Valt mijn bedrijf onder NIS2? De criteria uitgelegd
Kort antwoord: u valt onder NIS2 als u actief bent in één van de 18 aangewezen sectoren én minimaal middelgroot bent (50+ fte of meer dan € 10 miljoen omzet én balanstotaal). Enkele organisaties, zoals DNS-aanbieders en overheden, vallen er ongeacht omvang onder.
Stap 1: Valt uw activiteit in een NIS2-sector?
NIS2 onderscheidt sectoren met een hoge kriticiteit (Bijlage I) en overige kritieke sectoren (Bijlage II). Het gaat om uw daadwerkelijke activiteit, niet om uw SBI-code alleen.
- Bijlage I: energie, vervoer, bankwezen, financiële marktinfrastructuur, gezondheidszorg, drinkwater, afvalwater, digitale infrastructuur, ICT-dienstbeheer (B2B), overheid, ruimtevaart.
- Bijlage II: post en koeriers, afvalbeheer, chemie, levensmiddelen, maakindustrie, digitale aanbieders, onderzoek.
Stap 2: Toets de size-cap
Middelgroot betekent 50 tot 250 medewerkers of een jaaromzet tussen € 10 en € 50 miljoen. Groot is 250+ medewerkers of meer dan € 50 miljoen omzet (of € 43 miljoen balanstotaal). Let op: bij groepsstructuren telt u partner- en verbonden ondernemingen mee.
Gratis NIS2 nulmeting
Bepaal in 1 minuut uw officiële entiteitstatus met de gratis intake.
Start de scanStap 3: Essentieel of belangrijk?
Grote organisaties in Bijlage I-sectoren zijn doorgaans essentieel. Middelgrote Bijlage I-organisaties en middelgrote of grote Bijlage II-organisaties zijn belangrijk. Het verschil zit vooral in het toezicht (proactief versus reactief) en de maximale boetes.
Buiten scope? Let op de keten
Ook als u zelf niet onder NIS2 valt, zullen NIS2-plichtige klanten via Art. 21.2(d) beveiligingseisen aan u stellen. In de praktijk krijgt vrijwel elke ICT-leverancier hiermee te maken.
De size-cap regel in de praktijk
NIS2 hanteert de Europese mkb-definitie. Middelgrote organisaties (50 tot 250 medewerkers, of een omzet tussen € 10 en € 50 miljoen) die actief zijn in een sector uit Bijlage I of II vallen in principe onder de wet. Grote organisaties in Bijlage I worden doorgaans essentiële entiteit. Let op: bij de telling gaat het om de hele groep, inclusief partner- en verbonden ondernemingen. Een kleine dochter van een groot concern kan dus alsnog onder NIS2 vallen.
Uitzonderingen ongeacht omvang
Sommige organisaties vallen er altijd onder, ook als ze klein zijn: aanbieders van DNS-diensten, TLD-registers, vertrouwensdiensten en openbare elektronische communicatienetwerken, en organisaties die de enige aanbieder van een essentiële dienst in Nederland zijn. Ook kan de overheid een organisatie zelf aanwijzen als haar uitval maatschappelijk ontwrichtend is.
Stappenplan scopebepaling
- Stel uw NACE/SBI-codes en hoofdactiviteiten vast
- Toets deze aan de sectoren in Bijlage I en II
- Tel fte, omzet en balans op groepsniveau
- Leg de conclusie schriftelijk vast en laat de directie tekenen
- Valt u erbuiten maar levert u aan vitale partijen? Bereid u dan voor op ketenverplichtingen
Praktijkvoorbeeld
Een installatiebedrijf met 80 medewerkers dat onderhoud pleegt aan energienetten valt in de sector energie (Bijlage I) en is middelgroot: een belangrijke entiteit.