De sectorlijst komt rechtstreeks uit de Europese NIS2-richtlijn en is in de Cyberbeveiligingswet overgenomen. De lijst is lang, maar het onderscheid is overzichtelijk: er zijn hoogkritieke sectoren ("essentieel") en kritieke sectoren ("belangrijk"), en er geldt een ondergrens op omvang.
Welke sectoren zijn essentieel?
De hoogkritieke sectoren uit bijlage I van de richtlijn:
- energie (elektriciteit, gas, olie, warmte, waterstof)
- vervoer (lucht, spoor, water, weg)
- bankwezen en financiële marktinfrastructuur
- gezondheidszorg, inclusief laboratoria en fabrikanten van medische hulpmiddelen die kritiek zijn tijdens een noodsituatie
- drinkwater en afvalwater
- digitale infrastructuur (datacenters, cloudaanbieders, DNS, internetknooppunten)
- beheer van ICT-diensten voor zakelijke klanten, zoals managed serviceproviders
- overheid
- ruimtevaart
Welke sectoren zijn belangrijk?
De kritieke sectoren uit bijlage II:
- post- en koeriersdiensten
- afvalstoffenbeheer
- chemie (productie en distributie)
- levensmiddelen (productie, verwerking en distributie)
- vervaardiging: medische hulpmiddelen, elektronica, machines, transportmiddelen
- digitale aanbieders: onlinemarktplaatsen, zoekmachines, sociale netwerken
- onderzoeksorganisaties
Voor de zorgplicht maakt het onderscheid weinig uit; essentiële entiteiten staan vooral onder strenger toezicht vooraf.
Geldt er een ondergrens op bedrijfsomvang?
Ja. Als hoofdregel valt een organisatie pas onder de wet vanaf vijftig medewerkers óf tien miljoen euro jaaromzet. Daaronder blijft de wet meestal buiten beeld, met uitzonderingen voor partijen die in hun eentje kritiek zijn, zoals aanbieders van DNS-diensten of partijen die als enige een essentiële dienst in een regio leveren.
Mijn sector staat er niet in. Ben ik dan klaar?
Nee, en dat is precies waarom deze wet zoveel bedrijven raakt. Wie er wél onder valt, moet de beveiliging van zijn hele toeleveringsketen aantoonbaar beoordelen. Een machinebouwer die aan een energiebedrijf levert, een schoonmaakbedrijf in een ziekenhuis, een softwarebureau met een gemeente als klant: zij vallen zelf nergens onder en krijgen de eisen toch op hun bord, via de vragenlijst van hun klant.
Of u nu wel of niet in de lijst staat: de vragen die u kunt verwachten gaan over de tien zorgplichtmaatregelen. Met de gratis scan ziet u in tien minuten waar u staat.