NIS2-registratie: zo meldt u uw organisatie aan

Valt uw organisatie onder de Cyberbeveiligingswet, dan bent u verplicht u in te schrijven in het entiteitenregister. Zo weet de toezichthouder wie er onder de wet valt en wie er bij een landelijke dreiging gewaarschuwd moet worden. De registratie is de eerste en makkelijkste verplichting om af te vinken, en tegelijk de meest zichtbare: wie niet geregistreerd staat terwijl dat wel moet, valt direct door de mand.

Wie moet zich registreren

Alle essentiële en belangrijke entiteiten. Weet u niet zeker of u dat bent? Doe eerst de gratis check. Micro- en kleinbedrijven hoeven zich meestal niet te registreren, behalve in een paar bijzondere categorieën zoals DNS-dienstverleners en vertrouwensdiensten.

Welke gegevens u nodig heeft

• Naam van de organisatie en KVK-nummer
• De sector en subsector waarin u actief bent (bijlage I of II)
• Contactgegevens: e-mailadres, telefoonnummer en een contactpersoon voor incidenten
• Uw IP-reeksen en domeinnamen (voor zover van toepassing)
• In welke EU-lidstaten u diensten levert

Stap voor stap

• Stap 1: stel vast in welke categorie u valt (essentieel of belangrijk) en in welke sector
• Stap 2: verzamel de gegevens hierboven en wijs intern een vast aanspreekpunt aan
• Stap 3: vul de registratie in bij het entiteitenregister van de rijksoverheid
• Stap 4: leg de bevestiging vast in uw dossier en agendeer een jaarlijkse controle: wijzigingen moet u doorgeven

Veelgemaakte fouten

De meest gemaakte fout is wachten op een brief. Die komt niet: de wet werkt op eigen verantwoordelijkheid, u moet zélf vaststellen dat u plichtig bent en u zélf melden. De tweede fout is registreren en daarna achteroverleunen: de registratie is de eerste stap, de zorgplicht en meldplicht zijn het echte werk.

Welke gegevens u moet aanleveren

De registratie zelf is administratief werk van een half uur, mits u de gegevens paraat heeft. Zorg dat u het volgende bij de hand hebt voordat u begint.

• Naam, adres en KvK-nummer van de organisatie
• De sector en subsector waarin u actief bent
• Of u zichzelf beschouwt als essentiële of belangrijke entiteit, met de onderbouwing
• Actuele contactgegevens, inclusief een adres dat ook buiten kantooruren gelezen wordt
• De lidstaten waarin u diensten levert, als dat er meer zijn dan Nederland
• Voor sommige digitale diensten: de IP-reeksen die u gebruikt

Let vooral op het contactadres. Dat is het adres waarop de overheid u benadert bij een dreiging die uw sector raakt. Een persoonlijk mailadres van iemand die volgend jaar vertrekt, is een slechte keuze; gebruik een functiepostbus die door meerdere mensen gelezen wordt.

Eerst vaststellen, dan registreren

Registreren begint niet met het formulier maar met de vraag of u eronder valt, en in welke categorie. Leg die conclusie schriftelijk vast met de onderbouwing: welke sector, welke omvang, welke drempel. Dat document is later uw verweer als iemand vraagt waarom u zich als belangrijke en niet als essentiële entiteit heeft aangemeld.

Twijfelt u over de categorie, kies dan niet automatisch de lichtste. Het verschil zit vooral in de zwaarte van het toezicht, niet in wat u moet doen: de verplichtingen zijn vrijwel identiek. Een verkeerde inschatting die u kunt onderbouwen is verdedigbaar; een inschatting zonder onderbouwing niet.

Wijzigingen doorgeven

De registratie is geen eenmalige handeling. Verandert er iets wezenlijks, dan moet u dat doorgeven. Denk aan een naamswijziging of overname, een nieuw contactadres, een uitbreiding naar een andere sector of lidstaat, of het overschrijden van de omvangsdrempel doordat u gegroeid bent.

Dat laatste is de valkuil voor groeiende bedrijven. Wie vorig jaar 45 medewerkers had en nu 60, valt er ineens wel onder. Zet daarom een jaarlijkse controle in de agenda, samen met de herziening van uw risicoanalyse.

Wat als u er per ongeluk niet onder valt

Registreert u zich terwijl u eigenlijk buiten de wet valt, dan is dat geen ramp maar wel onhandig: u haalt toezicht binnen dat niet voor u bedoeld is. Blijkt bij nader inzien dat u er niet onder valt, geef dat dan door met de onderbouwing.

Andersom komt vaker voor. Organisaties die menen buiten de wet te vallen omdat hun SBI-code iets anders zegt, terwijl hun feitelijke activiteit wel in een bijlage staat. De feitelijke activiteit is bepalend, niet de inschrijving bij de Kamer van Koophandel.

Wat u vastlegt naast de registratie zelf

De registratie is een handeling van een half uur, maar het besluit erachter is het stuk dat later telt. Bewaar in uw dossier een korte notitie met vier onderdelen.

1. Onze sector en waarom. Welke bijlage, welke subsector, en op grond van welke feitelijke activiteit.
2. Onze omvang op peildatum. Aantal medewerkers en omzet, met de datum waarop u het vaststelde.
3. Onze conclusie. Essentiële of belangrijke entiteit, of buiten de wet, met de redenering.
4. Wie het besloot en wanneer. Met een handtekening of een verwijzing naar de bestuursvergadering.

Deze ene pagina is het antwoord op de eerste vraag die een toezichthouder stelt. Zonder die pagina moet u de redenering achteraf reconstrueren, meestal onder tijdsdruk.

Veelgestelde vragen

Wat gebeurt er nadat ik geregistreerd ben?

U komt in het entiteitenregister en valt daarmee onder het toezicht van de instantie die voor uw sector is aangewezen. In de praktijk merkt u daar aanvankelijk weinig van: er volgt geen automatische controle. Wel ontvangt u waarschuwingen en informatie die voor uw sector relevant zijn.

Is mijn registratie openbaar?

Het register is niet volledig openbaar toegankelijk zoals het handelsregister. Het is bedoeld voor de toezichthouders en het CSIRT, zodat zij weten wie ze moeten bereiken bij een dreiging.

Moet elke vestiging zich apart registreren?

Registratie gebeurt op het niveau van de juridische entiteit, niet per vestiging. Heeft u meerdere entiteiten die elk zelfstandig onder de wet vallen, dan registreert u ze elk apart.

Ik ben te laat met registreren, wat nu?

Registreer alsnog, direct. Het niet of te laat registreren is een overtreding, maar het is ook het eenvoudigst te herstellen. Wachten maakt het alleen erger, want dit is het eerste wat een toezichthouder controleert.