Voor wie geldt NIS2 eigenlijk? Een praktische scope-check voor kmo's
"Vallen wij eigenlijk binnen NIS2?" is meestal de eerste vraag die we krijgen, en het antwoord klopt vaak niet — in beide richtingen. Sommige groeiende bedrijven gaan ervan uit dat ze vrijgesteld zijn omdat ze geen elektriciteitsnet of telecomnetwerk uitbaten. Anderen gaan ervan uit dat ze vrijgesteld zijn omdat ze klein zijn — en ontdekken dan dat een grotere klant NIS2-conforme securityvereisten stilzwijgend als contractvoorwaarde heeft opgelegd.
Sla de wettekst over. Doorloop de vier stappen hieronder in volgorde — de meeste lezers hebben al een werkbaar antwoord na stap 2, en iedereen heeft er een na stap 4.
Stap 1 — Past jouw kernactiviteit bij een van de vermelde sectoren?
De richtlijn somt sectoren op in twee bijlagen. Je hoeft ze niet zelf op te zoeken — hier staan ze in gewone taal, met het soort bedrijf dat doorgaans in elke sector zit.
Bijlage I — de sectoren met de hoogste kritikaliteit:
- Energie: elektriciteit, gas, olie, stadsverwarming en -koeling, waterstof
- Transport: luchtvaart, spoor, scheepvaart, wegtransportbedrijven
- Bankwezen en infrastructuur voor de financiële markt
- Gezondheidszorg: ziekenhuizen en zorgverleners, farmaceutische productie, fabrikanten van medische hulpmiddelen, EU-referentielaboratoria
- Drinkwater- en afvalwaterbedrijven
- Digitale infrastructuur: cloudproviders, datacenters, content delivery networks, internetknooppunten, DNS-providers, registers van topleveldomeinen, vertrouwensdienstverleners, openbare telecomnetwerken en -diensten
- ICT-servicebeheer: managed service providers en managed security service providers — het vermelden waard, want dit is exact de categorie waarin DRMX zelf zit
- Overheidsdiensten
- Ruimtevaart
Bijlage II — de bredere set belangrijke sectoren:
- Post- en koeriersdiensten
- Afvalbeheer
- Productie en distributie van chemische stoffen
- Productie, verwerking en distributie van levensmiddelen
- Maakindustrie: medische hulpmiddelen en in-vitro diagnostiek, computers/elektronica/optica, elektrische apparatuur, machines, motorvoertuigen en aanhangwagens, andere transportmiddelen
- Digitale dienstverleners: online marktplaatsen, online zoekmachines, platforms voor sociale netwerken
- Onderzoeksorganisaties
Herken je hierboven niets van wat je echt doet, ga dan meteen naar stap 4 — sector en grootte brengen je niet in rechtstreekse scope, maar een klantencontract kan dat wel.
Herken je wel iets, onthoud dan of het om een sector uit bijlage I of bijlage II ging en ga verder naar stap 2.
Stap 2 — Ben je minstens een middelgroot bedrijf?
Grootte wordt gemeten met de standaard EU-definitie — in grote lijnen:
- Klein of micro (minder dan 50 werknemers, én omzet én balanstotaal allebei onder 10 miljoen euro): doorgaans buiten de rechtstreekse scope, ook in een vermelde sector.
- Middelgroot (50–249 werknemers, of omzet/balanstotaal boven 10 miljoen euro maar onder de drempels voor grote ondernemingen): binnen scope als je sector overeenkwam in stap 1.
- Groot (250+ werknemers, of meer dan 50 miljoen euro omzet): binnen scope, en ingedeeld in de hoogste categorie bij een sector uit bijlage I.
Combineer je sector en grootte voor een eerste inschatting:
| Jouw sector | Jouw grootte | Waarschijnlijke classificatie |
|---|---|---|
| Bijlage I | Groot | Essentiële entiteit |
| Bijlage I | Middelgroot | Belangrijke entiteit (sommige kunnen wegens systemisch belang als essentieel worden aangeduid) |
| Bijlage II | Middelgroot of groot | Belangrijke entiteit |
| Beide | Klein of micro | Niet binnen rechtstreekse scope op basis van grootte — controleer toch stap 3 en 4 |
Stap 3 — Ben je een van de rollen die sowieso binnen scope vallen, ongeacht de grootte?
Een korte lijst van activiteiten valt binnen scope hoe weinig mensen je ook tewerkstelt: DNS-providers, registers van topleveldomeinen, gekwalificeerde vertrouwensdienstverleners, en bepaalde aanbieders van openbare elektronische-communicatienetwerken of -diensten. Is dat letterlijk wat je doet, dan ontslaat grootte je niet — ga naar je waarschijnlijke classificatie hierboven op basis van sector alleen.
Stap 4 — Wie zijn je grootste klanten, en wat doen zij?
Dit is de stap die de meeste kmo's raakt, ook diegenen die op alles hierboven "nee" antwoordden. NIS2 verplicht essentiële en belangrijke entiteiten om risico's in hun eigen toeleveringsketen te beheren. In de praktijk reist die verplichting mee: ze duikt op als securityvragenlijsten, verzoeken om MFA- en patchbewijs, en contractclausules gericht op hun leveranciers — ongeacht of die leveranciers zelf een wettelijke drempel halen.
Opereert een of meerdere van je grootste klanten in een sector uit bijlage I of bijlage II, en zijn ze minstens middelgroot? Beschouw jezelf dan als onrechtstreeks verplicht: je hebt misschien geen registratieplicht, maar verwacht wel gevraagd te worden om dezelfde operationele controles aan te tonen — het loont om daar op voorhand op in te zetten in plaats van te reageren op de eerste vragenlijst.
Jouw waarschijnlijke status, en wat dat praktisch betekent
- Essentiële entiteit — rechtstreekse wettelijke verplichtingen, proactief toezicht, registratie verplicht, de hoogste boetecategorie. Start met een formele scoping-oefening en een compliance-roadmap; dit is geen "checklist lezen en hopen"-situatie.
- Belangrijke entiteit — rechtstreekse wettelijke verplichtingen, reactief toezicht (na een incident), registratie verplicht. De meeste kmo's van 50 tot 250 medewerkers die al binnen scope vallen, landen hier.
- Onrechtstreeks verplicht — geen registratieplicht gevonden in stap 1–3, maar een klantrelatie die in de praktijk dezelfde controles zal vereisen. Behandel de operationele vereisten als reëel, ook al klopt het wettelijke label niet.
- Niet binnen scope, voorlopig — niets van het bovenstaande was van toepassing. Het loont om dit opnieuw te bekijken zodra je over de groottedrempel groeit, van activiteit verandert, of een grote gereguleerde klant binnenhaalt.
Niets van dit alles vervangt een degelijke scoping-oefening — vooral de groottetest heeft genoeg nuances (groepsstructuren, verbonden ondernemingen, sector-subdefinities) dat een zelfcheck de vraag moet verfijnen, niet beslechten. Maar hij zou je moeten vertellen van welk van de vier vakjes je vertrekt.
Specifiek voor België
NIS2 werd in Belgisch recht omgezet via de wet van 26 april 2024, van kracht sinds 18 oktober 2024. Het Centrum voor Cybersecurity België (CCB) is de toezichthoudende autoriteit, en registratie gebeurt via het Safeonweb@work-platform.
Als je organisatie van bij het begin binnen scope viel, moest de registratie ten laatste op 18 maart 2025 gebeuren (18 december 2024 voor entiteiten uit de digitale sector) — die termijn ligt achter ons, maar hij verdwijnt niet: kom je later binnen scope door groei of een gewijzigde activiteit, dan registreer je zodra je binnen scope valt. Essentiële entiteiten werden verwacht tegen 18 april 2026 een eerste conformiteitsbeoordeling af te ronden, en wie kiest voor certificering onder CyFun® of ISO/IEC 27001 krijgt een bijkomende deadline op 18 april 2027.
Waar dit meestal landt
Of een organisatie nu een essentiële entiteit blijkt te zijn, een belangrijke entiteit, of gewoon een leverancier die een gereguleerde klant verwacht zich als zodanig te gedragen: de operationele conclusie komt telkens neer op dezelfde set controles — identiteits- en toegangsbeheer, gepatchte en versleutelde toestellen, geteste back-ups, een werkbaar incidentproces en toezicht op leveranciers — de domeinen die we doornemen in onze operationele checklist voor NIS2.
Weet je na stap 1–4 nog niet zeker in welk vakje je valt, dan volstaat meestal een korte scoping-oefening om dat uit te klaren — een normaal startpunt om te bepalen wat er, indien nodig, moet veranderen.