Valt de onderneming zelf onder de NIS2-richtlijn of de nationale omzetting daarvan?

Sector en omvang bepalen samen de uitkomst

Of de onderneming onder de Cyberbeveiligingswet valt, hangt af van twee dingen: de sector waarin zij actief is en haar omvang. De wet werkt met een lijst van sectoren — onder meer energie, vervoer, drinkwater, digitale infrastructuur, gezondheidszorg en een aantal industriële en digitale diensten — en binnen die sectoren geldt een indeling naar grootte: middelgroot of groter telt in de regel mee, met medewerkersaantal en jaaromzet of balanstotaal als maatstaf. Valt de onderneming buiten de aangewezen sectoren, dan is de Cyberbeveiligingswet meestal niet van toepassing, ongeacht de omvang.

Er zijn twee kanten die vaak worden verward. De eerste is: valt de onderneming er rechtstreeks onder, als zogeheten essentiële of belangrijke entiteit. De tweede is: wordt zij er onrechtstreeks door geraakt, omdat een klant die zelf onder de wet valt eisen doorlegt in de keten. Dat laatste kan ook gelden voor bedrijven die te klein zijn of in een niet-aangewezen sector zitten. Deze zoekvraag gaat over de eerste kant — de rechtstreekse plicht — en het antwoord daarop staat nog niet vast zolang de definitieve tekst en de bijbehorende sectorlijst niet zijn nageslagen op naam en cijfers van de eigen onderneming. Wie die vraag wel al zeker heeft beantwoord — met of zonder rechtstreekse plicht — komt in de praktijk toch vaak dezelfde vragen tegen als een klant ernaar vraagt, bijvoorbeeld of er beleid is voor risicoanalyse en de beveiliging van informatiesystemen of of meerfactorauthenticatie is ingericht.

Waar dat uit blijkt: de sector- en omvangcriteria

Deze indeling volgt uit de Cyberbeveiligingswet, de Nederlandse omzetting van NIS2, die op 15 augustus 2026 in werking treedt. De wet zelf, met de bijlagen waarin de sectoren en de omvangdrempels staan, is de aangewezen bron om de eigen onderneming tegen af te zetten; die tekst staat op wetten.overheid.nl.