De NIS2-richtlijn (Network and Information Systems Directive 2) hertekent het Europese cyberbeveiligingslandschap door het aantal organisaties binnen het toepassingsgebied drastisch uit te breiden. Waar NIS1 ongeveer 1.000 entiteiten in België en 1.500 in Frankrijk omvatte, valt onder NIS2 nu 20.000 tot 100.000 entiteiten per grote lidstaat. Nagaan of uw organisatie kwalificeert als essentiële entiteit of als belangrijke entiteit is de eerste stap, en dat verandert alles aan uw verplichtingen.
Het NIS2-kader
NIS2 werd op 27 december 2022 gepubliceerd in het Publicatieblad (Richtlijn (EU) 2022/2555) en moest uiterlijk op 17 oktober 2024 door alle EU-lidstaten zijn omgezet. In de praktijk verliep de omzetting gespreid: Frankrijk keurde op 30 april 2025 zijn REN-wet (Résilience des activités d'importance vitale) goed, België zette de richtlijn om via de NIS2-wet van 26 april 2024, van kracht sinds 18 oktober 2024.
De binaire classificatie essentieel/belangrijk berust op twee cumulatieve criteria: de omvang van de entiteit en de activiteitensector.
De twee kerncriteria: omvang + sector
Om onder NIS2 te vallen, moet een organisatie tegelijkertijd:
- Actief zijn in een sector die in bijlage I of bijlage II van de richtlijn is opgenomen
- De drempels voor middelgrote ondernemingen overschrijden (50+ werknemers of €10M+ jaaromzet of €10M+ balanstotaal)
Onder die drempels is de richtlijn niet van toepassing, behalve in specifieke uitzonderingsgevallen (DNS-dienstverleners, TLD-registers, gekwalificeerde verleners van vertrouwensdiensten, centrale overheidsdiensten enz., die ongeacht hun omvang automatisch onder de richtlijn vallen).
Essentiële entiteiten (bijlage I)
Essentiële entiteiten zijn actief in uiterst kritieke sectoren die in bijlage I van de richtlijn zijn opgenomen. Essentieel zijn betekent onderworpen zijn aan de strengste vorm van toezicht.
De 11 sectoren van bijlage I
| Sector | Voorbeelden van entiteiten |
|---|---|
| Energie | Elektriciteit, olie, gas, waterstof, stadsverwarming/-koeling |
| Vervoer | Lucht, spoor, water, weg |
| Bankwezen | Vergunde kredietinstellingen |
| Infrastructuur voor de financiële markt | Handelsplatformen, centrale tegenpartijen |
| Gezondheidszorg | Ziekenhuizen, laboratoria, fabrikanten van kritieke medische hulpmiddelen, farmaceutische productie |
| Drinkwater | Leveranciers en distributeurs van drinkwater |
| Afvalwater | Opvang, lozing, zuivering |
| Digitale infrastructuur | Internetknooppunten (IXP's), DNS-dienstverleners, TLD-registers, aanbieders van cloudcomputingdiensten, datacenters, CDN's, vertrouwensdiensten, openbare elektronische-communicatienetwerken en -diensten |
| Beheer van ICT-diensten (B2B) | Managed service providers (MSP's), managed security service providers (MSSP's) |
| Overheid | Centrale entiteiten (verplicht); regionale (optioneel per lidstaat) |
| Ruimtevaart | Exploitanten van grondinfrastructuur ter ondersteuning van ruimtevaartdiensten |
Drempel voor de kwalificatie "essentieel"
Om essentieel te zijn, moet u actief zijn in een sector van bijlage I EN de drempels voor grote ondernemingen overschrijden:
- Meer dan 250 werknemers, OF
- Een jaaromzet van meer dan €50M, OF
- Een jaarlijks balanstotaal van meer dan €43M
Er bestaan automatische uitzonderingen ongeacht de omvang: gekwalificeerde verleners van vertrouwensdiensten, DNS-dienstverleners, TLD-registers, centrale overheidsdiensten, entiteiten die als "kritiek" zijn aangemerkt onder de CER-richtlijn (Critical Entities Resilience) en unieke entiteiten binnen een lidstaat.
Belangrijke entiteiten (bijlage II)
Belangrijke entiteiten zijn actief in eveneens kritieke sectoren, maar zijn onderworpen aan lichter toezicht (reactief toezicht, niet proactief zoals bij essentiële entiteiten).
De 7 sectoren van bijlage II
| Sector | Voorbeelden van entiteiten |
|---|---|
| Post- en koeriersdiensten | Postoperatoren, pakketbezorgers |
| Afvalbeheer | Inzameling, verwerking, recyclage |
| Vervaardiging, productie en distributie van chemische stoffen | Chemische industrie (REACH) |
| Productie, verwerking en distributie van levensmiddelen | Groothandels in levensmiddelen, grootschalige agro-voedingsindustrie |
| Vervaardiging | Medische hulpmiddelen, informatica-, elektronische en optische producten, elektrische apparatuur, machines, motorvoertuigen, andere transportmiddelen |
| Digitale aanbieders | Onlinemarktplaatsen, zoekmachines, platformen voor socialenetwerkdiensten |
| Onderzoek | Onderzoeksorganisaties (optioneel per lidstaat) |
Drempel voor de kwalificatie "belangrijk"
Om als belangrijk te kwalificeren, moet u actief zijn in:
- Een sector van bijlage II + de drempels voor middelgrote ondernemingen overschrijden (50+ werknemers OF €10M+ omzet/balanstotaal), OF
- Een sector van bijlage I zonder de drempels voor grote ondernemingen te bereiken (maar wel met overschrijding van de drempels voor middelgrote ondernemingen)
Met andere woorden: een kmo in de energiesector (75 werknemers, €12M omzet) zal belangrijk zijn, niet essentieel. Een grote voedingsdistributeur (500 werknemers, €200M omzet) zal eveneens belangrijk zijn, omdat zijn sector onder bijlage II valt, en nooit essentieel.
Waarom de classificatie ertoe doet: 5 grote verschillen
Het onderscheid essentieel/belangrijk is geen cosmetische kwestie: het bepaalt het toezicht, de sancties en de operationele verplichtingen.
1. Ex-ante- vs ex-posttoezicht
- Essentieel: proactief toezicht: de bevoegde autoriteit kan op elk moment auditen, inspecteren en informatie opvragen, zonder voorafgaand vermoeden van een incident.
- Belangrijk: reactief toezicht: de autoriteit treedt pas op na een incident of een melding van een vermoedelijke inbreuk.
Dit is in de praktijk het verschil met de grootste gevolgen. Een essentiële entiteit moet op elk moment klaar zijn voor een audit; een belangrijke entiteit kan reactiever te werk gaan.
2. Maximumboetes
- Essentieel: tot €10M of 2% van de jaarlijkse wereldwijde omzet (het hoogste van beide)
- Belangrijk: tot €7M of 1,4% van de jaarlijkse wereldwijde omzet (het hoogste van beide)
Voor een multinational betekent dit bij een ernstige inbreuk een rechtstreeks verschil van miljoenen euro's.
3. Persoonlijke aansprakelijkheid van het management
Beide categorieën leggen een persoonlijke aansprakelijkheid bij het management (CEO, bestuursleden) voor de maatregelen voor het beheer van cyberrisico's. In de ernstigste gevallen staat de richtlijn de lidstaten toe om bij essentiële entiteiten met herhaalde tekortkomingen bepaalde bestuurders tijdelijk te schorsen, ook als bestuurder of wettelijk vertegenwoordiger.
4. Registratie en melding
Beide categorieën moeten:
- Zich registreren bij de nationale bevoegde autoriteit (ANSSI in Frankrijk, CCB in België)
- Significante incidenten binnen strikte termijnen melden (zie onze gids over NIS2-incidentmelding 24u/72u/1 maand)
- Vrijwillig informatie over cyberdreigingen delen
De formulieren, frequenties en bewijsvereisten zijn echter zwaarder voor essentiële entiteiten.
5. Compliancevereisten in de toeleveringsketen
NIS2 voert een principe van ketenverantwoordelijkheid in: een essentiële entiteit moet de cyberrisico's van haar kritieke leveranciers beoordelen en documenteren. In de praktijk betekent dit dat zelfs als uw onderneming niet rechtstreeks onder NIS2 valt, uw essentiële klant gelijkwaardige garanties van u zal eisen.
De 10 verplichte maatregelen: identiek voor beide categorieën
Artikel 21 van NIS2 legt 10 minimale maatregelen op voor het beheer van cyberrisico's, verplicht voor zowel essentiële als belangrijke entiteiten:
- Beleid inzake risicoanalyse en beveiliging van informatiesystemen
- Incidentbeheer (preventie, detectie, respons)
- Bedrijfscontinuïteit (back-up, herstel na rampen, crisisbeheer)
- Beveiliging van de toeleveringsketen
- Beveiliging bij de aanschaf, ontwikkeling en het onderhoud van systemen
- Maatregelen om de doeltreffendheid te beoordelen (audit- en testbeleid)
- Basispraktijken inzake cyberhygiëne en opleiding in cyberbeveiliging
- Beleid en procedures inzake cryptografie (inclusief encryptie)
- Beveiliging van personeel, beleid inzake toegangscontrole en beheer van activa
- Multifactorauthenticatie, beveiligde communicatie, noodcommunicatie
De diepgang van de implementatie varieert naargelang de kriticiteit, maar alle 10 maatregelen zijn van toepassing. Voor essentiële entiteiten moet elke maatregel met bewijzen gedocumenteerd zijn; voor belangrijke entiteiten kan een pragmatische aantoning volstaan.
Uw status bepalen in 5 stappen
Een praktische methode:
- Breng uw activiteiten in kaart: wat is uw voornaamste activiteitencode? Wat is uw hoofdproductie?
- Toets aan bijlagen I en II: stemt uw activiteit overeen met een van de 18 vermelde sectoren? Bij gemengde activiteiten telt de activiteit die meer dan 10% van de omzet vertegenwoordigt.
- Meet uw omvang: personeelsbestand + omzet + balanstotaal. Bereken volgens EU-Aanbeveling 2003/361/EG (micro-, kleine, middelgrote, grote onderneming).
- Pas het rooster toe
- Bijlage I + grote onderneming → essentieel
- Bijlage I + middelgrote onderneming → belangrijk
- Bijlage II + middelgrote of grote onderneming → belangrijk
- Onder de drempels → niet binnen het toepassingsgebied (behalve automatische uitzonderingen)
- Controleer de automatische uitzonderingen: gekwalificeerde verleners van vertrouwensdiensten, DNS-dienstverleners, TLD-registers, centrale overheidsdiensten: u valt eronder ongeacht uw omvang.
Raadpleeg bij twijfel uw nationale autoriteit (ANSSI in Frankrijk, CCB in België). Voor gedetailleerde informatie over het Belgische toepassingsgebied kunt u terecht op onze partnersite mise-en-conformite-nis2.be.
Praktijkgevallen: 4 classificatiescenario's
Scenario 1: regionale bank (580 werknemers, €120M omzet)
- Sector: bijlage I (bankwezen)
- Omvang: grote onderneming
- Resultaat: essentieel
Scenario 2: e-commerce-kmo (30 werknemers, €4M omzet)
- Sector: bijlage II (onlinemarktplaats)
- Omvang: kleine onderneming onder de drempels
- Resultaat: niet binnen het toepassingsgebied, maar het is aanbevolen om NIS2-goede praktijken proactief toe te passen, zeker als u essentiële klanten bedient
Scenario 3: openbaar ziekenhuis (3.500 werknemers, €450M budget)
- Sector: bijlage I (gezondheidszorg)
- Omvang: grote onderneming
- Resultaat: essentieel
Scenario 4: fabrikant van medische hulpmiddelen (150 werknemers, €25M omzet)
- Sector: bijlage II (vervaardiging van medische hulpmiddelen) EN bijlage I (indien als gezondheidsgerelateerd beschouwd)
- Omvang: middelgrote onderneming
- Resultaat: belangrijk (vaak geïnterpreteerd als bijlage II voor fabrikanten die geen zorgverleners zijn)
Wat u nu moet doen
Voor essentiële entiteiten
- Stel een CISO en een NIS2-contactpunt aan (uitdrukkelijke aanwijzingsplicht)
- Registreer u bij de nationale autoriteit (de registratietermijnen zijn in de meeste lidstaten al verstreken)
- Implementeer de 10 maatregelen van art. 21 met gedocumenteerd bewijs
- Stel een incidentmeldingsplan op (vroegtijdige waarschuwing 24u + melding 72u + eindrapport 1 maand)
- Test uw plannen met jaarlijkse crisisoefeningen
Voor belangrijke entiteiten
- Implementeer de 10 maatregelen: hetzelfde niveau, een meer pragmatische aanpak
- Documenteer uw beveiligingsniveau om te kunnen inspelen op reactieve controles
- Registreer u bij de nationale autoriteit
- Train uw teams in het herkennen en melden van incidenten
Onze ResiPlan BCMS-oplossing centraliseert de compliance met NIS2, DORA, ISO 22301 en NIST CSF in één tool. Om van start te gaan, kunt u ResiPlan 14 dagen gratis uitproberen.
Conclusie
Het onderscheid tussen essentieel en belangrijk bepaalt de strengheid van de controles, de sancties en de verwachte documentaire diepgang. Het bepaalt niet de functionele reikwijdte van de 10 verplichte maatregelen: die gelden voor beide categorieën.
Voor organisaties die nog twijfelen over hun kwalificatie, luidt de voorzichtige regel: stem uw beveiligingsniveau af op de vereisten voor essentiële entiteiten. Zo bent u beschermd tegen wijzigingen in de classificatie (uw omzet kan van jaar tot jaar drempels overschrijden), beveiligt u uw waardeketen (uw essentiële klanten zullen dat niveau van u verwachten) en bereidt u zich voor op de waarschijnlijke komst van NIS3 in de jaren 2030.
Lees verder in onze aanvullende bronnen: