Valt mijn bedrijf onder NIS2?

## Valt mijn bedrijf onder NIS2? Of uw bedrijf zelf onder de NIS2-richtlijn valt, hangt af van twee dingen: de sector waarin u actief bent en de omvang van uw organisatie. De richtlijn wijst in twee bijlagen sectoren aan die zij belangrijk vindt voor de samenleving of de economie, van energie en vervoer tot digitale infrastructuur en afvalwaterbeheer. Valt uw bedrijf binnen zo'n sector én binnen de omvang die de richtlijn hanteert, dan bent u vermoedelijk zelf een 'essentiële' of 'belangrijke' entiteit, met alle plichten van dien. Maar het antwoord stopt daar niet. Veel meer bedrijven vallen buiten sector en omvang, en krijgen de eisen toch: als leverancier, installateur of dienstverlener van een bedrijf dat wél plichtig is. Die plichtige organisaties moeten namelijk hun eigen keten beoordelen, en dat vertaalt zich in vragenlijsten en contracteisen bij bedrijven die zelf nooit bij een toezichthouder hoeven te registreren. ### Sector: bijlage I en II De richtlijn somt in twee bijlagen sectoren op. Bijlage I noemt de sectoren die als essentieel worden gezien: onder meer energie, vervoer, bankwezen, drinkwater, digitale infrastructuur en overheid. Bijlage II noemt sectoren die als belangrijk worden gezien, zoals post- en koeriersdiensten, afvalbeheer, chemie, voeding en bepaalde digitale diensten. Een installatiebedrijf, een IT-dienstverlener of een adviesbureau staat meestal niet met naam in die bijlagen, maar de omschrijvingen zijn breder dan de naam doet vermoeden. Wie twijfelt of zijn activiteit onder een van deze sectoren valt, doet er goed aan de omschrijving in de officiële tekst zelf te lezen, niet alleen de sectornaam. ### Omvang: wanneer telt uw bedrijf mee Naast de sector kijkt de richtlijn naar de omvang van de organisatie, met de gangbare EU-indeling in kleine, middelgrote en grote ondernemingen op basis van personeel en omzet of balanstotaal. Voor de meeste sectoren geldt: hoe groter de onderneming, hoe eerder zij binnen de reikwijdte valt. Er bestaan ook uitzonderingen waarbij de omvang er minder toe doet, bijvoorbeeld wanneer een organisatie de enige aanbieder van een bepaalde dienst is in een land. Die uitzonderingen zijn nauwkeurig omschreven in de richtlijn en in de nationale wet die daarop is gebaseerd; een exacte inschatting voor uw eigen situatie is aan uzelf, uw jurist of de toezichthouder om te maken. ### De grootste groep valt erbuiten, en krijgt de eisen toch Het gedeelte van de richtlijn dat de meeste aandacht trekt, gaat over de zorgplicht: plichtige organisaties moeten passende maatregelen nemen en daarbij ook hun leveranciers beoordelen. Dat is precies waar de grootste groep bedrijven mee te maken krijgt. Een installatiebedrijf dat gebouwbeheersystemen onderhoudt voor een energiebedrijf, een schoonmaakbedrijf dat werkt voor een ziekenhuis, of een IT-partner van een gemeente: geen van hen hoeft zelf te registreren, maar allemaal kunnen zij een vragenlijst op de mat krijgen. Dat heet in de praktijk vaak 'keten-geraakt': u valt niet zelf onder de richtlijn, maar een klant die dat wel doet, vraagt u toch om aan te tonen dat uw beveiliging op orde is. Of dat bij uw bedrijf speelt, hangt af van wie uw klanten zijn en hoe belangrijk uw dienst voor hen is. Dat is lastig in te schatten zonder overzicht van sector, omvang én ketenrol tegelijk. [[LINK:/nis2-check|In een paar vragen ziet u waar uw bedrijf ongeveer staat]], met een toelichting waarom en een voorstel voor de vervolgstap. ### Financiële instellingen: een aparte regeling Banken, verzekeraars en andere financiële instellingen vallen niet onder NIS2 maar onder een aparte verordening voor digitale operationele weerbaarheid, gericht specifiek op de financiële sector. Wie in die sector actief is, herkent dat doorgaans al bij de eerste intakevraag over de sector. ### Wat te doen als het antwoord niet duidelijk is Sector en omvang samen geven een goede eerste indicatie, maar de precieze grens tussen 'essentieel', 'belangrijk', 'keten-geraakt' en 'niet geraakt' vraagt om maatwerk. [[LINK:/onderwerpen|De kennisbank met alle onderwerpen per situatie]] geeft per begrip een toelichting en verwijst naar de vindplaats in de officiële tekst. Twijfelt u nog na het lezen daarvan, dan is een jurist of de toezichthouder in uw land de aangewezen partij om uw specifieke situatie te beoordelen; secria.eu spreekt zich daar bewust niet over uit. Wilt u eerst weten waar de informatie op dit platform vandaan komt en hoe die actueel wordt gehouden? [[LINK:/hoe-het-werkt|Lees hier hoe wij bronnen bijhouden]]. Antwoord op praktische vragen over het gebruik van het platform vindt u in [[LINK:/veelgestelde-vragen|het overzicht met veelgestelde vragen]]. Het korte antwoord op 'valt mijn bedrijf onder NIS2' krijgt u dus door sector, omvang en ketenrol naast elkaar te leggen. Doe de gratis check en lees de kennisbank; ze geven u zonder account al een eerste, onderbouwd beeld van waar uw bedrijf staat.