Het verschil tussen een essentiële en belangrijke entiteit bij NIS2 zit in de omvang van de organisatie, de sector waarin zij actief is, en de kritikaliteit van de diensten die zij levert. Essentiële entiteiten zijn doorgaans grote organisaties in sectoren die direct van invloed zijn op de samenleving, terwijl belangrijke entiteiten een bredere groep middelgrote en grote organisaties omvatten in aanvullende sectoren. De classificatie bepaalt welke verplichtingen gelden en hoe streng het toezicht is. In dit artikel beantwoorden we de meest gestelde vragen over de NIS2-classificatie, zodat je precies weet waar jouw organisatie staat.
Welke criteria bepalen of een organisatie essentieel of belangrijk is?
Of een organisatie als essentiële of belangrijke entiteit wordt aangemerkt, hangt af van drie factoren: de sector, de omvang van de organisatie en de aard van de geleverde diensten. Essentiële entiteiten zijn grote organisaties in sectoren die als kritiek worden beschouwd. Belangrijke entiteiten zijn middelgrote of grote organisaties in een bredere set sectoren die minder direct kritiek zijn, maar wel relevant voor de samenleving.
Concreet gelden de volgende maatstaven voor omvang onder de NIS2-richtlijn en de Nederlandse Cyberbeveiligingswet:
- Essentiële entiteit: een organisatie met meer dan 250 medewerkers, een jaaromzet van meer dan 50 miljoen euro of een balanstotaal van meer dan 43 miljoen euro, actief in een van de aangewezen kritieke sectoren.
- Belangrijke entiteit: een organisatie met meer dan 50 medewerkers of een jaaromzet en balanstotaal van meer dan 10 miljoen euro, actief in een van de sectoren die onder NIS2 vallen maar niet als kritiek zijn aangemerkt. Middelgrote organisaties in kritieke sectoren kunnen ook als belangrijke entiteit worden geclassificeerd.
Overheidsinstanties vormen een aparte categorie. Ministeries, provincies, gemeenten en waterschappen vallen automatisch onder de wet en worden doorgaans als essentiële entiteit aangemerkt. Voor zelfstandige bestuursorganen (ZBO’s) en gemeenschappelijke regelingen moet per geval worden beoordeeld of zij aan de vier wettelijke criteria voldoen, zoals rechtspersoonlijkheid, publieke financiering en de bevoegdheid om bestuursrechtelijke besluiten te nemen.
Wat zijn de sectoren die vallen onder essentiële entiteiten?
Essentiële entiteiten zijn actief in sectoren die als hoog-kritiek worden beschouwd onder de NIS2-richtlijn. Dit zijn sectoren waarvan de verstoring direct grote gevolgen heeft voor de openbare veiligheid, de volksgezondheid of de economie van een land.
De sectoren die vallen onder essentiële entiteiten zijn:
- Energie (elektriciteit, aardgas, olie, warmte en waterstof)
- Transport (luchtvaart, spoor, scheepvaart en wegvervoer)
- Bankwezen en financiële marktinfrastructuur
- Gezondheidszorg (ziekenhuizen, laboratoria, farmaceutische industrie)
- Drinkwater en afvalwater
- Digitale infrastructuur (internetknooppunten, DNS-dienstverleners, cloudproviders, datacenters)
- ICT-dienstverlening (beheerde beveiligingsdiensten)
- Ruimtevaart
- Overheidsinstanties
Sectoren die vallen onder belangrijke entiteiten zijn onder meer post- en koeriersdiensten, afvalverwerking, chemische industrie, voedselproductie, de maakindustrie van bepaalde kritieke producten en digitale aanbieders zoals online marktplaatsen en zoekmachines. Het onderscheid is niet altijd zwart-wit: een middelgrote organisatie in de energiesector kan als belangrijke entiteit worden geclassificeerd, terwijl een grote organisatie in de maakindustrie dat ook kan zijn.
Hoe verschillen de verplichtingen tussen essentiële en belangrijke entiteiten?
Essentiële entiteiten hebben zwaardere verplichtingen en staan onder strenger toezicht dan belangrijke entiteiten. Het grootste verschil zit in de manier waarop toezicht wordt gehouden: essentiële entiteiten worden proactief gecontroleerd, terwijl toezicht op belangrijke entiteiten in de meeste gevallen reactief plaatsvindt, dus naar aanleiding van een incident of klacht.
Verplichtingen voor essentiële entiteiten
Essentiële entiteiten moeten voldoen aan de volledige zorgplicht onder de Cyberbeveiligingswet. Dat betekent onder meer:
- Een aantoonbaar risicobeheersingsbeleid voor netwerk- en informatiesystemen
- Maatregelen voor bedrijfscontinuïteit en crisisbeheer
- Beveiliging van de toeleveringsketen (supply chain security)
- Gebruik van multi-factorauthenticatie
- Beleid voor cryptografie en encryptie
- Significante incidenten melden binnen 24 uur bij het NCSC, met een vervolgmelding binnen 72 uur en een eindverslag binnen een maand
- Bestuurders moeten een verplichte cybersecuritytraining volgen
Bij niet-naleving kunnen essentiële entiteiten boetes krijgen tot 10 miljoen euro of 2% van hun wereldwijde jaaromzet.
Verplichtingen voor belangrijke entiteiten
Belangrijke entiteiten hebben grotendeels dezelfde inhoudelijke verplichtingen op het gebied van risicobeheer en incidentmelding. Het verschil zit in de intensiteit van het toezicht en de sancties. Bij niet-naleving kunnen belangrijke entiteiten boetes krijgen tot 7 miljoen euro of 1,4% van hun wereldwijde jaaromzet. Omdat het toezicht reactief is, kan een organisatie in de praktijk langer onopgemerkt tekortschieten, maar dat neemt de juridische aansprakelijkheid niet weg.
Wat zijn de gevolgen als een organisatie haar categorie verkeerd inschat?
Een verkeerde inschatting van de NIS2-classificatie kan leiden tot aanzienlijke juridische en financiële risico’s. Als een organisatie denkt dat zij buiten de wet valt of zich als belangrijke entiteit beschouwt terwijl zij essentieel is, voldoet zij mogelijk niet aan de strengere verplichtingen en het bijbehorende toezicht. Dit kan resulteren in boetes, reputatieschade en persoonlijke aansprakelijkheid van bestuurders.
Concreet zijn de risico’s:
- Financiële sancties: Boetes die oplopen tot 10 miljoen euro of 2% van de wereldwijde jaaromzet voor essentiële entiteiten die hun verplichtingen niet nakomen.
- Bestuurlijke aansprakelijkheid: Het senior management kan persoonlijk aansprakelijk worden gesteld bij ernstige overtredingen. Dit maakt cybersecurity expliciet een boardroomvraagstuk.
- Operationele kwetsbaarheid: Wie de eigen risicoclassificatie onderschat, investeert mogelijk te weinig in beveiliging en staat daardoor bloot aan grotere cyberdreigingen.
- Reputatieschade: Een significant incident bij een organisatie die haar verplichtingen niet is nagekomen, trekt publieke en politieke aandacht.
Voor overheidsorganisaties geldt overigens dat de aansprakelijkheidsbepaling voor bestuurders uit de NIS2-richtlijn uitdrukkelijk niet van toepassing is verklaard. De verantwoordelijkheid ligt bij de politieke leiding, maar persoonlijke aansprakelijkheid zoals bij private organisaties geldt hier niet op dezelfde manier.
Hoe kan een organisatie haar NIS2-categorie zelf vaststellen?
Een organisatie kan haar NIS2-classificatie zelf vaststellen via de NIS2 Zelfevaluatietool van de Rijksdienst voor Ondernemend Nederland (RVO) of de Flowchart Registratieplicht van het NCSC. Deze tools begeleiden organisaties stap voor stap door de relevante criteria en geven een indicatie van de categorie waarin zij vallen.
Een praktische aanpak om de eigen categorie vast te stellen:
- Bepaal de sector: In welke sector is de organisatie actief? Valt die sector onder de hoog-kritieke sectoren of de aanvullende sectoren van NIS2?
- Bepaal de omvang: Hoeveel medewerkers heeft de organisatie en wat zijn de omzet en het balanstotaal? Gebruik de drempelwaarden voor grote en middelgrote ondernemingen als referentie.
- Gebruik de zelfevaluatietool: De NIS2 Zelfevaluatietool van RVO is specifiek ontwikkeld voor Nederlandse organisaties en houdt rekening met de nationale implementatie via de Cyberbeveiligingswet.
- Controleer uitzonderingen: Sommige organisaties vallen buiten de wet, zoals kleine en micro-ondernemingen, tenzij zij een specifieke kritieke functie vervullen.
- Registreer vrijwillig: Essentiële en belangrijke entiteiten kunnen zich al per 17 oktober 2024 vrijwillig registreren bij het NCSC-portaal. De registratieplicht wordt verplicht na inwerkingtreding van de Cyberbeveiligingswet, die naar verwachting in Q2 2026 in werking treedt.
Twijfel je na de zelfevaluatie nog over de juiste classificatie? Dan is het verstandig om juridisch of cybersecurity-advies in te winnen. De consequenties van een verkeerde inschatting zijn groot genoeg om hier niet op te gokken. Voor organisaties die ook willen weten hoe zij hun beveiliging in de praktijk kunnen testen, biedt een penetratietest of red team assessment waardevolle inzichten in de werkelijke kwetsbaarheden.
Hoe Q-Cyber helpt met NIS2-classificatie en compliance
Wij begrijpen dat de NIS2-classificatie voor veel organisaties een complex vraagstuk is. Of je nu twijfelt of je onder de wet valt, niet zeker weet of je essentieel of belangrijk bent, of gewoon wilt weten wat de volgende stap is: wij helpen je erdoorheen. Concreet bieden wij:
- Gap-analyse: We brengen in kaart waar jouw organisatie nu staat ten opzichte van de NIS2-verplichtingen en welke stappen nodig zijn.
- Beleidsvorming op maat: We schrijven cybersecuritybeleid dat aansluit op jouw specifieke risicoprofiel en sectorvereisten.
- Bestuurderstrainingen: We verzorgen trainingen voor het management zodat zij voldoen aan de verplichte trainingseis onder de Cyberbeveiligingswet.
- Virtuele CISO: Via onze Continuous-Q dienst krijg je toegang tot een team van specialisten dat de CISO-rol invult zonder dat je een fulltime functionaris hoeft aan te stellen.
- Onafhankelijk advies: We zijn niet gebonden aan softwarepartijen of leveranciers, waardoor ons advies altijd in jouw belang is.
Wacht niet tot de wet volledig in werking is getreden. De risico’s zijn er nu al, en wie nu in actie komt, is straks beter voorbereid. Neem contact op en we kijken samen welke stap het meeste oplevert voor jouw organisatie.
Gerelateerde artikelen
- Hybride werken en cybersecurity: de nieuwe uitdagingen
- Wat is tweefactorauthenticatie (2FA)?
- Wat zijn de cyberbeveiligingseisen van NIS2 in de praktijk?
- NIS2-richtlijn uitgelegd: verplichtingen voor het mkb
- Zijn er tools om te controleren of mijn server kwetsbaarheden heeft?
- Hoe test je cloud infrastructuur?
- Hoe voer je database pentesten uit?
- Hoe test je IoT apparaten?
- Welke sectoren zijn verplicht tot pentesten?
- Hoe test ik de beveiliging van mijn eigen website of app?