Kernpunt: registratie is een administratieve handeling, geen beveiligingsmaatregel, maar het is wel de handeling die je zichtbaar maakt voor een toezichthouder. Het in beide richtingen fout doen is kostbaar. Registreren onder de verkeerde classificatie roept toezicht op waar je niet klaar voor bent. Helemaal niet registreren houdt je hoe dan ook binnen de reikwijdte, met een extra bevinding die voor een toezichthouder triviaal is om te bewijzen.
De meeste NIS2-programma's beginnen met de beveiligingsmaatregelen uit artikel 21, want daar zit het werk. Registratie wordt behandeld als papierwerk en schuift naar het einde van het plan. Die volgorde is achterstevoren. Registratie is wat je entiteit op de nationale lijst zet, en die nationale lijst bepaalt of een toezichthouder weet dat je bestaat, welk regime op je van toepassing is, en welke autoriteit de eerste brief stuurt.
Dit artikel behandelt de mechanica. Wat de twee registratieplichten zijn en hoe ze verschillen. Welke gegevens elk ervan vraagt. Hoe de jurisdictie wordt bepaald als je in meer dan een lidstaat actief bent. Wat de doorlopende meldplicht voor wijzigingen in de praktijk betekent. En het classificatiewerk dat je moet afronden voordat je ook maar een enkel veld invult.
Er zijn twee registratieplichten, niet een
De verwarring in de meeste bestuurskamers komt doordat NIS2-registratie wordt behandeld als een enkele handeling. Dat is het niet. De richtlijn creëert twee afzonderlijke verplichtingen, en sommige organisaties vallen onder beide.
1. Nationale registratie onder artikel 3(4)
Dit geldt voor elke essentiële en belangrijke entiteit binnen de reikwijdte, in elke sector van bijlage I en bijlage II. Lidstaten moeten entiteiten verplichten identificatie- en contactgegevens in te dienen, zodat een nationale lijst van essentiële en belangrijke entiteiten kan worden opgesteld en bijgehouden. De gegevens gaan naar het orgaan dat de lidstaat daarvoor heeft aangewezen, meestal de bevoegde autoriteit voor jouw sector of het nationale centrale contactpunt.
2. Het register van artikel 27, doorgestuurd naar ENISA
Dit geldt alleen voor een vastgestelde lijst van digitale en ICT-dienstverleners. Hun gegevens worden nationaal verzameld en doorgestuurd naar ENISA, dat een register op Unieniveau bijhoudt. Het doel is anders: dit type entiteiten is doorgaans grensoverschrijdend van aard, dus een enkel register voorkomt de situatie waarin een cloudprovider die elf lidstaten bedient in geen enkele van hun lijsten voorkomt.
De lijst van artikel 27 is specifiek. Ze noemt DNS-dienstverleners, TLD-naamregisters, entiteiten die domeinnaamregistratiediensten aanbieden, aanbieders van clouddiensten, aanbieders van datacenterdiensten, aanbieders van content delivery networks, managed service providers, managed security service providers, en aanbieders van online marktplaatsen, onlinezoekmachines en platforms voor sociale netwerkdiensten. Staat jouw verdienmodel niet op die lijst, dan is artikel 27 niet op jou van toepassing en is nationale registratie je enige registratieplicht.
Het praktische gevolg: een Nederlandse managed service provider met 90 medewerkers heeft beide verplichtingen. Hij registreert zich nationaal als belangrijke entiteit in de sector beheer van ICT-diensten, en zijn gegevens voeden het ENISA-register omdat managed service providers worden genoemd in artikel 27. Een Nederlands ziekenhuis van dezelfde omvang heeft alleen de eerste.
Welke gegevens je daadwerkelijk indient
De richtlijn stelt een minimale gegevensset vast. Lidstaten kunnen en zullen via hun nationale portalen meer vragen, maar elke implementatie omvat ten minste het volgende.
- Naam van de entiteit. De geregistreerde statutaire naam, niet de handelsnaam. Wanneer een groep meerdere juridische entiteiten binnen de reikwijdte heeft, registreert elke entiteit zich afzonderlijk. Dit is het veld dat het vaakst afwijkt van wat de Kamer van Koophandel heeft geregistreerd.
- Adres. Voor de entiteitstypen van artikel 27 is dit het adres van de hoofdvestiging en, waar relevant, van andere juridische vestigingen in de Unie of van de aangewezen vertegenwoordiger in de Unie.
- Actuele contactgegevens. E-mailadressen en telefoonnummers. Gebruik een gemonitorde functionele mailbox, geen naam van een individu. Een brief van de toezichthouder die belandt in de mailbox van iemand die twee jaar geleden is vertrokken, telt nog steeds als afgeleverd.
- Sector en subsector. De van toepassing zijnde categorie uit bijlage I of bijlage II, plus het type entiteit. Dit ene veld bepaalt welke bevoegde autoriteit toezicht op je houdt en, in de meeste lidstaten, welke sectorale richtsnoeren je geacht wordt te volgen.
- Lidstaten waarin je actief bent. Waar van toepassing, de lijst van lidstaten waarin je diensten levert die binnen de reikwijdte van de richtlijn vallen. Dit stuurt de grensoverschrijdende samenwerking tussen toezichthouders.
- IP-bereiken. Onderdeel van de contactgegevensset, en ook vereist voor het register van artikel 27. Dit bestaat zodat CSIRT's waargenomen activiteit kunnen toeschrijven aan een bekende entiteit en die kunnen waarschuwen, wat oprecht nuttig is en de moeite waard om accuraat te houden.
- Type entiteit. Een extra veld in de gegevensset van artikel 27, dat bijvoorbeeld een aanbieder van clouddiensten onderscheidt van een aanbieder van datacenterdiensten.
Welke lidstaat, en de regel van de hoofdvestiging
Artikel 26 beantwoordt de jurisdictievraag. De standaardregel is eenvoudig: een entiteit valt onder de jurisdictie van de lidstaat waar ze gevestigd is. Ben je een fabrikant met een fabriek in Nederland, dan registreer je je bij de Nederlandse autoriteit en is er verder niets om over na te denken.
Voor de entiteitstypen van artikel 27 verandert de regel naar hoofdvestiging. De hoofdvestiging is normaliter de plaats waar beslissingen over maatregelen voor cyberbeveiligingsrisicobeheer overwegend worden genomen. Kan dat niet worden vastgesteld, dan is de terugvaloptie de vestiging waar de cyberbeveiligingsactiviteiten worden uitgevoerd, en anders de vestiging met het hoogste aantal werknemers in de Unie. Het doel van deze cascade is om een grensoverschrijdende cloud- of managed service provider precies een leidende toezichthouder te geven in plaats van zevenentwintig.
Twee randgevallen verdienen aandacht. Aanbieders van openbare elektronische communicatienetwerken en openbaar beschikbare elektronischecommunicatiediensten vallen onder de jurisdictie van elke lidstaat waar zij hun diensten leveren, wat een ruimere toets is dan hoofdvestiging. En entiteiten die niet in de Unie zijn gevestigd maar er wel diensten binnen de reikwijdte aanbieden, moeten een vertegenwoordiger in de Unie aanwijzen, gevestigd in een van de lidstaten waar de diensten worden aangeboden. Die vertegenwoordiger is het aanspreekpunt voor toezicht, en de entiteit valt onder de jurisdictie van die lidstaat.
Classificeer voordat je registreert
Bij registratie moet je je sector opgeven en, op de meeste nationale portalen, je classificatie als essentieel of belangrijk. Beantwoord die vraag zorgvuldig voordat je het formulier opent, want het antwoord bepaalt je toezichtregime.
Essentiële entiteiten staan onder ex ante toezicht op grond van artikel 32. Dat betekent inspecties ter plaatse, toezicht op afstand inclusief steekproeven, reguliere en gerichte beveiligingsaudits, ad-hocaudits, beveiligingsscans, en verzoeken om informatie en bewijs, ongeacht of er iets is misgegaan. Belangrijke entiteiten staan onder ex post toezicht op grond van artikel 33: de autoriteit treedt op wanneer ze bewijs of een aanwijzing van niet-naleving heeft. Ook de maximale bestuurlijke boetes verschillen: minimaal tien miljoen euro of twee procent van de totale wereldwijde jaaromzet voor essentiële entiteiten, en minimaal zeven miljoen euro of 1,4 procent voor belangrijke entiteiten, in beide gevallen het hoogste bedrag.
Het algemene patroon is dat grote entiteiten in sectoren van bijlage I essentieel zijn, middelgrote entiteiten van bijlage I en entiteiten van bijlage II belangrijk zijn, en een reeks specifieke gevallen in artikel 3(1) essentieel zijn ongeacht de omvang. Trustdienstverleners, TLD-naamregisters, DNS-dienstverleners en bepaalde overheidsinstanties vallen in die laatste groep. De omvang wordt gemeten met de criteria uit de bijlage bij Aanbeveling 2003/361/EG van de Commissie, die het personeelsbestand meeweegt naast omzet en balanstotaal, en gelieerde en partnerondernemingen meetelt. Dat laatste is wat een dochteronderneming van 30 medewerkers van een grote groep binnen de reikwijdte trekt.
Checklist voorafgaand aan registratie
- Een schriftelijke reikwijdtebepaling per juridische entiteit, met de aangehaalde categorie uit bijlage I of II en de zichtbare omvangsberekening, inclusief gelieerde en partnerondernemingen.
- Een classificatiebesluit, essentieel of belangrijk, goedgekeurd door het bestuursorgaan in plaats van aangenomen door het securityteam.
- Een gemonitorde functionele mailbox en telefoonnummer die over drie jaar nog werken, met een aangewezen eigenaar en een plaatsvervanger.
- De lijst van lidstaten waar diensten binnen de reikwijdte worden geleverd, afgestemd met sales en legal in plaats van geschat door IT.
- De actuele IP-bereiken, geëxporteerd uit de bronregistratie, met een eigenaar die verantwoordelijk is voor het actueel houden ervan.
- Een analyse van de hoofdvestiging als je grensoverschrijdend actief bent, met documentatie over waar beslissingen over cyberbeveiligingsrisicobeheer overwegend worden genomen.
- Een lijst met wijzigingstriggers die is verankerd in legal, HR en netwerkoperaties, zodat de tweewekentermijn voor melding daadwerkelijk start zodra er iets verandert.
De tweewekenregel voor wijzigingen
Registratie is geen eenmalige actie. Entiteiten moeten wijzigingen in de ingediende gegevens onverwijld melden, en in ieder geval binnen twee weken nadat de wijziging is ingegaan. De meeste organisaties registreren zich eenmalig, archiveren de bevestiging en denken er nooit meer aan. Twee jaar later is het adres een voormalig kantoor, is het contact een oud-medewerker, en klopt de sectorcode niet meer met wat het bedrijf doet.
De oplossing is onspectaculair en kost een middag. Leg vast welke gebeurtenissen registratiegegevens veranderen, en koppel de meldstap aan het proces dat elke gebeurtenis al afhandelt. Een verhuizing van het statutaire kantoor is een legal- en facilitair proces. Een wijziging van het securitycontact is een HR-uitdiensttredingsproces. Een nieuwe lidstaat waarin je actief bent, is een sales- of contractmijlpaal. Een nieuw IP-blok is een netwerkwijzigingsregistratie. Geen van deze heeft een nieuw proces nodig, ze hebben een extra regel nodig in een bestaand proces.
Veelvoorkomende registratiefouten
- De groep registreren, niet de entiteit. De reikwijdte geldt per juridische entiteit. Een registratie van de holding dekt de operationele dochterondernemingen niet, en een toezichthouder leest het register op entiteitsniveau.
- Gokken naar de sectorcode. Sommige bedrijven vallen oprecht onder twee categorieën van de bijlage. Kies weloverwogen, documenteer de redenering en wees klaar om die te verdedigen. Een willekeurige keuze wordt een geloofwaardigheidsprobleem zodra een toezichthouder vraagt waarom.
- Belangrijk opgeven terwijl de omvangstoets essentieel aangeeft. Dit lijkt op een kleine besparing en leest later als een poging om ex ante toezicht te ontlopen. Herbereken de cijfers voor personeelsbestand en omzet inclusief gelieerde en partnerondernemingen voordat je beslist.
- Een persoonlijke mailbox gebruiken als contact. Correspondentie van de toezichthouder, CSIRT-waarschuwingen en opvolging van incidenten komen allemaal binnen op het geregistreerde adres. Een persoonlijke mailbox maakt van een urgente waarschuwing een out-of-office-reactie.
- Registratie behandelen als bewijs van naleving. Het is bewijs van bestaan. Op de lijst staan zonder dat de maatregelen van artikel 21 zijn ingevoerd, betekent alleen dat de autoriteit nu precies weet waar ze moet kijken.
- De vertegenwoordiger in de Unie vergeten. Niet-EU-entiteiten die diensten binnen de reikwijdte aanbieden in de Unie hebben er een nodig, en de aanwijzing moet echt zijn, geen naam op een formulier.
Wat er gebeurt nadat je je hebt geregistreerd
Registratie brengt je in de toezichtworkflow. Verwacht op termijn drie dingen. Ten eerste correspondentie: sectorrichtsnoeren, vragenlijsten, en in sommige lidstaten een verzoek om zelfevaluatie in het eerste jaar. Ten tweede CSIRT-contact: waarschuwingen over kwetsbaarheden en waargenomen activiteit die relevant zijn voor jouw sector of je geregistreerde IP-bereiken. Ten derde de mogelijkheid van een toezichtactie, die voor essentiële entiteiten geen voorafgaande aanwijzing van een probleem vereist.
Organisaties die dit goed aanpakken behandelen het registratiegegeven als de voorpagina van hun dossier voor naleving. Het register zegt wat je bent. Het bewijsdossier moet hetzelfde zeggen, in dezelfde woorden, met dezelfde entiteitsnamen, dezelfde sector en dezelfde diensten. Waar deze twee documenten van elkaar verschillen, is dat verschil de eerste vraag die je krijgt.
Veelgestelde vragen
Moet ik mijn organisatie registreren onder NIS2?
Ja, als je een essentiële of belangrijke entiteit bent binnen de reikwijdte. Artikel 3(4) van de richtlijn verplicht lidstaten om entiteiten binnen de reikwijdte identificatie- en contactgegevens te laten indienen, zodat de nationale lijst van essentiële en belangrijke entiteiten kan worden opgebouwd. Registratie is een aparte verplichting naast het invoeren van de beveiligingsmaatregelen van artikel 21, en het is meestal het eerste wat een toezichthouder controleert.
Wat is het verschil tussen nationale registratie en het ENISA-register?
Nationale registratie onder artikel 3(4) geldt voor alle entiteiten binnen de reikwijdte en gaat naar de bevoegde autoriteit of het centrale contactpunt in je lidstaat. Het register van artikel 27 is beperkter: het omvat een specifieke lijst van digitale en ICT-dienstverlenertypen, en hun gegevens worden doorgestuurd naar ENISA zodat er een register op Unieniveau bestaat. Entiteiten op die lijst kunnen met beide verplichtingen te maken krijgen.
Welke entiteitstypen moeten gegevens indienen voor het ENISA-register?
Artikel 27 noemt DNS-dienstverleners, TLD-naamregisters, entiteiten die domeinnaamregistratiediensten aanbieden, aanbieders van clouddiensten, aanbieders van datacenterdiensten, aanbieders van content delivery networks, managed service providers, managed security service providers, en aanbieders van online marktplaatsen, onlinezoekmachines en platforms voor sociale netwerkdiensten.
Welke gegevens vereist NIS2-registratie?
Op zijn minst: de naam van de entiteit, adres en actuele contactgegevens inclusief e-mailadressen, IP-bereiken en telefoonnummers, de relevante sector en subsector uit bijlage I of II, en, waar van toepassing, de lijst van lidstaten waar de entiteit diensten binnen de reikwijdte levert. Het register van artikel 27 voegt daar het type entiteit aan toe en het adres van de hoofdvestiging of van de vertegenwoordiger in de Unie.
In welke lidstaat registreer ik me als ik EU-breed actief ben?
De standaardregel in artikel 26 is dat een entiteit valt onder de jurisdictie van de lidstaat waar ze gevestigd is. Voor de digitale en ICT-aanbiedertypen uit artikel 27 volgt de jurisdictie de hoofdvestiging, normaliter de plaats waar beslissingen over maatregelen voor cyberbeveiligingsrisicobeheer overwegend worden genomen. Entiteiten buiten de Unie die diensten binnen de reikwijdte aanbieden in de Unie moeten een vertegenwoordiger in de Unie aanwijzen.
Hoe snel moet ik een wijziging in mijn registratiegegevens melden?
De richtlijn verplicht entiteiten om wijzigingen onverwijld te melden, en in ieder geval binnen twee weken nadat de wijziging is ingegaan. In de praktijk gaat het om adreswijzigingen, fusies, een nieuw securitycontact, een nieuwe lidstaat waarin je actief bent, en wijzigingen in je IP-bereiken.
Wat gebeurt er als ik me niet registreer?
Niet registreren haalt je niet buiten de reikwijdte. De reikwijdte volgt de sector- en omvangscriteria uit artikel 2, niet het register. Een niet-geregistreerde entiteit binnen de reikwijdte is een niet-naleving, en omdat registratiegegevens goedkoop te controleren zijn tegen handelsregisters, is dit een van de makkelijkste bevindingen voor een toezichthouder.
Niet zeker welke registratieplichten voor jou gelden?
Wij voeren reikwijdte- en classificatiebepalingen uit die standhouden tegenover een toezichthouder: de entiteitenlijst, de omvangsberekening, de koppeling aan de bijlage, de jurisdictie-analyse, en de registratiegegevensset klaar om in te dienen.
Boek een reikwijdte- en registratiereview