De NIS2-richtlijn geldt voor organisaties die actief zijn in sectoren die als essentieel of belangrijk worden beschouwd voor de samenleving. In Nederland vallen naar schatting ruim 10.000 organisaties direct onder de wet, en nog eens circa 50.000 bedrijven in hun toeleveringsketens krijgen er indirect mee te maken. De vragen hieronder helpen je snel te bepalen of jouw organisatie onder de NIS2-verplichting valt en wat dat betekent.
Welke sectoren vallen verplicht onder de NIS2-richtlijn?
De NIS2-richtlijn maakt onderscheid tussen twee categorieën: essentiële entiteiten en belangrijke entiteiten. Essentiële sectoren zijn onder andere energie, transport, bankwezen, financiële marktinfrastructuur, gezondheidszorg, drinkwater, afvalwater, digitale infrastructuur en overheid. Belangrijke sectoren omvatten post- en koeriersdiensten, afvalbeheer, chemie, voedingsmiddelen, maakindustrie en digitale aanbieders.
In de Nederlandse vertaling van de richtlijn, de Cyberbeveiligingswet (Cbw), worden deze sectoren nader uitgewerkt. Het wetsvoorstel is op 4 juni 2025 ingediend bij de Tweede Kamer en de inwerkingtreding wordt verwacht in het tweede kwartaal van 2026. Voor de overheidssector geldt een bijzondere positie: ministeries, provincies, gemeenten en waterschappen vallen automatisch onder de wet en worden aangemerkt als essentiële entiteiten, ongeacht hun omvang.
Het verschil tussen essentieel en belangrijk zit niet zozeer in de verplichtingen zelf, maar in de intensiteit van het toezicht. Essentiële entiteiten worden actiever gecontroleerd, terwijl belangrijke entiteiten eerder reactief worden beoordeeld, bijvoorbeeld na een incident.
Welke bedrijfsgrootte bepaalt of NIS2 van toepassing is?
De NIS2-richtlijn hanteert als basisregel dat organisaties met minimaal 50 medewerkers of een jaaromzet of balanstotaal van meer dan 10 miljoen euro onder de wet vallen, mits zij actief zijn in een aangewezen sector. Middelgrote en grote ondernemingen in de relevante sectoren zijn dus in principe verplicht te voldoen aan de NIS2-bedrijvencriteria.
Concreet gelden de volgende drempelwaarden:
- Grote ondernemingen: meer dan 250 medewerkers of een jaaromzet boven 50 miljoen euro en een balanstotaal boven 43 miljoen euro
- Middelgrote ondernemingen: 50 tot 250 medewerkers of een jaaromzet tussen 10 en 50 miljoen euro
- Kleine en micro-ondernemingen: in principe uitgezonderd, tenzij specifieke uitzonderingsgronden van toepassing zijn
Belangrijk om te weten: voor overheidsinstanties geldt het omvangscriterium uitdrukkelijk niet. Een kleine gemeente met twintig medewerkers valt net zo goed onder de Cyberbeveiligingswet als een grote stad. De sectorindeling en de publieke taak zijn hier doorslaggevend.
Kunnen kleine bedrijven ook onder NIS2 vallen?
Ja, kleine bedrijven kunnen ook onder de NIS2-richtlijn vallen, ook al zijn ze formeel te klein om aan de omvangsdrempels te voldoen. De richtlijn kent een aantal uitzonderingsgronden die kleinere organisaties alsnog verplicht kunnen stellen. Dit geldt wanneer een organisatie de enige aanbieder van een essentiële dienst in een lidstaat is, wanneer haar uitval grote maatschappelijke gevolgen zou hebben, of wanneer zij een kritieke rol speelt in de nationale veiligheid of publieke orde.
Daarnaast zijn er specifieke sectoren waarbij grootte geen rol speelt, zoals aanbieders van bepaalde digitale diensten, vertrouwensdienstverleners en registrars van domeinnamen. Een klein bedrijf dat bijvoorbeeld DNS-diensten levert of gekwalificeerde elektronische handtekeningen uitgeeft, valt automatisch onder de wet.
Voor kleine bedrijven die zelf niet rechtstreeks onder NIS2 vallen, is het verstandig toch aandacht te besteden aan cybersecurity. Grote opdrachtgevers die wél onder de wet vallen, zijn namelijk verplicht eisen te stellen aan de beveiliging van hun toeleveranciers. Meer hierover lees je in de volgende sectie.
Geldt NIS2 ook voor toeleveranciers en ketenpartners?
NIS2 verplicht organisaties die onder de wet vallen om de beveiliging van hun gehele toeleveringsketen mee te nemen in hun risicoanalyse. Dit betekent dat leveranciers, onderaannemers en andere ketenpartners indirect met de eisen te maken krijgen, ook als zij zelf niet rechtstreeks onder de NIS2-bedrijvenverplichting vallen.
De zorgplicht vereist concreet dat organisaties inzicht hebben in de cybersecuritymaatregelen van hun leveranciers. In de praktijk vertaalt dit zich naar:
- Contractuele beveiligingseisen richting toeleveranciers
- Periodieke beoordeling van de beveiligingspositie van ketenpartners
- Aantoonbare afspraken over incidentmelding en respons
- Aandacht voor supply chain-risico’s bij aanbestedingen en inkoop
Naar schatting krijgen circa 50.000 bedrijven in Nederland indirect met NIS2 te maken via hun klanten of opdrachtgevers. Als jouw organisatie levert aan een ziekenhuis, energiebedrijf, gemeente of andere essentiële entiteit, is de kans groot dat je binnenkort wordt gevraagd om je beveiligingsniveau aan te tonen. Een penetratietest of een gerichte beveiligingsscan kan helpen om dat niveau inzichtelijk te maken.
Wat zijn de gevolgen als een bedrijf ten onrechte denkt niet onder NIS2 te vallen?
De gevolgen kunnen aanzienlijk zijn. Organisaties zijn zelf verantwoordelijk om te bepalen of zij onder de Cyberbeveiligingswet vallen. Wie die beoordeling verkeerd maakt en geen passende maatregelen treft, riskeert bij een incident of toezichtcontrole zware sancties.
De mogelijke gevolgen bij niet-naleving zijn:
- Boetes voor essentiële entiteiten: tot 10 miljoen euro of 2% van de wereldwijde jaaromzet
- Boetes voor belangrijke entiteiten: tot 7 miljoen euro of 1,4% van de wereldwijde jaaromzet
- Persoonlijke aansprakelijkheid: het senior management kan persoonlijk aansprakelijk worden gesteld bij ernstige overtredingen
- Reputatieschade: een incident dat had kunnen worden voorkomen treft niet alleen de organisatie, maar ook haar klanten en partners
Naast de financiële en juridische risico’s is er ook een operationeel risico: wie geen adequate maatregelen heeft genomen, is bij een cyberaanval slechter voorbereid op herstel en continuïteit. De Rijksoverheid adviseert organisaties niet af te wachten totdat de wet formeel in werking treedt. De risico’s bestaan immers nu al, ongeacht de wettelijke status.
Om te bepalen of jouw organisatie onder de NIS2 valt, kun je gebruikmaken van de NIS2-zelfevaluatietool via regelhulpenvoorbedrijven.nl of de Flowchart Registratieplicht van het NCSC. Beide instrumenten zijn gratis beschikbaar en bieden een gestructureerde eerste beoordeling.
Hoe Q-Cyber helpt met NIS2-compliance
NIS2 is meer dan een wettelijke verplichting. Het is een kans om cybersecurity structureel te verankeren in de kern van je organisatie. Wij begeleiden organisaties door het volledige NIS2-traject, van de eerste beoordeling tot concrete implementatie.
Wat wij voor jouw organisatie kunnen doen:
- Gap-analyse: we brengen in kaart waar jouw organisatie staat ten opzichte van de NIS2-vereisten en wat er nog ontbreekt
- Beleid op maat: we schrijven cybersecuritybeleid dat aansluit op jouw risicoprofiel en voldoet aan de zorgplicht
- Bestuurderstrainingen: we zorgen dat de juiste mensen in jouw organisatie begrijpen wat NIS2 van hen vraagt
- Technische toetsing: via red teaming en security scans toetsen we de feitelijke weerbaarheid van je systemen
- Virtuele CISO: via onze Continuous-Q dienst bieden we doorlopende begeleiding door een team van specialisten
Wij werken volledig onafhankelijk, zonder binding aan softwarepartijen of andere toeleveranciers. Dat betekent dat ons advies altijd in jouw belang is. Wil je weten of jouw organisatie onder NIS2 valt en wat de volgende stap is? Neem contact met ons op voor een vrijblijvend gesprek.
Gerelateerde artikelen
- Wat is een NIS2-audit en hoe bereid je je daarop voor?
- Wat is een security baseline?
- Hoe gebruiken hackers trust relationships tussen organisaties?
- IoT-beveiliging: risico's en oplossingen voor het mkb
- Kan AI een menselijke pentester vervangen?
- Wat is een APT (Advanced Persistent Threat)?
- Factuurhackfraude: wat is het en hoe voorkom je het?
- Wat zijn de boetes voor AVG-overtredingen?
- Wat is ransomware en hoe bescherm je je bedrijf?