg om eronder te vallen, maar het helpt wel bij het bepalen van de scope.

Doe pas daarna de omvangstoets, en leg de uitkomst vast met de onderbouwing erbij. Valt u er net buiten, dan is dat vastgelegde oordeel precies wat u later aan een klant of toezichthouder laat zien. Een inschatting die nergens staat, is bij navraag geen inschatting meer.

Wat proactief en reactief toezicht betekenen

Het onderscheid tussen essentieel en belangrijk klinkt alsof de een zwaarder wordt aangepakt dan de ander. Dat klopt, maar alleen op het punt van toezicht.

Bij essentiële entiteiten mag de toezichthouder uit eigen beweging controleren. Er hoeft geen aanleiding te zijn: er kan een inspectie komen, informatie worden opgevraagd of een audit worden gevraagd, gewoon omdat u in die categorie valt.

Bij belangrijke entiteiten gebeurt dat pas als er een aanwijzing is dat er iets niet in orde is. Een incident, een melding van derden of een signaal uit de markt kan zo’n aanleiding zijn.

Wat dat praktisch betekent: uw verplichtingen zijn hetzelfde, maar de kans dat er ongevraagd naar wordt gevraagd verschilt. Voor uw dossier maakt dat niets uit, want u moet in beide gevallen kunnen laten zien wat u heeft gedaan en waarom.

Waar de omvangstoets in de praktijk misgaat

De toets lijkt eenvoudig maar er zitten drie addertjes onder het gras.

Het eerste is de telwijze. De Europese definitie telt anders dan uw personeelsadministratie: deeltijders, uitzendkrachten en verbonden ondernemingen kunnen anders meetellen dan u verwacht. Precies rond de drempel maakt dat het verschil.

Het tweede is de concernstructuur. Er wordt gekeken naar de onderneming zelf, maar verbonden ondernemingen kunnen meetellen. Een kleine dochter van een groot concern is daarmee niet automatisch een kleine onderneming.

Het derde zijn de uitzonderingen waarbij omvang helemaal niet meetelt. Dat raakt onder meer bepaalde aanbieders van digitale infrastructuur en organisaties met een sleutelrol, waar uitval grote gevolgen zou hebben. Een klein bedrijf kan er zo alsnog onder vallen.

Zit u in een van die drie situaties, laat de uitkomst dan toetsen voordat u er beleid op baseert.

Veelgestelde vragen over de reikwijdte van NIS2

Hoeveel medewerkers is de grens?

De drempels sluiten aan op de Europese definities van middelgrote en grote ondernemingen, waarbij naast het aantal medewerkers ook omzet of balanstotaal meetelt. Let op de uitzonderingen: voor sommige categorieën geldt de wet ongeacht omvang.

Is de zorgplicht lichter voor belangrijke entiteiten?

Nee. De zorgplicht en de meldplicht zijn voor beide categorieën gelijk. Wat verschilt is het toezicht: bij essentiële entiteiten proactief, bij belangrijke entiteiten reactief na een aanwijzing.

Wie bepaalt in welke categorie wij vallen?

Dat volgt uit de wet zelf, op basis van uw sector en omvang. U beoordeelt dat zelf en registreert zich als u eronder valt. De toezichthouder kan die inschatting later toetsen.

Wij zijn een dochteronderneming. Telt de omvang van het concern mee?

Bij de omvangstoets wordt gekeken naar de onderneming zelf, maar verbonden ondernemingen kunnen meetellen. Dit is een van de punten waarop inschattingen het vaakst misgaan, dus laat het toetsen als u in een concernstructuur zit.

Wat als onze sector er niet in staat?

Dan valt u niet onder de wet. Dat betekent niet dat het onderwerp aan u voorbijgaat: levert u aan organisaties die er wel onder vallen, dan krijgt u de eisen via het contract. Zie de sectie hierboven over de keten.