Val ik onder de Cyberbeveiligingswet? Zo bepaal je het

De meest gestelde vraag over NIS2 is ook de simpelste: geldt het voor mij? Het antwoord hangt af van twee dingen, je sector en je omvang, met een derde factor die vaak wordt vergeten: je positie in de keten.

Stap 1: je sector

De wet wijst sectoren aan die als essentieel of belangrijk worden gezien. Denk aan energie, transport en logistiek, drinkwater en afvalwater, digitale infrastructuur, zorg, overheid, post- en koeriersdiensten, afvalbeheer, chemie, levensmiddelen en delen van de industrie en de digitale dienstverlening.

Val je buiten die lijst, dan geldt de wet niet direct voor jou. Dat is niet hetzelfde als: je hebt er niets mee te maken. Zie stap 3.

Stap 2: je omvang

Binnen de aangewezen sectoren geldt een drempel die in de praktijk uitkomt op ongeveer 50 medewerkers of 10 miljoen euro omzet en balanstotaal. Grote organisaties vallen in de zwaarste categorie, middelgrote in de lichtere. Voor sommige typen organisaties geldt de drempel niet en val je er ongeacht je omvang onder, bijvoorbeeld bij bepaalde digitale infrastructuur.

Belangrijk: je kijkt naar de hele onderneming, inclusief groepsverbanden. Een kleine BV binnen een grotere groep kan alsnog meetellen.

Stap 3: je positie in de keten

Hier zit de praktijk. Organisaties die onder de wet vallen moeten hun leveranciersketen beoordelen, en dat leggen ze contractueel door. Lever je aan een ziekenhuis, een netbeheerder, een grote logistieke partij of een overheidsorganisatie, dan krijg je vragenlijsten en clausules, ook als je zelf twintig man bent.

Wie die vragen niet kan beantwoorden, valt af bij aanbestedingen. Dat is een directer effect dan een boete van een toezichthouder ooit zal zijn.

De uitkomsten en wat je dan doet

Er zijn drie uitkomsten:

• Direct van toepassing. Start met een nulmeting en een maatregelenplan, en richt het incidentproces in met de termijnen van 24 en 72 uur.
• Indirect van toepassing. Leg je maatregelen vast zodat je vragenlijsten kunt beantwoorden en clausules kunt ondertekenen zonder risico.
• Niet van toepassing. Houd de basis op orde (MFA, back-up met getest herstel, patchmanagement, awareness) en toets jaarlijks opnieuw; sectorlijsten en drempels kunnen veranderen.

Twijfelgevallen die we vaak zien

Een productiebedrijf dat levert aan de levensmiddelenindustrie: zelf niet aangewezen, ketenpartner wel. Een IT-dienstverlener met 30 medewerkers: valt onder digitale diensten, maar onder de drempel, terwijl klanten desondanks bewijs eisen. Een zorgpraktijk met 15 medewerkers: sector aangewezen, omvang eronder, maar met patiëntgegevens weegt de AVG al zwaar.

In al die gevallen is de conclusie dezelfde: de maatregelen zijn zinvol, de vastlegging is het werk.