NIS2 scope check
Beantwoord vier korte vragen en zie of je organisatie onder NIS2 valt als essentiële entiteit, als belangrijke entiteit, of helemaal niet. Vanaf 15 augustus 2026 geldt in Nederland de Cyberbeveiligingswet, die dezelfde scoperegels volgt.
In welke sector is je organisatie actief?
Kies de sector uit bijlage I (essentieel) of bijlage II (belangrijk) die het dichtst bij je hoofdactiviteit ligt.
Wat elke uitkomst betekent
De check hierboven combineert vier antwoorden: sector, omvang, activiteit in de EU en kritikaliteit. Hieronder staan de uitkomsten die eruit kunnen komen en de drempels die eronder liggen, zodat je de logica kunt lezen zonder de tool te doorlopen.
Wanneer is een organisatie een essentiële entiteit onder NIS2?
Een organisatie is een essentiële entiteit als ze actief is in de EU, werkt in een van de sectoren uit bijlage I, en middelgroot of groot is.
De sectoren uit bijlage I zijn energie, transport, bankwezen, infrastructuur voor de financiële markt, gezondheidszorg, drinkwater, afvalwater, digitale infrastructuur, ICT-dienstenbeheer (business-to-business), openbaar bestuur en ruimtevaart. Middelgroot of groot betekent 50 fte of meer, of een omzet van €10 mln of meer, bepaald volgens aanbeveling 2003/361/EG van de Commissie.
Een essentiële entiteit krijgt proactief toezicht van de nationale bevoegde autoriteit, moet de maatregelen voor risicobeheer uit artikel 21 nemen, moet incidenten melden onder artikel 23 met een vroege waarschuwing binnen 24 uur, riskeert bestuurlijke boetes van minstens €10 miljoen of 2% van de wereldwijde jaaromzet, het hoogste van de twee, en de leden van het bestuursorgaan zijn persoonlijk aansprakelijk onder artikel 20.
Wanneer is een organisatie een belangrijke entiteit onder NIS2?
Een organisatie is een belangrijke entiteit als ze actief is in de EU, werkt in een van de sectoren uit bijlage II, en middelgroot of groot is.
De sectoren uit bijlage II zijn post- en koeriersdiensten, afvalbeheer, productie en distributie van chemische stoffen, productie, verwerking en distributie van levensmiddelen, vervaardiging van medische hulpmiddelen, vervaardiging van computers, elektronische en optische producten, vervaardiging van elektrische apparatuur, vervaardiging van machines en apparaten elders niet ingedeeld, vervaardiging van motorvoertuigen, aanhangwagens en opleggers, vervaardiging van ander transportmaterieel, digitale aanbieders zoals online marktplaatsen, zoekmachines en sociale platforms, en onderzoek. De drempel voor de omvang is dezelfde als bij essentiële entiteiten.
Een belangrijke entiteit krijgt reactief toezicht achteraf, dezelfde maatregelen voor risicobeheer uit artikel 21, de meldplicht uit artikel 23, bestuurlijke boetes van minstens €7 miljoen of 1,4% van de wereldwijde jaaromzet, het hoogste van de twee, en persoonlijke aansprakelijkheid van leden van het bestuursorgaan onder artikel 20. Het werk dat erbij komt kijken is vergelijkbaar met dat van een essentiële entiteit. Alleen het toezichtregime en het boeteplafond verschillen.
Wanneer valt een organisatie buiten de scope van NIS2?
Er zijn twee routes naar buiten de scope.
De eerste is geografisch. NIS2 geldt voor entiteiten die in de Europese Unie actief zijn of daar diensten leveren, dus een organisatie zonder activiteiten en zonder diensten in de EU valt er niet rechtstreeks onder. Beveiligingseisen via het contract kunnen er alsnog komen, van EU-klanten die hun ketenverplichtingen onder artikel 21 doorgeven.
De tweede is omvang. NIS2 geldt in de regel voor middelgrote en grote organisaties, dus een kleine entiteit, minder dan 50 fte en een omzet onder €10 mln, die geen kritieke dienst levert valt er meestal buiten. Een lidstaat mag specifieke kleine entiteiten alsnog aanwijzen.
Wat als je sector niet in bijlage I of bijlage II staat?
Dan is de uitkomst een grensgeval. Een sector die niet op de lijst van bijlage I of II staat valt er niet automatisch buiten, want nationale omzettingswetten kunnen de scope uitbreiden en lidstaten mogen entiteiten aanwijzen die buiten de standaardlijst vallen. Dit is een geval om voor te leggen aan een expert in plaats van af te lezen uit een tabel.
Valt een kleine organisatie die een kritieke dienst levert onder NIS2?
Dan is de uitkomst een grensgeval. Een kleine entiteit die een kritieke dienst levert kan door een lidstaat worden aangewezen, en andersom kunnen bepaalde middelgrote en grote entiteiten juist een uitzondering krijgen. Kritiek betekent hier dat een verstoring van de dienst een aanzienlijke impact zou hebben op de openbare veiligheid, de veiligheid of de economische activiteit in de EU.