Onder de NIS2-richtlijn vallen organisaties in twee categorieën: essentiële entiteiten en belangrijke entiteiten. Het verschil zit in de omvang van de organisatie, de sector waarin ze actief zijn, en de mate van toezicht die de toezichthouder uitoefent. Essentiële entiteiten staan onder strenger en actiever toezicht; voor belangrijke entiteiten geldt een lichtere toezichtsvariant, maar de beveiligingsverplichtingen zijn grotendeels gelijk. In dit artikel beantwoorden we de meest gestelde vragen over dit onderscheid, zodat jij weet waar jouw bedrijf staat.
Welke criteria bepalen of een bedrijf essentieel of belangrijk is?
Of een bedrijf als essentieel of belangrijk wordt aangemerkt, hangt af van twee factoren: de sector waarin het actief is en de omvang van de organisatie. Grote organisaties in kritieke sectoren zoals energie, transport, drinkwater, gezondheidszorg en digitale infrastructuur vallen doorgaans in de categorie essentieel. Middelgrote organisaties in diezelfde sectoren, of grote organisaties in aanverwante sectoren, worden als belangrijk aangemerkt.
Concreet gelden de volgende drempelwaarden:
- Essentieel: meer dan 250 medewerkers of een jaaromzet boven de 50 miljoen euro én een balanstotaal boven de 43 miljoen euro, actief in een hoogrisicosector
- Belangrijk: meer dan 50 medewerkers of een jaaromzet boven de 10 miljoen euro, actief in een sector die onder de richtlijn valt
Sommige organisaties worden ongeacht hun omvang als essentieel aangemerkt, omdat hun dienstverlening zo kritiek is dat uitval directe maatschappelijke gevolgen heeft. Denk aan aanbieders van kritieke digitale infrastructuur of bepaalde overheidsdiensten. Voor MKB-bedrijven is de categorie “belangrijk” het meest relevant, maar het is geen vrijblijvende status.
| Afspraak maken |
Wat zijn de concrete verschillen in verplichtingen tussen beide categorieën?
De beveiligingsverplichtingen voor essentiële en belangrijke entiteiten zijn inhoudelijk vrijwel identiek. Beide categorieën moeten risicobeoordelingen uitvoeren, technische beveiligingsmaatregelen implementeren, incidenten melden en beleid voeren op het gebied van continuïteit. Het verschil zit niet in wat je moet doen, maar in hoe streng je daarop wordt gecontroleerd.
Toezicht op essentiële entiteiten
Essentiële entiteiten vallen onder actief, proactief toezicht. De toezichthouder kan op eigen initiatief controles uitvoeren, audits opleggen en inspecties aankondigen zonder dat er eerst een incident heeft plaatsgevonden. Bestuurders kunnen persoonlijk aansprakelijk worden gesteld als blijkt dat zij onvoldoende betrokken waren bij het beveiligingsbeleid.
Toezicht op belangrijke entiteiten
Belangrijke entiteiten vallen onder reactief toezicht. Dat betekent dat de toezichthouder pas in actie komt als er een melding binnenkomt, een incident plaatsvindt of er signalen zijn van niet-naleving. Dit klinkt milder, maar de sancties bij geconstateerde overtredingen zijn vergelijkbaar: boetes tot 7 miljoen euro of 1,4% van de wereldwijde jaaromzet voor belangrijke entiteiten, en tot 10 miljoen euro of 2% voor essentiële entiteiten.
Hoe weet een MKB-bedrijf in welke categorie het valt?
Een MKB-bedrijf bepaalt zijn categorie door twee stappen te doorlopen: eerst checken of de sector onder NIS2 valt, dan toetsen of de organisatie de drempelwaarden voor omvang overschrijdt. Valt je sector op de lijst en tel je meer dan 50 medewerkers of haal je meer dan 10 miljoen euro omzet, dan ben je in principe een “belangrijke entiteit” onder de Cyberbeveiligingswet.
De sectoren die onder NIS2 vallen, zijn onder andere:
- Gezondheidszorg en medische hulpmiddelen
- Transport en logistiek
- Voedselproductie en -distributie
- Maakindustrie van kritieke producten
- Afvalbeheer
- Digitale dienstverleners en ICT-beheer
- Zakelijke dienstverlening in de keten van essentiële organisaties
De zelfevaluatietools van de overheid geven helaas geen definitief antwoord. Ze helpen je richting bepalen, maar de uiteindelijke indeling is een combinatie van sectorinterpretatie en organisatieomvang. Een security baseline beoordeling door een gespecialiseerde IT-partner helpt je die vertaalslag te maken van wetgeving naar de concrete situatie.
Geldt de indeling ook voor toeleveranciers en ketenpartners?
Ja, de ketenverantwoordelijkheid is een van de belangrijkste uitbreidingen van NIS2 ten opzichte van de vorige richtlijn. Essentiële en belangrijke entiteiten zijn verplicht om de cybersecurityrisico’s in hun toeleveringsketen te beheersen. Dat betekent dat zij van hun leveranciers en ketenpartners mogen eisen dat die aantoonbaar veilig werken, ook als die partners zelf formeel niet onder NIS2 vallen.
In de praktijk betekent dit dat kleinere bedrijven die leveren aan een ziekenhuis, een gemeente of een grote logistieke dienstverlener, steeds vaker te maken krijgen met vragen over hun beveiligingsniveau. Opdrachtgevers gaan dit als contractvoorwaarde stellen. Wie dan geen antwoord heeft, verliest de opdracht. De indeling in essentieel of belangrijk bepaalt dus niet alleen je eigen verplichtingen, maar ook je positie als leverancier in de keten.
TCA begeleidt organisaties bij het in kaart brengen van deze ketenrisico’s en helpt bij het opstellen van de juiste afspraken met toeleveranciers. Als managed IT-partner denken we mee over beleid, niet alleen over techniek.
| Afspraak maken |
Wat gebeurt er als een bedrijf zichzelf verkeerd indeelt?
Als een bedrijf zichzelf ten onrechte als niet-van-toepassing of als een lagere categorie indeelt, loopt het risico op handhaving zodra de toezichthouder dit constateert. De toezichthouder kan dan alsnog maatregelen opleggen, een hersteltermijn instellen én een boete uitschrijven voor de periode van niet-naleving. Onwetendheid is geen juridische rechtvaardiging.
Bovendien legt de Cyberbeveiligingswet de verantwoordelijkheid expliciet bij het bestuur. Als een directeur of eigenaar aantoont dat hij of zij geen stappen heeft ondernomen om de toepasselijkheid van de wet te beoordelen, kan dat persoonlijke aansprakelijkheid opleveren. Dit is geen theoretisch risico: de wetgever heeft bewust gekozen voor bestuurdersaansprakelijkheid om naleving af te dwingen.
De veiligste aanpak is een gedocumenteerde beoordeling: je hebt actief onderzocht of je onder de wet valt, op basis van welke criteria je tot een conclusie bent gekomen, en welke maatregelen je hebt getroffen. Dat dossier beschermt je bij een eventuele controle. TCA is ISO 27001 gecertificeerd en helpt organisaties bij het opzetten van precies zo’n gedocumenteerd compliance-traject, van nulmeting tot doorlopend beheer.
Wil je weten waar jouw organisatie nu staat op het gebied van cybersecurity en NIS2-gereedheid? Vraag een gratis securitycheck aan via tca.nl en ontvang binnen 48 uur een persoonlijk rapport. Geen verplichtingen, wel direct inzicht.
Gerelateerde artikelen
- Wat zijn de beste werkwijzen op het gebied van cyberbeveiliging?
- Wat zijn de vereisten voor toegang op afstand in NIS2?
- Hoe lang duurt een migratie naar Microsoft 365 Business gemiddeld?
- Hoe vraag ik mijn toeleveranciers om NIS2-compliance aan te tonen?
- Wat kost Microsoft 365 Business per medewerker per maand in 2026?