Wie valt er onder de NIS2?

Wie valt er onder de NIS2-richtlijn? Een verduidelijking

De NIS2-richtlijn (Network and Information Systems Directive 2) legt strengere cybersecurity-eisen op aan een breed scala aan organisaties in de Europese Unie. De vraag wie precies onder deze richtlijn valt, is echter niet altijd even eenvoudig te beantwoorden. Hoewel de richtlijn een breed bereik heeft, zijn er specifieke criteria waaraan een organisatie moet voldoen om als 'aangewezen entiteit' te worden beschouwd.

Een veelvoorkomende misvatting is dat alleen grote, internationale bedrijven onder NIS2 vallen. De realiteit is complexer. De richtlijn richt zich op organisaties die cruciaal zijn voor het functioneren van de essentiële diensten van de samenleving, ongeacht hun omvang.

Essentiële diensten en de automatische indeling van kleine en micro-ondernemingen:

Een belangrijke categorie die vaak over het hoofd wordt gezien, zijn de kleine en micro-ondernemingen (kmo's) die essentiële digitale diensten leveren. NIS2 omvat automatisch deze kmo's indien zij actief zijn in sectoren zoals:

• Vertrouwensdiensten: Denk aan aanbieders van digitale handtekeningen, tijdstempeldiensten en elektronische identiteitsdiensten. Deze diensten zijn fundamenteel voor het vertrouwen in digitale transacties.
• Top-level domeinregistratie en domeinnaamregistratie: Deze bedrijven vormen de basis van het internet en zorgen voor de toegankelijkheid van websites. Een storing hier kan enorme gevolgen hebben.
• Openbare elektronische communicatie-netwerken en -diensten: Dit omvat providers van internettoegang, mobiele telefonie en andere essentiële communicatiediensten.

De automatische indeling van deze kmo's onder NIS2 benadrukt het belang van hun rol in de digitale infrastructuur. Zelfs kleine bedrijven die deze essentiële diensten leveren, kunnen een aanzienlijke impact hebben op de continuïteit van de samenleving, en zijn derhalve onderworpen aan de strengere eisen van NIS2.

Naast deze automatisch aangewezen kmo's, vallen ook andere organisaties onder NIS2, bijvoorbeeld:

• Organisaties in sectoren die door de lidstaten zijn aangewezen als essentieel: Dit zijn sectoren zoals energie, transport, gezondheid, financiële diensten en waterdistributie. De specifieke sectoren kunnen per lidstaat verschillen.
• Organisaties die een bepaald drempelwaarde inzake omzet en aantal werknemers overschrijden: De precieze drempels worden door de lidstaten vastgesteld, en kunnen variëren.

Conclusie:

De NIS2-richtlijn heeft een breder bereik dan men vaak denkt. Het is niet alleen van toepassing op grote, multinationale bedrijven. Kleine en micro-ondernemingen die essentiële digitale diensten leveren, zoals beschreven hierboven, vallen automatisch onder de NIS2-richtlijn. Organisaties dienen zorgvuldig te onderzoeken of zij onder NIS2 vallen, aangezien niet-naleving kan leiden tot aanzienlijke boetes. Het is raadzaam om contact op te nemen met een expert op het gebied van cybersecurity en NIS2-compliance voor een accurate beoordeling van uw situatie.