Welke sectoren en organisaties vallen onder de NIS2-richtlijn?

De organisaties die onder de tweede NIS-richtlijn vallen behoren tot:
 

Sectoren bijlage 1	Sectoren bijlage 2
Energie Transport Bankwezen Infrastructuur financiële markt Gezondheidszorg Drinkwater Digitale infrastructuur Afvalwater Overheidsdiensten Ruimtevaart Beheer van ICT diensten	Digitale aanbieders Post- en koeriersdiensten Afvalstoffenbeheer Levensmiddelen Chemische stoffen Onderzoek Vervaardiging / manufacturing

Een belangrijk verschil met de eerste NIS-richtlijn is dat organisaties automatisch onder de NIS2-richtlijn vallen als zij actief zijn in een van de bovenstaande sectoren en volgens de onderstaande criteria gekenmerkt kunnen worden als ‘essentiële’ of ‘belangrijke’ entiteit. In tegenstelling tot de CER-richtlijn, vindt bij de NIS2-richtlijn dus geen aanwijzing plaats door de ministeries.

1. Essentiële entiteiten
   • Dat zijn grote organisaties die actief zijn in een sector uit bijlage I van de NIS2-richtlijn (zie tabel)
   • Een organisatie is groot op basis van de volgende criteria:
     1. meer dan 250 werknemers of;
     2. een netto omzet van meer dan € 50 miljoen en een balanstotaal van meer dan € 43 miljoen.
2. Belangrijke entiteiten
   • Dat zijn middelgrote organisaties die actief zijn in een sector uit bijlage I en organisaties die actief zijn in een sector uit bijlage II.
   • Een organisatie is middelgroot op basis van de volgende criteria:
     1. minimaal 50 werknemers of;
     2. een jaaromzet of balanstotaal van meer dan 10 miljoen euro.

Van essentiële entiteiten wordt over het algemeen aangenomen dat de uitval van hun diensten veel meer ontwrichtende impact heeft op de economie en samenleving, dan uitval bij belangrijke entiteiten. Essentiële entiteiten vallen onder een intensiever regime van toezicht, namelijk zowel voor- als achteraf toezicht wordt gehouden op de naleving van de verplichtingen. Voor belangrijke entiteiten geldt een lichtere vorm van toezicht dat alleen achteraf plaatsvindt bijvoorbeeld als er aanwijzingen voor niet-naleving van de wet zijn of als er een incident heeft plaatsgevonden.

Micro- en kleine bedrijven vallen in principe niet onder de NIS2-richtlijn. De minister die verantwoordelijk is voor een bepaalde sector kan er echter wel voor kiezen om een micro- of klein bedrijf alsnog aan te wijzen op basis van een risicobeoordeling, bijvoorbeeld als blijkt dat hun dienstverlening van cruciaal belang is voor de Nederlandse economie of maatschappij. In dat geval worden deze bedrijven hierover geïnformeerd door het desbetreffende ministerie.

Daarnaast zijn er nog micro- en kleine bedrijven die wel onder de NIS2-richtlijn vallen. Het gaat dan om bedrijven die actief zijn als aanbieder van vertrouwensdiensten, als register voor topleveldomeinnamen, als verleners van domeinnaamregistratiediensten of als aanbieder van openbare elektronische-communicatienetwerken of van openbare elektronische-communicatiediensten, vallen wél automatisch onder de NIS2-richtlijn. Overheidsinstanties uit de bovenstaande sectoren vallen ook automatisch onder NIS2-richtlijn.

Voor meer informatie of u een MKB-onderneming of (middel)grote onderneming heeft kunt u terecht op de website van het RVO.