Voor wie geldt NIS2?

De Cyberbeveiligingswet geldt sinds 15 augustus 2026 en raakt ruim 8.000 Nederlandse organisaties. De vraag is dus niet zozeer wat de wet inhoudt, maar of u er zelf onder valt. Dat hangt af van twee dingen tegelijk: uw sector en uw omvang. Voldoet u aan allebei, dan valt u eronder.

De twee voorwaarden

U valt onder de wet als uw organisatie actief is in een aangewezen sector en minimaal 50 medewerkers heeft of meer dan 10 miljoen euro jaaromzet. Beide criteria moeten kloppen, niet een van de twee. Een klein bedrijf in een aangewezen sector valt er dus meestal buiten, en een groot bedrijf in een niet-aangewezen sector ook.

Op die regel bestaan uitzonderingen, en juist die worden vaak over het hoofd gezien. Verderop staan ze.

De sectoren uit bijlage I

Dit zijn de sectoren die de wetgever zeer kritiek noemt. Grote organisaties hierin zijn essentiële entiteiten, het zwaarste regime.

Let op de regel over beheerde ICT-diensten. Veel IT-bedrijven die zichzelf niet als kritieke infrastructuur zien, vallen hier wel degelijk onder zodra ze het beheer van klantsystemen doen.

De sectoren uit bijlage II

Deze sectoren zijn kritiek maar niet zeer kritiek. Organisaties hierin zijn belangrijke entiteiten: vrijwel dezelfde plichten, maar het toezicht gebeurt achteraf in plaats van vooraf.

De omvangsgrenzen, concreet

Het gaat om medewerkers of omzet, niet om allebei. Heeft u 40 medewerkers maar 14 miljoen omzet, dan haalt u de grens.

De uitzonderingen: klein en toch plichtig

Voor een aantal diensten geldt de wet ongeacht uw omvang. Ook met vijf medewerkers valt u er dan onder:

• aanbieders van openbare elektronische communicatienetwerken en -diensten
• DNS-dienstverleners en registers voor topleveldomeinen
• verleners van vertrouwensdiensten, zoals certificaatuitgifte
• organisaties die als enige in Nederland een kritieke dienst leveren
• organisaties waarvan uitval grote maatschappelijke of economische gevolgen heeft

Daarnaast kan de overheid een organisatie apart aanwijzen. Dat gebeurt niet vaak, maar het kan.

U valt er niet onder maar krijgt er wel mee te maken

Dit is de grootste groep, en de meest onderschatte. Valt u zelf buiten de wet, maar levert u aan organisaties die er wél onder vallen, dan raakt het u alsnog. Een van de tien verplichte maatregelen is namelijk beveiliging van de toeleveringsketen. Uw plichtige klanten moeten hun leveranciers beoordelen en dat vastleggen.

In de praktijk betekent dat: u krijgt vragenlijsten, u wordt gevraagd om een beveiligingsverklaring, en bij aanbestedingen wordt het een gunningscriterium. Wie dat bewijs klaar heeft liggen wint de opdracht van wie er nog aan moet beginnen. Zie de leveranciersverklaring.

Meerdere vestigingen of een buitenlands moederbedrijf

De omvang wordt bepaald op het niveau van de rechtspersoon, inclusief verbonden ondernemingen wanneer die als één geheel opereren. Zit uw hoofdvestiging in een ander EU-land, dan houdt in principe dat land toezicht. Levert u digitale diensten in Nederland zonder hier gevestigd te zijn, dan moet u een vertegenwoordiger aanwijzen.

Wat u nu doet

• Stel vast in welke bijlage uw sector staat, of dat u er niet in staat
• Tel uw medewerkers en zet uw omzet ernaast
• Controleer of een van de uitzonderingen op u van toepassing is
• Valt u eronder: registreer u en begin aan de tien maatregelen
• Valt u er niet onder maar levert u aan wie wel: regel uw beveiligingsverklaring

Hoe u dit vastlegt, ook als u er niet onder valt

Concludeert u dat de wet niet voor u geldt, leg die conclusie dan schriftelijk vast met de datum, de gebruikte criteria en wie het heeft beoordeeld. Dat kost een half uur en het is precies wat u nodig heeft als een opdrachtgever of toezichthouder er later naar vraagt.

Zonder die vastlegging staat u met lege handen op het moment dat het ertoe doet, en moet u de hele beoordeling opnieuw doen terwijl er iemand op antwoord wacht. Zet er ook een herbeoordelingsdatum bij, bijvoorbeeld jaarlijks of zodra u door de vijftig medewerkers gaat. Groeit u, dan verandert uw positie namelijk vanzelf, zonder dat iemand u dat komt vertellen.

Valt u er wel onder, leg dan hetzelfde vast: op welke grond, in welke categorie en sinds wanneer. Dat is het eerste document van uw dossier en de basis waarop alle latere keuzes rusten.

Veelgestelde vragen

Geldt NIS2 ook voor zzp'ers en kleine bedrijven?

In de regel niet: onder 50 medewerkers en onder 10 miljoen omzet valt u buiten de wet, tenzij u onder een van de uitzonderingen valt zoals DNS of vertrouwensdiensten. U kunt wel via de keten met eisen te maken krijgen.

Wat is het verschil tussen een essentiële en een belangrijke entiteit?

De plichten zijn vrijwel gelijk. Het verschil zit in het toezicht en de boetes. Bij essentiële entiteiten controleert de toezichthouder ook zonder aanleiding, en de maximumboete is hoger. Zie boetes en handhaving.

Mijn organisatie zit in twee sectoren, wat geldt er dan?

Het zwaarste regime dat op een van uw activiteiten van toepassing is, geldt voor de hele organisatie.

Telt personeel via een uitzendbureau mee?

Voor de omvangsbepaling wordt gekeken naar het aantal personen dat voor de organisatie werkt, omgerekend naar voltijdsequivalenten. Structureel ingehuurde krachten tellen in de praktijk mee.

Waar doe ik de officiële controle?

De rijksoverheid heeft een zelfevaluatie op regelhulpenvoorbedrijven.nl. Onze gratis check geeft u binnen twee minuten een indicatie; doe bij twijfel allebei.