NIS2 implementeren en voldoen aan Cyberbeveiligingswet

Of jouw organisatie onder de Cyberbeveiligingswet valt, hangt niet alleen af van wat voor organisatie je bent. Ook de diensten die je levert, de sector waarin je actief bent, de omvang van de organisatie en de juridische structuur kunnen een rol spelen.

De beoordeling bestaat in hoofdlijnen uit drie stappen:

1. Bepaal of jouw organisatie een dienst levert die onder een aangewezen sector of type entiteit valt.
2. Controleer de omvangscriteria en eventuele uitzonderingen.
3. Bepaal of jouw organisatie wordt aangemerkt als essentiële of belangrijke entiteit.

Bij de omvangscriteria wordt onder andere gekeken naar het aantal medewerkers, de jaaromzet en het balanstotaal. Voor bepaalde soorten organisaties en overheidsinstanties gelden uitzonderingen en kan de omvang niet of anders meewegen.

Heb je meerdere juridische entiteiten, vestigingen of activiteiten in verschillende landen? Dan kan het bepalen van de reikwijdte complexer zijn. Kijk daarom niet alleen naar de handelsnaam of hoofdactiviteit, maar ook naar de juridische structuur, feitelijke dienstverlening en positie binnen de groep.

Essentiële en belangrijke entiteiten

De Cyberbeveiligingswet onderscheidt essentiële en belangrijke entiteiten. Voor beide categorieën gelden verplichtingen rond risicobeheersing, incidentmelding, registratie en bestuurlijke verantwoordelijkheid.

Het verschil zit onder meer in de manier waarop toezicht wordt gehouden:

• Essentiële entiteiten kunnen proactief worden gecontroleerd, ook als er geen concreet incident of signaal van niet-naleving is.
• Belangrijke entiteiten vallen in beginsel onder reactief toezicht, bijvoorbeeld na een incident of een signaal dat verplichtingen niet worden nageleefd.

De kwalificatie zegt dus niet dat informatiebeveiliging voor belangrijke entiteiten minder belangrijk is. De inhoudelijke verplichtingen zijn in veel gevallen vergelijkbaar, maar de toezichtaanpak verschilt.

Ook gevolgen als je niet rechtstreeks onder NIS2 valt

Niet iedere leverancier of dienstverlener valt rechtstreeks onder de Cyberbeveiligingswet. Toch kun je wel met NIS2-eisen te maken krijgen.

Organisaties die onder de wet vallen, moeten risico’s in hun toeleveringsketen beheersen. Zij kunnen daarom aanvullende voorwaarden stellen aan leveranciers en onderaannemers. Bijvoorbeeld via:

• contractuele beveiligingseisen;
• leveranciersvragenlijsten en assessments;
• eisen aan incidentmelding;
• afspraken over toegangsbeheer;
• continuïteits- en herstelvereisten;
• auditrechten;
• eisen aan eigen onderaannemers.

Je bent daarmee niet automatisch zelf een essentiële of belangrijke entiteit. Wel kan aantoonbare informatiebeveiliging steeds belangrijker worden om klantrelaties, aanbestedingen en ketensamenwerking te behouden.