De bepaling van de NIS2 scope is voor veel organisaties de eerste en meest kritieke stap in het voldoen aan de nieuwe Europese cybersecuritywetgeving. Omdat de richtlijn strengere eisen stelt aan de digitale veiligheid en meldplicht bij incidenten, is het essentieel om exact te weten of uw organisatie onder deze regelgeving valt. In dit artikel analyseren we de criteria die bepalen of u actie moet ondernemen en wat de consequenties zijn voor uw bedrijfsvoering.
Wat bepaalt de NIS2 scope voor uw organisatie?
De NIS2-richtlijn hanteert een bredere definitie dan zijn voorganger (NIS1). De wet kijkt niet alleen naar de sector waarin u opereert, maar ook naar de omvang van uw organisatie en de kritiekheid van de diensten die u levert. Het is een misvatting dat alleen grote nutsbedrijven worden geraakt; ook middelgrote ondernemingen in diverse toeleveringsketens kunnen onder de wetgeving vallen.
Voor de bepaling van het toepassingsgebied wordt gewerkt met twee hoofdcategorieën: essentiële diensten en belangrijke diensten. De indeling bepaalt de zwaarte van het toezicht en de mogelijke sancties bij non-compliance.
Bedrijven onder NIS2: de omvangcriteria
Naast de sector is de grootte van uw organisatie doorslaggevend. In de basis geldt dat organisaties die als middelgroot of groot worden aangemerkt, binnen de scope vallen. Dit betekent dat bedrijven met ten minste 50 werknemers of een jaaromzet en/of jaarlijks balanstotaal van meer dan €10 miljoen in principe onder de NIS2 vallen.
Er is echter een belangrijke nuancering. Ook organisaties die kleiner zijn dan deze drempel kunnen aangewezen worden als zij een kritieke rol spelen in de maatschappij. Denk hierbij aan:
- Aanbieders van openbare elektronische communicatienetwerken.
- Vertrouwensdienstverleners.
- Organisaties waarvoor een incident een aanzienlijke maatschappelijke of economische ontwrichting kan veroorzaken.
- Organisaties die door de overheid zijn aangewezen als cruciale entiteit, ongeacht hun omvang.
Meer informatie over de bredere implicaties van deze wetgeving en de stappen die u kunt ondernemen vindt u in ons uitgebreide overzicht: NIS2-richtlijn: de impact op uw organisatie per 2026.
Sectoren binnen het NIS2 toepassingsgebied
De Europese wetgever heeft een specifieke lijst met sectoren opgesteld. Deze sectoren zijn onderverdeeld op basis van hun maatschappelijk belang. De lijst is terug te vinden in de officiële teksten van de Europese Unie, waarbij onderscheid wordt gemaakt tussen de sectoren ‘essentiële entiteiten’ en ‘belangrijke entiteiten’.
Onder de essentiële entiteiten vallen onder andere:
- Energie (elektriciteit, stadsverwarming, olie, gas, waterstof).
- Vervoer (lucht, spoor, water, weg).
- Bankwezen en infrastructuur voor de financiële markt.
- Gezondheidszorg en farmaceutische industrie.
- Drinkwater en afvalwater.
- Digitale infrastructuur en overheidsdiensten.
Belangrijke entiteiten omvatten onder meer post- en koeriersdiensten, afvalstoffenbeheer, chemische stoffen, voedselproductie en digitale dienstverleners zoals cloudcomputing-diensten en datacenters.
De rol van de toeleveringsketen
Een veelvoorkomende valkuil is de focus op de eigen sector zonder naar de keten te kijken. NIS2 richt zich expliciet op de veiligheid van de toeleveringsketen. Als u een essentiële dienstverlener bent en u levert software of hardware aan een groter bedrijf dat onder de NIS2 scope valt, kan dat grotere bedrijf van u eisen dat u eveneens voldoet aan de veiligheidsnormen. Dit creëert een ‘waterval-effect’ waarbij ook kleinere leveranciers indirect verplicht worden om hun cybersecurity op orde te brengen.