Valt mijn organisatie onder de Cyberbeveiligingswet (NIS2)?

Doe de check

De snelste route is de NIS2-Zelfevaluatie van de RDI. Daarmee bepaal je of je onder de wet valt en of je 'essentieel' of 'belangrijk' bent. Liever stap voor stap? Doorloop dan de twee stappen hieronder.

Stap 1a. Hoort jouw sector erbij?

De wet geldt voor de sectoren in bijlage 1 en 2 van de Cyberbeveiligingswet. Daar staat ook welke soorten organisaties per sector meetellen.

Stap 1b. Is jouw organisatie groot genoeg?

Daarna kijk je naar de omvang. Dit heet de omvangscriteria of 'size cap'. Tel je 50 of meer medewerkers, of heb je een jaaromzet of balanstotaal van meer dan 10 miljoen euro? Dan val je waarschijnlijk onder de wet.

Let op: sommige organisaties vallen er altijd onder, ongeacht hun omvang. Dat geldt onder andere voor aanbieders van openbare communicatienetwerken en -diensten, vertrouwensdiensten, DNS-dienstverleners, registers voor topleveldomeinen en alle overheidsorganisaties.

Heb je een ingewikkelde structuur?

Werk je met meerdere vestigingen in Nederland of in andere EU-landen, dan is de vraag vaak lastiger te beantwoorden. De handreiking 'Complexe bedrijfsmodellen' helpt je bepalen onder welke nationale wetgeving je valt.

Val je er niet onder?

Hoor je niet bij een van de kritieke sectoren? Dan geldt de wet niet voor jou en hoef je je niet te registreren. Toch lopen ook jouw systemen risico. Beveiligingsmaatregelen nemen blijft dus verstandig.

Wat schrijft de wet voor?

Val je wel onder de wet, dan krijg je te maken met drie plichten: registreren, maatregelen nemen en incidenten melden. Daarnaast houdt een toezichthouder toezicht op de naleving. Welke toezichthouder dat is, hangt af van je sector.