Valt jouw bedrijf onder NIS2? De 5-minuten check zonder juristentaal
NIS2 is inmiddels wet. Maar of jóuw bedrijf er daadwerkelijk onder valt? Dat is voor veel ondernemers nog steeds onduidelijk. Geen juristentaal, geen lange PDF's — alleen een eerlijke beslisboom die je in vijf minuten door de check haalt.
De beslisboom: valt jouw bedrijf eronder?
Loop de vier stappen hieronder in volgorde door. Bij de eerste JA of NEE die een einduitkomst geeft, ben je klaar.
Zit jouw branche in een van de NIS2-bijlagen? Denk aan: energie, water, transport, banken, financiële marktinfrastructuur, gezondheidszorg, digitale infrastructuur, overheid, post, ruimtevaart, afvalbeheer, voedsel, productie (chemie, industrie), onderzoek.
Jouw sector valt in scope — ga door naar stap 2 om de drempelwaarden te checken.
Niet in een NIS2-sector? Ga naar stap 4 — als toeleverancier kun je toch verplichtingen hebben.
Heeft jouw organisatie meer dan 250 medewerkers, OF is de jaaromzet hoger dan €50 miljoen (en balanstotaal >€43M)?
Essentiële entiteit. De zwaarste categorie: directe zelfregistratie verplicht, toezicht door RDI, maximale boetes tot €10 miljoen of 2% van wereldwijde omzet.
Niet groot genoeg voor essentieel — ga door naar stap 3.
Heeft jouw organisatie meer dan 50 medewerkers, OF is de jaaromzet hoger dan €10 miljoen (en balanstotaal >€10M)?
Belangrijke entiteit. NIS2 is op jou van toepassing: zorgplicht, meldplicht, en toezicht achteraf. Boetes tot €7 miljoen of 1,4% van wereldwijde omzet.
Onder de drempelwaarden — je valt waarschijnlijk niet direct onder NIS2. Ga wel stap 4 langs als je aan grotere organisaties levert.
Lever je producten of diensten aan gemeenten, ziekenhuizen, energiebedrijven, waterbedrijven, of andere NIS2-plichtige organisaties?
Supply chain-verplichting: jouw opdrachtgever is verplicht jouw beveiliging te beoordelen en mag eisen stellen aan hoe jij omgaat met data en systemen. Zonder aantoonbare beveiliging verlies je die opdrachten.
Hoogstwaarschijnlijk buiten de directe NIS2-verplichtingen. Houd de wet in de gaten — de scope kan in 2025–2026 worden uitgebreid.
Welke sectoren vallen onder NIS2?
NIS2 onderscheidt twee bijlagen. Bijlage I bevat de 'essentiële' sectoren met de zwaarste eisen. Bijlage II bevat 'belangrijke' sectoren — zelfde regels, lichtere handhaving.
Praktijkvoorbeelden: wel of niet verplicht?
Om het concreet te maken: hieronder een aantal veelvoorkomende MKB-situaties.
Essentieel vs. Belangrijk: wat is het verschil in de praktijk?
Wat als jij wél toeleverancier bent?
De toeleveringsketen is bewust onderdeel van NIS2. Een NIS2-plichtige organisatie moet zijn leveranciers screenen en mag contractuele eisen stellen aan hoe jij met data en systemen omgaat. Dit heet de 'supply chain security'-verplichting.
In de praktijk betekent dit dat gemeenten, ziekenhuizen en energiebedrijven steeds vaker vragen om aantoonbare beveiligingsmaatregelen bij hun leveranciers. Denk aan: een beveiligingsbeleid, bewijs van patch management, en een beschrijving van hoe je omgaat met een incident.
Belangrijk: 'wij zijn maar een kleine leverancier' is geen bescherming meer. Als jouw opdrachtgever NIS2-plichtig is en jij geen aantoonbare beveiliging hebt, riskeer je het verlies van het contract — en bij een incident mogelijk ook aansprakelijkheid.
Wat moet je als eerste regelen?
- ▸Registreer jezelf bij de RDI als je een essentiële of belangrijke entiteit bent — dit is nu verplicht.
- ▸Stel een beveiligingsbeleid op: wie is verantwoordelijk, welke maatregelen zijn er, hoe meld je een incident?
- ▸Implementeer de basis: MFA, patchbeleid, back-ups, toegangsbeheer, en bewustwording bij medewerkers.
- ▸Zorg voor een meldprocedure: bij een incident heb je 24 uur voor een eerste melding aan het NCSC.
- ▸Bespreek met je opdrachtgevers wat zij van jou als leverancier verwachten.
Wil je weten precies waar je staat?
De beslisboom hierboven geeft je een eerste richting — maar de praktijk is altijd genuanceerder. Welke maatregelen zijn al voldoende? Wat ontbreekt er? En wat is de prioriteit? Dat is precies wat de NIS2 Exposure Check in kaart brengt: een concreet overzicht van jouw situatie, de gaps, en een geprioriteerde actielijst.
Wil je in twee weken weten waar je staat en wat je moet doen?
Bekijk de NIS2 Exposure Check →