Onder NIS2 valt een organisatie in de categorie essentiële entiteit of belangrijke entiteit, afhankelijk van de sector waarin ze actief is en haar omvang. Het verschil is niet slechts een label: essentiële entiteiten vallen onder strenger, proactief toezicht, terwijl belangrijke entiteiten pas intensiever worden gecontroleerd nadat er aanwijzingen zijn van een incident of overtreding. De vragen hieronder helpen je bepalen waar jouw organisatie staat en wat dat concreet betekent.
Welke criteria bepalen tot welke categorie een organisatie behoort?
De indeling in essentieel of belangrijk hangt af van twee factoren: de sector van de organisatie en haar omvang. Essentiële entiteiten zijn grote organisaties in sectoren die als kritiek worden beschouwd, zoals energie, drinkwater, transport, bankwezen en gezondheidszorg. Belangrijke entiteiten zijn middelgrote organisaties in diezelfde sectoren, of grote en middelgrote organisaties in aanvullende sectoren zoals post, afvalbeheer en digitale dienstverlening.
Concreet gelden de volgende omvangsdrempels onder NIS2:
- Grote organisaties hebben meer dan 250 medewerkers of een jaaromzet boven de 50 miljoen euro én een balanstotaal boven de 43 miljoen euro.
- Middelgrote organisaties hebben 50 tot 250 medewerkers of een jaaromzet tussen de 10 en 50 miljoen euro.
Grote organisaties in kritieke sectoren worden automatisch als essentieel aangemerkt. Middelgrote organisaties in diezelfde sectoren, en zowel grote als middelgrote organisaties in de aanvullende sectoren, vallen doorgaans in de categorie belangrijk. Er zijn ook uitzonderingen: bepaalde aanbieders van kritieke infrastructuur kunnen als essentieel worden aangemerkt ongeacht hun omvang, bijvoorbeeld als hun uitval grote maatschappelijke gevolgen zou hebben.
Wat zijn de concrete verschillen in toezicht en handhaving?
Het grootste verschil tussen essentiële en belangrijke entiteiten zit in de manier waarop toezicht wordt gehouden. Essentiële entiteiten vallen onder proactief toezicht: toezichthouders kunnen op eigen initiatief audits uitvoeren, inspecties plannen en documentatie opvragen, ook zonder dat er een incident heeft plaatsgevonden. Belangrijke entiteiten vallen onder reactief toezicht: de toezichthouder treedt pas op als er aanwijzingen zijn van een overtreding of na een gemeld incident.
Ook de maximale boetes verschillen. Voor essentiële entiteiten kan de boete oplopen tot 10 miljoen euro of 2 procent van de wereldwijde jaaromzet, afhankelijk van welk bedrag hoger is. Voor belangrijke entiteiten geldt een maximum van 7 miljoen euro of 1,4 procent van de wereldwijde jaaromzet. In beide gevallen zijn de bedragen aanzienlijk, wat onderstreept dat NIS2 serieuze tanden heeft.
Verder kunnen toezichthouders bij essentiële entiteiten tijdelijk een toezichthouder aanstellen of bestuurders persoonlijk aansprakelijk stellen bij aanhoudende niet-naleving. Dit instrument geldt niet automatisch voor belangrijke entiteiten, al kan de nationale wetgeving dit per lidstaat anders invullen.
Gelden dezelfde beveiligingsmaatregelen voor beide categorieën?
Ja, de inhoudelijke beveiligingsvereisten zijn voor beide categorieën grotendeels gelijk. Zowel essentiële als belangrijke entiteiten moeten passende technische, operationele en organisatorische maatregelen nemen om hun netwerk- en informatiesystemen te beveiligen. Het verschil zit niet in wat je moet doen, maar in hoe streng de naleving wordt gecontroleerd.
De maatregelen die NIS2 voorschrijft, omvatten onder andere:
- Risicoanalyse en beleid voor informatiebeveiliging
- Procedures voor incidentbeheer en meldplicht
- Bedrijfscontinuïteit en crisisbeheer
- Beveiliging van de toeleveringsketen
- Toegangsbeheer en authenticatie
- Gebruik van encryptie waar van toepassing
- Bewustwording en training van medewerkers
De eis dat maatregelen “passend” zijn, betekent dat de schaal en complexiteit van jouw organisatie meewegen. Een middelgrote organisatie hoeft niet hetzelfde beveiligingsniveau te implementeren als een grote kritieke infrastructuurbeheerder, zolang de risico’s maar evenredig worden beheerst. Wil je weten hoe je dit in de praktijk aanpakt, dan biedt onze cybersecuritydienstverlening een goed startpunt.
Wat als een organisatie niet weet in welke categorie ze valt?
Als je niet zeker weet of jouw organisatie essentieel of belangrijk is, is de eerste stap een zelfbeoordeling op basis van sector en omvang. Kijk naar de sectoren die NIS2 noemt in de bijlagen van de richtlijn en toets jouw organisatie aan de omvangsdrempels. In veel gevallen is de indeling helder zodra je deze twee factoren naast elkaar legt.
Toch zijn er situaties waarbij het genuanceerder ligt:
- Jouw organisatie is actief in meerdere sectoren, waarvan slechts één onder NIS2 valt.
- Jouw organisatie zit precies op de grens van de omvangsdrempels.
- Jouw organisatie levert diensten aan essentiële entiteiten als toeleverancier, zonder zelf direct in scope te vallen.
In zulke gevallen is het verstandig juridisch of technisch advies in te winnen. De nationale toezichthouder, in Nederland het Nationaal Cyber Security Centrum (NCSC) of de sectorale toezichthouder, publiceert ook richtsnoeren die houvast bieden. Wachten tot je een brief van de toezichthouder ontvangt, is geen strategie: de verantwoordelijkheid voor de juiste registratie en indeling ligt bij de organisatie zelf.
Kan een organisatie van categorie wisselen na de initiële indeling?
Ja, een organisatie kan van categorie veranderen als haar omvang of activiteiten veranderen. Groeit een middelgrote organisatie door de drempel van 250 medewerkers of overschrijdt ze de omzetgrens, dan kan ze van de categorie belangrijk naar essentieel verschuiven. Omgekeerd kan een organisatie die krimpt of haar activiteiten wijzigt, buiten de scope van NIS2 vallen of naar een lagere categorie zakken.
Organisaties zijn verplicht hun status periodiek te heroverwegen en wijzigingen te melden bij de bevoegde autoriteit. De exacte termijnen en procedures hiervoor worden per lidstaat ingevuld in de nationale implementatiewetgeving. In Nederland is de Cyberbeveiligingswet het kader waarbinnen deze verplichtingen zijn uitgewerkt.
Het is daarom verstandig om de NIS2-indeling niet als een eenmalige exercitie te beschouwen, maar als een doorlopend onderdeel van je compliance-monitoring. Veranderingen in organisatiestructuur, fusies, overnames of uitbreiding naar nieuwe sectoren kunnen allemaal gevolgen hebben voor je categorie.
Wanneer moet een organisatie voldoen aan de NIS2-vereisten?
De NIS2-richtlijn had uiterlijk in oktober 2024 door EU-lidstaten in nationale wetgeving omgezet moeten zijn. In Nederland loopt de implementatie via de Cyberbeveiligingswet. In 2026 bevindt Nederland zich in de fase waarin organisaties geacht worden hun verplichtingen na te komen en toezichthouders actief handhaven.
Voor organisaties die nog niet volledig compliant zijn, geldt dat uitstel risico’s vergroot. Toezichthouders kunnen al optreden, en de meldplicht bij incidenten geldt ongeacht of een organisatie haar beveiligingsmaatregelen volledig op orde heeft. Een significante inbreuk moet binnen 24 uur als vroege waarschuwing worden gemeld, gevolgd door een gedetailleerd rapport binnen 72 uur.
De praktische boodschap is helder: als jouw organisatie onder NIS2 valt, is nu het moment om actie te ondernemen. Begin met de risicoanalyse, stel een incidentresponsplan op en zorg dat de juiste beveiligingsmaatregelen zijn geïmplementeerd. Hoe eerder je structureel aan de slag gaat, hoe kleiner de kans op boetes en reputatieschade bij een incident.
