NIS2-zelfevaluatie: doe de check

De NIS2-zelfevaluatie is de online check waarmee u bepaalt of de Cyberbeveiligingswet op uw organisatie van toepassing is. De overheid heeft die beschikbaar gesteld en hij is in een kwartier te doorlopen.

De check loopt langs dezelfde structuur als de wet zelf: eerst uw sector, dan uw omvang, en daaruit volgt of u eronder valt en in welke categorie.

Hieronder leest u wat de check wel en niet doet, hoe u hem voorbereidt zodat de uitkomst klopt, en wat u daarna doet.

Wat de zelfevaluatie doet

De check stelt vragen over uw activiteiten en uw omvang en geeft op basis daarvan een indicatie. Dat is precies het woord dat telt: een indicatie, geen oordeel.

Voor de meeste organisaties is die indicatie helder. U zit duidelijk in een genoemde sector en ruim boven of ruim onder de drempels, en dan is de uitkomst eenduidig.

Waar het minder helder wordt, is bij organisaties met meerdere activiteiten, bij concernstructuren of bij diensten die zich niet netjes in een categorie laten plaatsen. Dan is de check een startpunt en geen eindpunt.

Wat de zelfevaluatie niet doet

Hij vertelt u niet welke maatregelen u moet nemen. De uitkomst is alleen of en hoe de wet op u ziet.

Hij houdt ook geen rekening met de contractuele werkelijkheid. Valt u er net buiten maar levert u aan organisaties die er wel onder vallen, dan bereiken de eisen u alsnog via uw klanten. De check zegt daar niets over.

En hij vervangt geen vastgelegde beoordeling. Een uitkomst op een scherm is geen dossier. Leg de uitkomst met de onderbouwing vast, want daar wordt later naar gevraagd.

Zo bereidt u de check voor

Vijf minuten voorbereiding maakt de uitkomst een stuk betrouwbaarder.

• Uw werkelijke activiteiten. Niet wat er in het handelsregister staat, maar welke diensten u levert en aan wie.
• Medewerkersaantal. Volgens de Europese telwijze, dus inclusief de onderdelen die meetellen.
• Omzet en balanstotaal. Van het laatste boekjaar.
• Concernstructuur. Wie is moeder, wie is dochter, en welke onderdelen zijn verbonden.

Dat laatste punt is waar inschattingen het vaakst misgaan. Zit u in een concern, laat de uitkomst dan toetsen voordat u er beleid op baseert.

Wat u doet na de uitkomst

Valt u eronder, dan is registreren de eerste stap, gevolgd door het in kaart brengen van wat er al ligt. Een praktische volgorde staat in de NIS2 checklist.

Valt u er niet onder, leg dat dan vast met datum en onderbouwing, en zet een moment in de agenda om het opnieuw te bekijken. Uw organisatie groeit, uw dienstenpakket verandert, en de uitkomst kan daarmee veranderen.

Twijfelt u over de uitkomst, dan is een korte toets meer waard dan een aanname. Zie de NIS2 gap-analyse, waarin de reikwijdtevraag het eerste onderdeel is.

De drie punten waarop de uitkomst het vaakst misgaat

De check zelf is eenvoudig, maar de antwoorden die u erin zet zijn dat niet altijd. Drie dingen leveren in de praktijk een verkeerde uitkomst op.

De activiteit die niet in het handelsregister staat. Organisaties groeien en nemen diensten op die nooit in de inschrijving zijn beland. De wet kijkt naar wat u werkelijk levert. Loop daarom eerst uw dienstenpakket langs met iemand die weet wat er de laatste jaren is bijgekomen.

Het medewerkersaantal volgens de verkeerde telwijze. De Europese definitie telt anders dan uw personeelsadministratie. Deeltijders, uitzendkrachten en verbonden ondernemingen kunnen anders meetellen dan u verwacht, en dat is precies rond de drempel waar het uitmaakt.

De concernstructuur. Bij dochterondernemingen wordt gekeken naar de onderneming zelf, maar verbonden ondernemingen kunnen meetellen. Dit is het punt waarop inschattingen het vaakst misgaan, en het is ook het lastigst zelf te beoordelen.

Zit u in een van deze drie situaties, laat de uitkomst dan toetsen voordat u er beleid op baseert. Een verkeerde aanname aan het begin is de duurste fout in dit hele traject.

Wat u vastlegt na de check

De uitkomst op het scherm is vluchtig. Wat blijft is wat u erover opschrijft, en dat hoeft niet meer dan een half A4 te zijn.

Noteer de datum, welke van uw activiteiten u heeft beoordeeld, welke sector daarbij hoort en waarom, de cijfers waarmee u de omvangstoets heeft gedaan, en de conclusie. Zet erbij wie het heeft beoordeeld en wanneer u het opnieuw bekijkt.

Dat document is om twee redenen waardevol. Valt u eronder, dan is het het startpunt van uw dossier en de onderbouwing van uw scope. Valt u er niet onder, dan is het precies wat u laat zien als een klant of een toezichthouder ernaar vraagt.

Zonder die vastlegging heeft u een herinnering aan een uitkomst, en dat is bij navraag geen antwoord.

Wanneer u de check opnieuw doet

Een reikwijdteoordeel is geen eenmalige constatering. Vier veranderingen kunnen de uitkomst omgooien.

Groei is de meest voorkomende. Zit u net onder de drempel voor medewerkers of omzet, dan kan een goed jaar of een paar aannames u eroverheen brengen zonder dat iemand eraan denkt.

Een nieuwe dienst is de tweede. Organisaties nemen er diensten bij zonder dat de inschrijving of de reikwijdtetoets wordt bijgewerkt, terwijl de wet naar de werkelijke activiteit kijkt.

Een overname of fusie is de derde, want daarmee verandert zowel de omvang als de concernstructuur. En de vierde is een wijziging in de wet zelf: bijlagen en drempels kunnen worden aangepast.

Zet daarom een jaarlijks moment in de agenda, en doe de check daarnaast bij elke wezenlijke verandering. Dat kost een kwartier en het voorkomt dat u er een jaar te laat achter komt.

Veelgestelde vragen over de NIS2-zelfevaluatie

Is de zelfevaluatie verplicht?

Nee. De check is een hulpmiddel, geen verplichting. Wat wel verplicht is, is dat u zich registreert als de wet op u van toepassing is. De check helpt om die vraag te beantwoorden.

Is de uitkomst bindend?

Nee, het is een indicatie. U beoordeelt zelf of u onder de wet valt en registreert zich op basis daarvan. De toezichthouder kan die beoordeling later toetsen, dus onderbouw hem goed.

Hoe lang duurt de check?

Ongeveer een kwartier als u de gegevens bij de hand heeft. Zonder voorbereiding loopt u vast bij de vragen over omvang en concernstructuur.

Wij komen er niet uit. Wat nu?

Dat gebeurt vooral bij organisaties met meerdere activiteiten of in een concern. Laat het dan toetsen. Het scheelt een verkeerde aanname aan het begin van een traject, en dat is de duurste fout die u kunt maken.

Moeten wij de check jaarlijks herhalen?

Verstandig is het wel, of in elk geval bij een wezenlijke verandering: groei, een overname, of een nieuwe dienst. De uitkomst van vorig jaar hoeft dit jaar niet meer te kloppen.