mijn klant vraagt of wij onder NIS2 vallen wat moet ik invullen

Meestal vult u "nee" of "niet direct" in, tenzij u zelf een aangewezen sector bent

De meeste toeleveranciers vallen niet zelf onder NIS2 — ze voelen de richtlijn indirect, omdat hun klant (die wél onder NIS2 valt) eisen doorlegt via het contract. Als uw onderneming niet in een van de aangewezen sectoren zit (energie, transport, digitale infrastructuur, gezondheidszorg, en een aantal andere die in bijlage I en II van de richtlijn staan) en niet boven de grootteklasse valt die de richtlijn hanteert, vult u meestal "nee" of "niet van toepassing" in. Twijfel over de eigen status hoort u niet zelf te beslissen op basis van een gok: valt de onderneming zelf onder de NIS2-richtlijn of de nationale omzetting daarvan zet uiteen hoe u dat nagaat, inclusief de Cyberbeveiligingswet die de Nederlandse omzetting vormt en per 15 augustus 2026 in werking treedt.

Belangrijker dan de vraag "vallen wij onder NIS2" is vaak de vraag die erachter verscholen zit: uw klant wil weten of u de tien maatregelen van artikel 21 lid 2 van de richtlijn ook toepast, ook als u zelf niet onder de wet valt. Veel vragenlijsten formuleren dat losjes als "bent u NIS2-compliant", terwijl ze feitelijk vragen naar risicobeleid, incidentrespons, continuïteit en toegangsbeheer. Beantwoord dus niet alleen de statusvraag, maar check ook of de lijst vervolgvragen stelt die u al met bestaande antwoorden kunt dekken, bijvoorbeeld over beleid voor risicoanalyse en de beveiliging van informatiesystemen.

Grondslag: artikel 21 lid 2 en de status van uw onderneming

Artikel 21 lid 2 van Richtlijn (EU) 2022/2555 noemt de tien maatregelen die een "essentiële" of "belangrijke" entiteit onder NIS2 moet nemen; de vraag of u die status heeft, volgt uit de sectorlijsten in bijlage I en II van diezelfde richtlijn en, voor Nederland, uit de Cyberbeveiligingswet. ISO/IEC 27001 Annex A is geen wettelijke bron maar een veelgebruikte praktische invulling van dezelfde maatregelen — als u daarvoor gecertificeerd bent, is dat relevant bewijs, geen antwoord op de statusvraag zelf.