NIS2 scope check: ben je een essentiële of belangrijke entiteit?

Een gedocumenteerde, stap-voor-stap scopebeslissing voor NIS2: sectorkoppeling, groottegrens en groepstelling, grootteonafhankelijke regels, essentieel of belangrijk, jurisdictie, en waar je je in Benelux registreert.

Snel eerste antwoord: probeer de gratis NIS2 scope checker, en zie wat NIS2 betekent voor je sector in het overzicht van alle 18 NIS2-sectoren.

Deze gids is voor iedereen die de eerste NIS2-vraag van de raad van bestuur moet beantwoorden: vallen we binnen de scope, en zo ja, in welke hoedanigheid? De gids zet de scopebepalingen van de richtlijn om in een beslissingsvolgorde die je kunt documenteren en verdedigen. Je eindigt met een schriftelijke scopebeslissing voor elke rechtspersoon: binnen of buiten de scope, essentieel of belangrijk, welk land heeft jurisdictie, en waar je je moet registreren. Als je buiten de scope valt, heb je ook inzicht in wat je klanten van je kunnen vragen.

Voordat je begint

Verzamel de laatst goedgekeurde jaarrekeningen voor elke rechtspersoon. Je hebt het personeelsbestand in jaarlijkse arbeidseenheden, omzet en balanstotaal nodig. Voeg het groepsorganigram toe met eigendoms- en stempercentages, en een lijst van de diensten die elke entiteit levert en in welke EU-lidstaten. Laat juridische zaken of financiën de cijfers controleren. De beslissing hangt ervan af, en een toezichthouder kan vragen hoe je ze hebt berekend.

Stap 1: Inventariseer je diensten en koppel ze aan Bijlage I en II

De NIS2-scope begint met het type entiteit, niet de grootte. Bijlage I vermeldt sectoren van hoge kritikaliteit: energie, vervoer, bankwezen, financiële marktinfrastructuren, gezondheid, drinkwater, afvalwater, digitale infrastructuur, ICT-servicebeheer (business-to-business), openbaar bestuur en ruimtevaart. Bijlage II vermeldt andere kritieke sectoren: post- en koeriersdiensten, afvalbeheer, chemicaliën, voeding, productie (inclusief medische hulpmiddelen, elektronica, elektrische apparatuur, machines en voertuigen), digitale aanbieders zoals onlinemarktplaatsen, zoekmachines en sociale netwerken, en onderzoek^[1].

• Inventariseer elke dienst of activiteit per rechtspersoon, niet per merk of bedrijfsonderdeel.
• Koppel het aan het Bijlage-entiteittype en noteer de sector en subsector.
• Noteer grensgevallen, zoals een interne IT-afdeling vergeleken met beheerde diensten die aan derden worden verkocht. Noteer waarom je zo hebt besloten.

Stap 2: Controleer de regels die ongeacht de grootte van toepassing zijn

Sommige entiteiten vallen onder de scope ongeacht hun grootte. Artikel 2, lid 2 omvat aanbieders van openbare elektronische communicatienetwerken of -diensten, vertrouwensdienstaanbieders, TLD-naamregisters en DNS-serviceproviders. Het omvat ook een entiteit die de enige aanbieder in een lidstaat is van een dienst die essentieel is voor kritieke activiteiten, een entiteit waarvan de verstoring de openbare veiligheid, beveiliging of gezondheid aanzienlijk zou kunnen beïnvloeden of systeemrisico zou kunnen creëren, een entiteit die kritiek is op nationaal of regionaal niveau, en bepaalde entiteiten van openbaar bestuur. Entiteiten die als kritiek zijn aangemerkt onder de CER-richtlijn (EU) 2022/2557 en aanbieders van domeinnaamregistratiediensten vallen ook onder de scope ongeacht de grootte^[1].

• Controleer elke gekoppelde dienst tegen deze criteria.
• Vraag of de autoriteit je van een aanwijzing of een CER-aanwijzing op de hoogte heeft gesteld.
• Als een criterium van toepassing is, ga naar Stap 5 om de entiteit in te delen. De groottebepaling bepaalt niet langer of je in scope valt.

Stap 3: Pas de grootteregel toe

Verder is NIS2 alleen van toepassing op entiteiten die kwalificeren als middelgroot of de drempels voor middelgrote ondernemingen overschrijden onder Aanbeveling 2003/361/EC^[1]. In de praktijk is een entiteit minstens middelgroot als zij 50 of meer werknemers heeft, of als zowel haar jaarlijkse omzet als haar balanstotaal €10 miljoen overschrijden. Zij is groot als zij 250 of meer werknemers heeft, of als haar omzet €50 miljoen overschrijdt en haar balanstotaal €43 miljoen overschrijdt^[2].

Categorie	Personeelsleden (AWE)	En: omzet	Of: balanstotaal
Klein (buiten tenzij Stap 2 van toepassing is)	< 50	≤ €10m	≤ €10m
Middelgroot	< 250	≤ €50m	≤ €43m
Groot (overschrijdt middelgrote plafonds)	≥ 250	of: omzet > €50 miljoen en balanstotaal > €43 miljoen

• Gebruik de cijfers uit de laatst goedgekeurde jaarrekening, met personeelsbestand in jaarlijkse arbeidseenheden.
• Toon je berekening, niet alleen het resultaat.

Stap 4: Voeg partner- en verbonden bedrijven toe

De Aanbeveling bepaalt niet de grootte van een rechtspersoon op zichzelf. Voeg de gegevens van partnerbedrijven toe in verhouding tot de deelneming (over het algemeen 25% tot 50%). Voeg de gegevens van verbonden bedrijven volledig toe (over het algemeen boven 50%, of waar sprake is van dominante invloed)^[2]. NIS2 stelt één bepaling van de Aanbeveling buiten toepassing, artikel 3, lid 4 van de bijlage ervan, dat betrekking heeft op controle door overheidsorganen^[1]. Als gevolg daarvan wordt een kleine dochteronderneming van een grote groep meestal als groot behandeld. Considerans 16 stelt lidstaten in staat om af te wegen hoe onafhankelijk een entiteit van haar groep is, ook in haar netwerk en informatiesystemen. Controleer eerst de gepubliceerde positie van je autoriteit voordat je hierop vertrouwt.

• Teken de eigendomsketen omhoog en omlaag uit, inclusief partners van verbonden bedrijven.
• Herbereken de grootte met de geaggregeerde gegevens.
• Noteer elk argument over onafhankelijkheid en vraag, indien relevant, de autoriteit.

Stap 5: Classificeer als essentieel of belangrijk

Onder artikel 3 omvatten essentiële entiteiten Bijlage I-entiteiten die de drempels voor middelgrote ondernemingen overschrijden (dat wil zeggen grote entiteiten). Zij omvatten ook gekwalificeerde vertrouwensdienstaanbieders, TLD-registers en DNS-dienstverleners van elke grootte, middelgrote of grotere aanbieders van openbare elektronische communicatiediensten, centrale overheidsinstanties, CER-kritieke entiteiten, en entiteiten die een lidstaat aanwijst. Elke andere in-scope Bijlage I- of II-entiteit is een belangrijke entiteit^[3]. De classificatie bepaalt hoe je wordt gecontroleerd. Essentiële entiteiten worden ex ante gecontroleerd, terwijl belangrijke entiteiten vooral ex post worden gecontroleerd. Het bepaalt ook de boeteplafonds: minstens €10 miljoen of 2% van de wereldwijde omzet voor essentiële entiteiten, en €7 miljoen of 1,4% voor belangrijke entiteiten.^[1].

• Noteer de classificatie voor elke rechtspersoon en het artikelpunt waarop deze is gebaseerd.
• Als entiteiten in één groep verschillende classificaties hebben, noteer dat dan expliciet.

Stap 6: Bepaal de jurisdictie en de hoofdvestiging

De algemene regel is dat de lidstaat waar een entiteit is gevestigd bevoegd is. Aanbieders van openbare elektronische communicatiediensten vallen onder elke lidstaat waar zij diensten verlenen. DNS-dienstverleners, TLD-registers, domeinnaamregistratieproviders, cloud-, datacentrum- en CDN-providers, beheerde (beveiligings)dienstverleners, onlinemarktplaatsen, zoekmachines en sociale netwerken vallen onder de lidstaat van hun hoofdvestiging. Dat is waar beslissingen over maatregelen voor het beheer van cyberbeveiligingsrisico's overwegend worden genomen. Indien dat niet kan worden bepaald, is het waar cyberbeveiligingsoperaties worden uitgevoerd, en bij gebreke daarvan, waar de entiteit de meeste werknemers in de EU heeft. Aanbieders van deze diensten buiten de EU moeten een vertegenwoordiger in de EU aanwijzen.^[4].

• Noteer voor elke entiteit de regel die van toepassing is en de resulterende lidstaat of lidstaten.
• Documenteer voor zaken met hoofdvestiging waar cyberbeveiligingsbeslissingen worden genomen, bijvoorbeeld in notulen van bestuursvergaderingen of een CISO-mandaat.

Stap 7: Registreer in elk relevant land

Registratie vraagt doorgaans om de naam van de entiteit, adres en contactgegevens, IP-bereiken, sector en subsector, en de lidstaten waar in-scope diensten worden verleend. Wijzigingen moeten binnen twee weken worden gemeld^[3]. De Benelux-routes worden hieronder uiteengezet. Elk land biedt ook een scopetool die je kunt gebruiken om je eigen analyse te controleren.

• Registreer elke in-scope rechtspersoon in elk land dat jurisdictie heeft.
• Bewaar de bevestiging en stel een herinnering in om de gegevens elk kwartaal te controleren.

Stap 8: Plan voor indirecte gevolgen als je buiten de scope valt

Een entiteit die buiten de scope valt, wordt niet noodzakelijk niet getroffen. Entiteiten binnen de scope moeten beveiliging van de toeleveringsketen aanpakken, inclusief de beveiligingspraktijken van hun directe leveranciers en dienstverleners^[1]. Verwacht vragenlijsten, contractbepalingen en verzoeken om bewijs. De CCB in België adviseert bijvoorbeeld dat NIS2-entiteiten hun leveranciers vragen om minstens CyFun BASIC in te voeren^[5]. Zie ook risicobeheer van derden in 2026.

• Maak een lijst van de klanten die waarschijnlijk in scope vallen en wat zij kunnen vragen.
• Bereid een standaard beveiligingspakket voor met beleidsregels, een zelfbeoordeling en certificaten.
• Herhaal de scopecontrole elk jaar, of na een fusie, overname of nieuwe dienst.

De bijbehorende sjabloon bevat een scopebeslissingsblad voor elke entiteit, een calculator voor grootte-aggregatie en een logboek voor jurisdictie en registratie. In Secrato bepaalt het resultaat van je scopebeslissing welke NIS2-verplichtingen en CyFun- of ISO-controles voor elke entiteit worden geactiveerd.

Hoe dit aansluit op andere frameworks

Financiële entiteiten onder DORA volgen DORA voor beheer van ICT-risico's en incidentmelding. Je scopebeoordeling moet nog steeds vastleggen dat DORA de reden is. CER-kritieke entiteiten vallen automatisch binnen de scope van NIS2. ISO/IEC 27001 bepaalt niet de scope, maar een goed gedefinieerde ISMS-scope maakt het veel gemakkelijker aan te tonen welke diensten NIS2-maatregelen dekken. Lees meer over NIS2.

Veelgestelde vragen

We hebben 40 medewerkers, €12m omzet en een balanstotaal van €9m. Zijn we middelgroot?

Op basis van deze cijfers alleen niet. Met minder dan 50 medewerkers en een balanstotaal van maximaal €10 miljoen, blijf je klein. Voordat je tot een conclusie komt, voeg je de gegevens van eventuele partner- of verbonden ondernemingen toe.

Is een interne groeps-IT-afdeling een managed service provider?

Dat hangt af van de feiten. Leg vast welke diensten zij levert, aan wie en op welke contractuele basis, en raadpleeg de richtlijnen van je nationale autoriteit. Als zij alleen groepsbedrijven bedient, kan de analyse anders uitvallen dan voor een bedrijf dat aan derden verkoopt.

Kunnen we in meer dan één land onder het toepassingsgebied vallen?

Ja. Met uitzondering van de digitale typen die onder de regel van de hoofdvestiging vallen, valt elke vestiging onder de wet van de lidstaat waar zij is gevestigd. Openbare aanbieders van elektronische communicatiediensten vallen onder elk land waar zij diensten verlenen.^[4].

Wat gebeurt er als onze classificatie verandert?

Stel de autoriteit binnen twee weken^[3] in kennis van wijzigingen in je registratiegegevens, en werk je complianceplan bij. Een overgang van belangrijk naar essentieel brengt ex-ante toezicht en, in België, verplichte conformiteitsbeoordeling met zich mee.