Terug naar kennisbank

Val ik onder NIS2? Zo bepaalt u of uw organisatie een essentiële of belangrijke entiteit is

Gepubliceerd op 11 juli 2026 · Bijgewerkt op 29 oktober 2026

Dit artikel is algemene informatie over wet- en regelgeving en geen juridisch advies.

Op 15 augustus 2026 is de Cyberbeveiligingswet in werking getreden, de Nederlandse uitwerking van NIS2. Naar schatting van de rijksoverheid vallen ruim 8.000 organisaties eronder, en niet iedere organisatie heeft dat al scherp. Tegelijk lopen er organisaties rond die zich onnodig zorgen maken, of die op gezag van een leverancier aannemen dat ze "NIS2-plichtig" zijn, terwijl dat niet vaststaat.

De vraag "val ik eronder?" is voor veel organisaties in een paar stappen te beantwoorden. Dit artikel loopt de criteria langs, in de volgorde waarin u ze zelf kunt afvinken.

Het overzicht van de wet zelf, per artikel en met bij elke maatregel het bijbehorende bewijs, staat op de pagina over de Cyberbeveiligingswet. Liever in vier vragen? De zelfcheck als tool geeft dezelfde uitkomst met het wetsartikel erbij en is als PDF op te slaan.

Stap 1: levert u een dienst of activiteit uit een van de 18 sectoren?

De wet werkt met twee sectorlijsten, overgenomen uit de Europese NIS2-richtlijn. Nederland heeft daarnaast het bekostigd hoger onderwijs aangewezen; die instellingen volgen een eigen tijdpad (zie de veelgestelde vragen).

Zeer kritieke sectoren (bijlage I): energie, transport, bankwezen, infrastructuur voor de financiële markt, gezondheidszorg, drinkwater, afvalwater, digitale infrastructuur (waaronder telecom, datacenters, cloud en DNS), beheer van ICT-diensten (B2B, zoals managed service providers), overheid en ruimtevaart.

Overige kritieke sectoren (bijlage II): post- en koeriersdiensten, afvalstoffenbeheer, chemie, levensmiddelen, vervaardiging van onder meer medische hulpmiddelen, elektronica, machines en voertuigen, digitale aanbieders (online marktplaatsen, zoekmachines, sociale netwerken) en onderzoek.

Bepalend is of u zélf een dienst of activiteit uit bijlage I of II levert; aan wie u levert, staat daar los van. En het hoeft niet uw kernactiviteit te zijn: ook een nevenactiviteit kan u in scope brengen. Een softwarebedrijf dat toevallig een ziekenhuis als klant heeft, zit daarmee niet in de sector gezondheidszorg. Maar een managed service provider valt als beheerder van ICT-diensten wél rechtstreeks onder bijlage I, een categorie die makkelijk over het hoofd te zien is, omdat ICT-beheer zelden als "sector" voelt.

Stap 2: haalt u de omvangsdrempel?

Binnen die sectoren geldt de wet in beginsel voor middelgrote en grote organisaties:

De telling volgt de Europese mkb-definitie (Aanbeveling 2003/361/EG): medewerkers tellen in arbeidsjaareenheden (vergelijkbaar met fte, inclusief meewerkende eigenaren), en ook partner- en verbonden ondernemingen tellen mee. Een kleine BV binnen een groot concern kan daardoor tóch in scope vallen. Bij twijfelgevallen helpt de officiële zelfevaluatie verder.

Vuistregel: grote organisaties in de zeer kritieke sectoren zijn essentieel, de rest van de organisaties binnen de scope is belangrijk. Op die vuistregel bestaan uitzonderingen. Zo zijn overheden, DNS-dienstverleners, registers voor topleveldomeinnamen en gekwalificeerde vertrouwensdienstverleners essentieel ongeacht hun omvang. Ook middelgrote en grote aanbieders van openbare elektronische communicatienetwerken of -diensten (telecom- en internetaanbieders) zijn essentieel. Voor die categorie geldt de regel "middelgroot is belangrijk" uit de tabel dus niet. Kleine en micro-telecomaanbieders en niet-gekwalificeerde vertrouwensdiensten vallen wél ongeacht omvang onder de wet, maar als belangrijke entiteit (zie stap 3). De kernverplichtingen (zorgplicht en meldplicht) zijn gelijk; het verschil zit in het toezicht en de zwaarte van de handhaving. Essentiële entiteiten krijgen proactief toezicht en hogere maximumboetes, belangrijke entiteiten worden achteraf gecontroleerd, bijvoorbeeld na een incident of signaal.

Stap 3: check de uitzonderingen

Voor een aantal categorieën geldt de wet ongeacht omvang. De belangrijkste: aanbieders van openbare elektronische communicatienetwerken en -diensten (telecom- en internetaanbieders), DNS-dienstverleners, registers voor topleveldomeinen, verleners van domeinnaamregistratiediensten, aanbieders van (gekwalificeerde) vertrouwensdiensten en delen van de overheid, waaronder de rijksoverheid, provincies, gemeenten en waterschappen. Ook een kleine organisatie die als enige aanbieder van een kritieke dienst in Nederland optreedt, kan worden aangewezen.

Niet al deze categorieën krijgen dezelfde positie. Overheden, DNS-dienstverleners, registers voor topleveldomeinnamen en gekwalificeerde vertrouwensdienstverleners gelden ongeacht omvang als essentiële entiteit. Bij aanbieders van openbare elektronische communicatienetwerken of -diensten bepaalt de omvang de positie: middelgrote en grote aanbieders zijn essentiële entiteit, alleen kleine en micro-aanbieders gelden (net als niet-gekwalificeerde vertrouwensdiensten) als belangrijke entiteit. Voor verleners van domeinnaamregistratiediensten geldt een beperkter regime: zij staan niet in bijlage I of II en vallen alleen onder een deel van de verplichtingen. Daarnaast is er nog een route: entiteiten die onder de Wet weerbaarheid kritieke entiteiten (Wwke), die op dezelfde dag in werking is getreden, als kritieke entiteit zijn aangewezen, gelden onder de Cyberbeveiligingswet als essentiële entiteit, ongeacht omvang. En valt uw organisatie onder de financiële sector, houd er dan rekening mee dat de Europese DORA-verordening daar als lex specialis geldt: voor de zorgplicht en meldingen gelden deels eigen regels en termijnen.

Voor publieke bestuurders is er nog een reden om scherp te kijken: de wet regelt bestuurlijke verantwoordelijkheid expliciet. Wat dat wel en niet betekent, leest u in NIS2 en hoofdelijke aansprakelijkheid voor publieke bestuurders, en het praktische vervolg in het NIS2-stappenplan voor overheidsbesturen.

Twijfelt u na deze drie stappen nog? De rijksoverheid biedt een officiële zelfevaluatie die een onderbouwde indicatie geeft en bij twijfelgevallen verder helpt. Dat resultaat is bovendien een nuttig document voor uw dossier: ook "wij vallen er niet onder, en zo hebben we dat vastgesteld" is iets dat u wilt kunnen laten zien.

Buiten de scope is niet buiten schot

De meest onderschatte uitkomst van de zelfcheck is deze: u valt formeel buiten de wet, maar uw grootste klanten vallen er wél onder. Die ruim 8.000 organisaties zijn verplicht de risico's in hun toeleveringsketen te beheersen, en dat kan zich voor u als leverancier vertalen in vragenlijsten, contracteisen en audits. Wat die ketenzorgplicht voor u als leverancier betekent en hoe u zo'n leveranciersvragenlijst goed beantwoordt, beschreven we eerder.

In de praktijk is de druk uit de keten voor het mkb vaak eerder voelbaar dan de wet zelf: uw grootste klant meldt zich doorgaans eerder dan de toezichthouder.

U valt eronder. Wat nu?

Vier zaken, in deze volgorde:

1. Registreer uw organisatie in het entiteitenregister. Dat gaat via mijn.ncsc.nl (met eHerkenning of SSO Rijk), en sinds 15 augustus 2026 is registratie verplicht; bent u nog niet geregistreerd, doe het dan nu. Dit is de laagdrempeligste stap, en direct zichtbaar voor de toezichthouder.
2. Breng uw risico's in kaart. De zorgplicht begint bij weten wat u heeft en waar u kwetsbaar bent, inclusief wat er van buitenaf zichtbaar is. De zelfevaluatie is papierwerk; de zorgplicht vraagt daarna om meting: weten wat er feitelijk vanaf internet zichtbaar is. Exposentry doet dat met OpenKAT, de open-source scanner die uit de Nederlandse overheid voortkomt en waaraan Edward Hasekamp zelf bijdraagt. Begin bij wat een aanvaller van uw domein ziet.
3. Richt uw meldproces in. De meldplicht voor significante incidenten is getrapt: een vroegtijdige waarschuwing binnen 24 uur, een incidentmelding binnen 72 uur en een eindrapport binnen een maand. Dat vraagt om een geoefend proces en afspraken met uw leveranciers.
4. Maak het aantoonbaar en bestuurlijk. Het bestuur keurt de maatregelen goed en ziet erop toe. Zorg dat er gedateerd bewijs ligt van wat u doet, want een maatregel die u niet kunt aantonen telt niet.

Conclusie

Of u onder NIS2 valt is geen kwestie van gevoel of van wat een leverancier beweert, maar van twee toetsbare criteria: sector en omvang, plus een korte lijst uitzonderingen. Doe de check, leg de uitkomst vast, en onthoud dat ook een "nee" u niet ontslaat van de praktijk: de keten stelt dezelfde vragen als de wet.

Exposentry helpt bij de stappen die daarna komen: doorlopend zicht op uw externe aanvalsoppervlak en forensisch onderbouwde rapportages waarmee u uw zorgplicht richting toezichthouder én klanten aantoont. Het resultaat is een aantoonbare bouwsteen; het compliance-oordeel zelf blijft aan uw auditor en de toezichthouder. Start met een nulmeting of bekijk de pakketten.

Geschreven door Edward Hasekamp, oprichter van Exposentry en collaborator op het open-source OpenKAT-project. Zie het project op GitHub en het profiel op github.com/hasecon. Exposentry levert EU-soevereine, forensisch onderbouwde vulnerability monitoring op basis van OpenKAT. Meer artikelen in de Kennisbank.