onze klant wil weten of wij onder NIS2 vallen, wat vul ik in

Zelf onder NIS2 vallen is een aparte vraag dan eraan moeten voldoen

Of jouw onderneming zelf NIS2-plichtig is, hangt af van sector en omvang — niet van of je klant het vraagt. NIS2 werkt met een sectorlijst (bijlagen I en II van de richtlijn) en drempels voor omvang: middelgroot of groot naar de EU-definitie. Val je daaronder, dan ben je een "essentiële" of "belangrijke entiteit" en gelden de verplichtingen van artikel 21 rechtstreeks voor je, los van wat een klant in een vragenlijst zet. Val je er niet onder, dan kun je dat gewoon invullen als "nee, niet zelfstandig NIS2-plichtig" — dat is geen ontwijkend antwoord, het is het juiste antwoord als het feitelijk klopt.

Waar het vaak misgaat: een leverancier die zelf buiten scope valt, krijgt de eisen van artikel 21 toch opgelegd via het contract, omdat zijn klant dat aan zijn eigen beveiligingseisen aan leveranciers moet toetsen. Dat is dan geen NIS2-plicht voor jou, maar een contractuele doorvertaling ervan. Vul dus het antwoord in op de vraag zoals ze hem stelt: "vallen jullie onder NIS2" is een ja/nee over je eigen status, niet over of je NIS2-achtige maatregelen toepast. Die twee raken los van elkaar vaak verward, en een "ja" invullen omdat je toch al aan ISO 27001 werkt of gecertificeerd bent, is feitelijk onjuist als je zelf niet in scope zit.

Nederlandse omzetting volgt via de Cyberbeveiligingswet

De richtlijn zelf (2022/2555) definieert de sectoren en de omvangdrempel voor essentiële en belangrijke entiteiten; de Nederlandse invulling — wie precies wordt aangewezen, en met welke toezichtstermijnen — loopt via de Cyberbeveiligingswet, die op 15 augustus 2026 in werking treedt. Tot die datum is er geen nationale aanwijzing waarop je "ja" kunt baseren; erna wel, voor zover je onderneming op de definitieve lijst staat. Zolang die wet niet in werking is, is "nog niet van toepassing" of "nog te bepalen" het feitelijk juiste antwoord, niet "nee" — dat suggereert een definitieve uitsluiting die er nu nog niet is.