Ja, NIS2 verschilt per sector qua eisen. De richtlijn maakt een onderscheid tussen sectoren op basis van hoe kritiek ze zijn voor de samenleving, en koppelt daaraan verschillende toezichtniveaus en verplichtingen. Toch geldt een basisset aan maatregelen voor vrijwel alle organisaties die onder de richtlijn vallen. In dit artikel beantwoorden we de meest gestelde vragen over NIS2 per sector.
Welke sectoren vallen onder de NIS2-richtlijn?
De NIS2-richtlijn is van toepassing op organisaties in sectoren die als kritiek worden beschouwd voor de digitale en fysieke infrastructuur van Europa. De richtlijn onderscheidt twee categorieën: sectoren met een hoge kritikaliteit en andere kritieke sectoren. Samen omvatten zij een breed scala aan branches.
Sectoren met een hoge kritikaliteit zijn onder andere:
- Energie (elektriciteit, gas, olie, warmte, waterstof)
- Transport (lucht, spoor, water, weg)
- Bankwezen en financiële marktinfrastructuur
- Gezondheidszorg
- Drinkwater en afvalwater
- Digitale infrastructuur (waaronder cloudproviders, datacenters, DNS-diensten)
- ICT-dienstverlening (managed serviceproviders en managed security serviceproviders)
- Overheid
- Ruimtevaart
Andere kritieke sectoren die ook onder NIS2 vallen, zijn:
- Post- en koeriersdiensten
- Afvalstoffenbeheer
- Chemische industrie
- Voedingsmiddelenindustrie
- Maakindustrie (waaronder medische hulpmiddelen, machines en voertuigen)
- Digitale aanbieders (online marktplaatsen, zoekmachines, sociale netwerken)
- Onderzoeksinstellingen
Of jouw organisatie daadwerkelijk onder NIS2 valt, hangt niet alleen af van de sector, maar ook van de omvang. Meer hierover lees je verderop in dit artikel.
Wat is het verschil tussen essentiële en belangrijke entiteiten?
NIS2 verdeelt organisaties in twee klassen: essentiële entiteiten en belangrijke entiteiten. Het voornaamste verschil zit in het toezichtniveau. Essentiële entiteiten staan onder proactief toezicht, wat betekent dat toezichthouders actief en vooraf kunnen controleren. Belangrijke entiteiten vallen onder reactief toezicht, waarbij controle doorgaans plaatsvindt na een incident of melding.
Essentiële entiteiten zijn grote organisaties in de sectoren met de hoogste kritikaliteit, zoals energie, transport, gezondheidszorg en digitale infrastructuur. Ze moeten voldoen aan strenge rapportage- en beveiligingsverplichtingen en kunnen bij niet-naleving rekenen op hogere boetes.
Belangrijke entiteiten zijn middelgrote organisaties in dezelfde sectoren, of grote en middelgrote organisaties in de andere kritieke sectoren. De inhoudelijke eisen zijn grotendeels gelijk aan die voor essentiële entiteiten, maar het toezicht is minder intensief en de maximale boetes liggen lager.
Praktisch gezien maakt dit onderscheid het meest uit voor de manier waarop toezichthouders jouw organisatie benaderen, niet zozeer voor de dagelijkse beveiligingsverplichtingen zelf.
Gelden er strengere eisen voor specifieke sectoren?
Niet elke sector krijgt extra eisen bovenop de NIS2-basisverplichtingen, maar voor sommige sectoren gelden aanvullende sectorspecifieke regelingen die naast NIS2 van kracht zijn. In die gevallen kan de combinatie van NIS2 en sectorwetgeving zorgen voor een zwaarder compliance-regime.
De gezondheidszorg is hier een duidelijk voorbeeld van. Zorginstellingen hebben naast NIS2 ook te maken met de NEN 7510-norm voor informatiebeveiliging en de AVG voor persoonsgegevens. Samen stellen deze kaders hogere eisen aan beveiliging, toegangsbeheer en incidentrespons dan NIS2 alleen zou vereisen.
Ook voor de financiële sector geldt aanvullende regelgeving. DORA (Digital Operational Resilience Act) legt specifieke eisen op aan financiële instellingen rondom digitale weerbaarheid en ICT-risicobeheer, en overlapt deels met NIS2.
Voor de meeste andere sectoren geldt dat NIS2 de leidende norm is. Organisaties in de maakindustrie, logistiek of zakelijke dienstverlening hoeven doorgaans geen extra sectorspecifieke lagen te verwerken, maar moeten wel volledig voldoen aan de NIS2-verplichtingen zelf.
Welke NIS2-eisen gelden voor alle sectoren hetzelfde?
Ongeacht de sector of categorie legt NIS2 een uniforme basisset aan verplichtingen op aan alle organisaties die onder de richtlijn vallen. Deze gemeenschappelijke eisen richten zich op risicobeheer, incidentmelding en de beveiliging van de toeleveringsketen.
De kernverplichtingen die voor elke NIS2-plichtige organisatie gelden, zijn:
- Risicoanalyse en beveiligingsbeleid: Organisaties moeten cyberrisico’s systematisch identificeren en een gedocumenteerd beveiligingsbeleid voeren.
- Incidentmelding: Significante incidenten moeten binnen 24 uur gemeld worden bij de bevoegde autoriteit, met een volledig rapport binnen 72 uur.
- Beveiliging van de toeleveringsketen: Organisaties zijn verantwoordelijk voor de cyberbeveiliging van hun leveranciers en partners.
- Continuïteitsmanagement: Er moeten maatregelen zijn voor back-ups, herstel en crisisbeheer.
- Toegangsbeheer en authenticatie: Meerfactorauthenticatie en strikte toegangscontrole zijn verplicht.
- Encryptie: Gevoelige gegevens moeten adequaat versleuteld worden.
- Bewustwording en training: Medewerkers moeten aantoonbaar getraind worden in cyberveiligheid.
- Bestuurdersverantwoordelijkheid: Het management is persoonlijk verantwoordelijk voor naleving van NIS2.
Deze eisen gelden ongeacht of jouw organisatie als essentieel of belangrijk is geclassificeerd. Het verschil zit hem in het toezicht, niet in de inhoud van de verplichtingen.
Valt het MKB ook onder NIS2?
Het MKB valt in de meeste gevallen niet onder NIS2, maar er zijn uitzonderingen. De richtlijn hanteert drempelwaarden op basis van omvang: organisaties met minder dan 50 medewerkers en een jaaromzet of balanstotaal onder 10 miljoen euro zijn in principe uitgesloten. Middelgrote bedrijven (50 tot 250 medewerkers) kunnen wel onder NIS2 vallen als ze actief zijn in een aangewezen sector.
Er zijn echter situaties waarin ook kleinere MKB-bedrijven toch verplichtingen krijgen:
- Als de organisatie een kritieke rol speelt in een aangewezen sector, ook al is ze klein (denk aan een kleine DNS-provider of een nichespeler in de energiesector).
- Als de organisatie aangewezen wordt door de overheid als kritieke entiteit op basis van haar maatschappelijke impact.
- Als de organisatie als leverancier werkt voor een NIS2-plichtige klant. Die klant is verplicht zijn toeleveringsketen te beveiligen, wat indirect eisen stelt aan jou als leverancier.
Dit laatste punt is in de praktijk het meest relevant voor het MKB. Zelfs als jij zelf niet NIS2-plichtig bent, kan een grote opdrachtgever contractueel eisen dat jij aan vergelijkbare beveiligingsstandaarden voldoet. Wij zien dit steeds vaker terug bij onze klanten in sectoren als zorg, logistiek en zakelijke dienstverlening.
Hoe bepaal je in welke NIS2-categorie jouw organisatie valt?
Om te bepalen in welke NIS2-categorie jouw organisatie valt, doorloop je drie stappen: sectorcheck, omvangscheck en rolcheck. Pas als je alle drie hebt doorlopen, weet je of je als essentiële entiteit, belangrijke entiteit of buiten de richtlijn valt.
Stap 1: Sectorcheck
Controleer of jouw primaire activiteit valt binnen een van de aangewezen NIS2-sectoren. Gebruik hiervoor de bijlagen van de richtlijn. Sectoren met hoge kritikaliteit staan in Bijlage I, andere kritieke sectoren in Bijlage II. Als jouw sector niet voorkomt in een van beide bijlagen, val je in principe buiten de richtlijn.
Stap 2: Omvangscheck
Controleer of jouw organisatie de drempelwaarden overschrijdt. Middelgrote organisaties (50 tot 250 medewerkers, omzet tot 50 miljoen euro) vallen doorgaans als belangrijke entiteit. Grote organisaties (meer dan 250 medewerkers of meer dan 50 miljoen euro omzet) in sectoren uit Bijlage I kwalificeren als essentiële entiteit.
Stap 3: Rolcheck
Zelfs als je buiten de drempelwaarden valt, kan de overheid jou aanwijzen als essentiële of belangrijke entiteit op basis van jouw rol in de samenleving. Denk aan organisaties die unieke diensten leveren zonder alternatief, of bedrijven waarvan een verstoring grote maatschappelijke gevolgen zou hebben.
In de praktijk is het bepalen van jouw NIS2-categorie niet altijd eenvoudig, zeker wanneer je als organisatie in meerdere sectoren actief bent of als onderdeel van een grotere keten opereert. Een gespecialiseerde partner kan je helpen deze analyse te maken en de juiste maatregelen te implementeren. Via onze cybersecurity-oplossingen ondersteunen wij organisaties bij precies dit soort vraagstukken, van NIS2-readiness tot concrete technische maatregelen.
