Geen paniek zaaien over een wet die nog volop in beweging is. Gewoon een eerlijk antwoord op hoe je dit zelf uitzoekt.
[list] In het kort
- NIS2 is niet alleen voor grote bedrijven: sector en omvang bepalen samen of je eronder valt, niet je bedrijfsgrootte alleen.
- Ook als toeleverancier van een bedrijf dat wél onder NIS2 valt, kun je ermee te maken krijgen.
- Verkeerd inschatten kan twee kanten op misgaan: onnodig werk voor niets, of te laat beginnen aan iets dat wél verplicht is.
- Dit valt of staat met een betrouwbare, actuele bron, niet met een aanname van een half jaar geleden.
- Dit is geen juridisch advies. Check de actuele status altijd zelf op ncsc.nl.
"Geldt dat ook voor ons?" Die vraag krijgen we het vaakst over NIS2. Het eerlijke antwoord: dat hangt af van net iets meer dan alleen je bedrijfsgrootte.
[question] Is NIS2 alleen voor grote bedrijven, of kan een mkb-bedrijf er ook onder vallen?
Niet alleen voor grote bedrijven. Sector speelt minstens zo'n grote rol als omvang: bepaalde sectoren (denk aan energie, zorg, digitale infrastructuur, en een deel van de maakindustrie) vallen sneller onder de reikwijdte, ook bij een kleinere bedrijfsomvang. Een mkb-bedrijf in zo'n sector kan dus wél te maken krijgen met NIS2, terwijl een groter bedrijf buiten een aangewezen sector dat niet doet.
Bedrijfsgrootte alleen zegt niets. Sector plus omvang samen bepalen waar je staat.
[key] Hoe weet ik zeker of wij eronder vallen, en wie bepaalt dat uiteindelijk?
Dat bepaalt de wetgeving zelf, niet wij en ook niet jij als ondernemer op gevoel. Zekerheid krijg je alleen door je eigen situatie te toetsen aan de actuele, officiële criteria, niet aan wat een half jaar geleden gold, want die criteria en de status van de wet zijn nog in beweging. Wij kunnen meedenken over wat we in de praktijk zien bij vergelijkbare bedrijven, maar de uiteindelijke toetsing hoort bij een betrouwbare, actuele bron.
[link] Telt het ook mee als wij toeleverancier zijn van een bedrijf dat wél onder NIS2 valt?
Ja, dat kan. Een bedrijf dat zelf onder NIS2 valt, kan eisen aan zijn toeleveranciers gaan stellen, ook als die toeleverancier zelf niet rechtstreeks onder de wet valt. Zit je in de keten van een NIS2-plichtig bedrijf, dan is het dus verstandig om daar nu al rekening mee te houden, in plaats van te wachten tot een klant er zelf naar vraagt.
[warning] Wat gebeurt er als ik dit verkeerd inschat, in welke richting dan ook?
Beide kanten kosten je iets. Denk je onterecht dat je eronder valt, dan steek je mogelijk tijd en geld in maatregelen die niet verplicht zijn. Dat is zonde, maar niet gevaarlijk. Denk je onterecht dat je er níét onder valt, terwijl dat wel zo is, dan loop je het risico dat je te laat begint aan iets dat wél nodig was. Die tweede situatie is de kostbaardere om in te lopen, dus bij twijfel is het verstandiger om het te laten checken dan om het op aannames te laten aankomen.
[check] Waar vind ik een betrouwbare, actuele bron om dit zelf na te gaan?
Het meest betrouwbare startpunt is de officiële informatie van het Nationaal Cyber Security Centrum (NCSC), op ncsc.nl. Daar staat de actuele stand van zaken rond de Cyberbeveiligingswet (de Nederlandse implementatie van NIS2), inclusief eventuele wijzigingen in reikwijdte of planning. Wij verwijzen je daar bewust naar toe in plaats van hier een vaste lijst met criteria neer te zetten. Die lijst kan namelijk verouderen, en wij willen je niet op een oud antwoord laten varen.
[clock] Tot slot
Of je onder NIS2 valt, is geen kwestie van "wij zijn maar een klein bedrijf, dus dat zal ons niet raken". Sector en positie in de keten wegen minstens zo zwaar mee als omvang. Twijfel je, check het dan bij de bron in plaats van op aannames te varen. Dat voorkomt zowel onnodig werk als een late verrassing.
Dit is een verdieping op wat we eerder al schreven over NIS2 in de maakindustrie "NIS2 en de maakindustrie: wat moet je nu regelen?" en over de algemene voorbereiding "Wat is de beste voorbereiding op de NIS2-verplichtingen?". Deze blog gaat specifiek in op de vraag die daaraan voorafgaat: val je er überhaupt onder.
Wil je dit samen doornemen voor jouw situatie?
Wil je eerst weten waar jullie nu staan?
Vraag een Cyber Threat Assessment aan →
Val ik onder de NIS2, en wie bepaalt dat?