Welke bedrijven vallen onder de NIS2-verplichting?

De wetgeving maakt een onderscheid tussen essentiële en belangrijke sectoren. Hieronder vind je een overzicht van de sectoren zoals ze door de Europese Commissie zijn vastgelegd:

Zowel in essentiële als belangrijke sectoren geldt NIS2 vooral voor middelgrote en grote bedrijven (≥50 werknemers of ≥ €10 miljoen omzet). In uitzonderlijke gevallen kunnen ook kleinere organisaties onder NIS2 vallen, bijvoorbeeld wanneer ze een kritieke rol spelen of expliciet als belangrijk worden aangeduid. Werk je samen met een NIS2-plichtige organisatie, dan kan je bovendien indirect met dezelfde eisen geconfronteerd worden via contracten en audits.

Waarom zijn kleine bedrijven vaak nog niet bezig met NIS2?

Omdat NIS2 vooral van toepassing is op bedrijven met meer dan 50 werknemers of een omzet van meer dan €10 miljoen per jaar, zijn veel kleinere organisaties er nog niet mee bezig. Cybersecurity krijgt vaak pas prioriteit wanneer er een concrete verplichting of aanleiding is. Maar die redenering houdt geen rekening met hoe snel een bedrijf kan groeien of veranderen. Wat vandaag nog niet geldt, kan morgen ineens wél relevant zijn.

In welke situaties kan je plots wél onder NIS2 vallen?

Er zijn verschillende scenario’s waarin bedrijven sneller dan verwacht met NIS2 geconfronteerd worden. Die hebben vaak te maken met groei, samenwerking of strategische keuzes.

1. Je groeit sneller dan verwacht

Groei is positief, maar brengt ook nieuwe verantwoordelijkheden met zich mee. Wanneer je organisatie uitbreidt in personeel of omzet, kan je relatief snel boven de drempelwaarden uitkomen. Zeker bij scale-ups gebeurt dat vaak in een korte periode.

Veel bedrijven investeren eerst in sales, operations of productontwikkeling. Cybersecurity volgt pas later, waardoor er een kloof ontstaat net op het moment dat strengere verwachtingen beginnen te gelden.

2. Je krijgt een klant die NIS2-plichtig is

Ook zonder zelf onder NIS2 te vallen, kan je er indirect mee te maken krijgen via je klanten. Organisaties die wél onder de NIS2-richtlijn vallen, zijn namelijk verplicht om hun toeleveringsketen beter te beveiligen. Dat betekent concreet dat ze ook naar hun leveranciers kijken. In de praktijk vertaalt zich dat naar:

• Securityvragenlijsten tijdens salestrajecten
• Strengere contractvoorwaarden
• Audits of controles

Security wordt dus ook een contractvoorwaarde. Als je niet in orde bent, heb je een competitief nadeel tegenover concurrenten die wel in orde zijn.

3. Je activiteiten evolueren richting een kritieke sector

Je hoeft geen energiebedrijf of ziekenhuis te zijn om binnen de scope te vallen. Ook bedrijven die diensten leveren aan deze sectoren, of er nauwer mee gaan samenwerken, kunnen onder een ander vergrootglas terechtkomen. Denk bijvoorbeeld aan:

• Softwarebedrijven die oplossingen ontwikkelen voor de zorgsector
• IT-partners die infrastructuur ondersteunen in logistiek of industrie
• Organisaties die gevoelige data beginnen verwerken

Een relatief kleine strategische verschuiving kan al voldoende zijn om in een context terecht te komen waar strengere eisen gelden.

4. Je wordt onderdeel van een grotere groep

Bij een overname of fusie verandert je positie vaak sneller dan je verwacht. Wanneer je deel gaat uitmaken van een grotere organisatie die wél onder NIS2 valt, wordt het logisch dat security en compliance over de volledige groep worden afgestemd. Dat betekent dat ook jouw organisatie moet voldoen aan bepaalde standaarden, zelfs als die voordien niet van toepassing waren.

5. Je breidt uit naar andere landen

Internationale groei brengt extra complexiteit met zich mee. Hoewel de NIS2-richtlijn een Europese richtlijn is, wordt ze op nationaal niveau geïmplementeerd. Dat betekent dat er verschillen kunnen zijn in interpretatie, controle en handhaving. Voor bedrijven die actief worden in meerdere landen kan dat leiden tot:

• Strengere lokale verwachtingen
• Bijkomende controles
• Hogere eisen van internationale klanten

Wat in België vandaag nog geen verplichting is, kan in een ander land sneller een vereiste worden.

Waarom je beter nu al start met de implementatie van NIS2

Veel bedrijven zien NIS2 nog niet als urgent, vooral als ze vandaag onder de drempelwaarden blijven. Maar wachten tot het verplicht wordt, kan grote gevolgen hebben:

• Contracten mislopen: klanten verwachten dat je security op orde is.
• Extra audits en controles: NIS2-plichtige organisaties toetsen hun leveranciers streng.
• Last-minute maatregelen: alles ineens op orde brengen kost tijd, geld en stress.

Door nu alvast te starten met een NIS2 audit, profiteer je van een voorsprong:

• Inzicht in je huidige securityniveau: weet waar je staat voordat het dringend wordt.
• Risico’s identificeren: ontdek de grootste aandachtspunten voor jouw organisatie.
• Prioriteiten stellen: plan je verbeteringen in fases, zodat je niet onder druk hoeft te handelen.
• Vertrouwen bij klanten vergroten: laat zien dat je proactief met security en compliance omgaat.

VanRoey kan je daarbij ondersteunen. Met een NIS2 readiness audit brengen we snel je huidige situatie in kaart, identificeren we de belangrijkste verbeterpunten en helpen we je stap voor stap op weg naar volledige compliance.