De sectorlijst komt rechtstreeks uit de Europese NIS2-richtlijn en is in de Cyberbeveiligingswet overgenomen. De lijst is lang, maar het onderscheid is overzichtelijk: er zijn hoogkritieke sectoren ("essentieel") en kritieke sectoren ("belangrijk"), en er geldt een ondergrens op omvang.
Welke sectoren zijn essentieel?
De hoogkritieke sectoren uit bijlage I van de richtlijn:
- energie (elektriciteit, gas, olie, warmte, waterstof)
- vervoer (lucht, spoor, water, weg)
- bankwezen en financiële marktinfrastructuur
- gezondheidszorg, inclusief laboratoria en fabrikanten van medische hulpmiddelen die kritiek zijn tijdens een noodsituatie
- drinkwater en afvalwater
- digitale infrastructuur (datacenters, cloudaanbieders, DNS, internetknooppunten)
- beheer van ICT-diensten voor zakelijke klanten, zoals managed serviceproviders
- overheid
- ruimtevaart
Welke sectoren zijn belangrijk?
De kritieke sectoren uit bijlage II:
- post- en koeriersdiensten
- afvalstoffenbeheer
- chemie (productie en distributie)
- levensmiddelen (productie, verwerking en distributie)
- vervaardiging: medische hulpmiddelen, elektronica, machines, transportmiddelen
- digitale aanbieders: onlinemarktplaatsen, zoekmachines, sociale netwerken
- onderzoeksorganisaties
Voor de zorgplicht maakt het onderscheid weinig uit; essentiële entiteiten staan vooral onder strenger toezicht vooraf.
Geldt er een ondergrens op bedrijfsomvang?
Ja. Als hoofdregel valt een organisatie pas onder de wet vanaf vijftig medewerkers óf tien miljoen euro jaaromzet. Daaronder blijft de wet meestal buiten beeld, met uitzonderingen voor partijen die in hun eentje kritiek zijn, zoals aanbieders van DNS-diensten of partijen die als enige een essentiële dienst in een regio leveren.
Wat is het verschil tussen essentieel en belangrijk?
Niet de zorgplicht. Beide groepen moeten dezelfde tien maatregelen nemen; het verschil zit in het toezicht en in de sanctie. Bij essentiële entiteiten mag de toezichthouder ook zonder aanleiding langskomen: audits, inspecties en beveiligingsscans vooraf. Bij belangrijke entiteiten gebeurt dat in beginsel pas als er een aanwijzing is dat het misgaat, dus achteraf.
Ook de boetemaxima verschillen. De richtlijn noemt voor essentiële entiteiten tot tien miljoen euro of twee procent van de wereldwijde jaaromzet, en voor belangrijke entiteiten tot zeven miljoen euro of 1,4 procent.
Voor u als leverancier maakt het onderscheid vooral uit in toon en tempo. Een essentiële klant heeft een toezichthouder die ongevraagd kan vragen hoe de ketenbeoordeling eruitziet, en die klant heeft uw antwoord dus eerder nodig, completer, en vaker opnieuw.
Ik lever aan een klant die er wel onder valt. Sta ik dan in de wet?
Nee. Er bestaat geen categorie "leverancier van een essentiële entiteit" in de wet. U staat er niet in, u wordt niet geregistreerd, en de toezichthouder heeft geen bevoegdheden richting u.
Wat er wel gebeurt: uw klant moet de risico's van zijn leveranciers meewegen, en dat vertaalt zich in eisen die hij zelf formuleert. Hoe kritischer uw dienst voor zijn primaire proces, hoe zwaarder die eisen uitvallen. Een partij met beheertoegang tot zijn systemen krijgt een ander gesprek dan een partij die kantoorartikelen levert. Zie ook uw eigen leveranciers beoordelen: dezelfde redenering geldt een schakel verderop, en die vraag komt bij u terug.
Mijn sector staat er niet in. Ben ik dan klaar?
Nee, en dat is precies waarom deze wet zoveel bedrijven raakt. Wie er wél onder valt, moet de beveiliging van zijn hele toeleveringsketen aantoonbaar beoordelen. Een machinebouwer die aan een energiebedrijf levert, een schoonmaakbedrijf in een ziekenhuis, een softwarebureau met een gemeente als klant: zij vallen zelf nergens onder en krijgen de eisen toch op hun bord, via de vragenlijst van hun klant.
Hoe weet ik of mijn klant eronder valt?
Meestal doordat hij het u vertelt, want dat is nu juist de reden dat er een vragenlijst komt. Wilt u het van tevoren inschatten, dan zijn twee vragen genoeg: staat de hoofdactiviteit van uw klant in een van de lijsten hierboven, en heeft hij vijftig medewerkers of meer? Twee keer ja betekent vrijwel zeker ja.
Twijfelgevallen zijn er ook. Een organisatie kan onder de wet vallen voor een deel van haar activiteiten en niet voor de rest, en er zijn partijen die ongeacht hun omvang meetellen omdat ze in hun eentje kritiek zijn. Ga er in de tussentijd niet van uit dat het meevalt: het antwoord verandert niets aan wat u te doen staat, want de vragen die u krijgt gaan over dezelfde tien onderwerpen, en die zijn ook zonder wet gewoon verstandig. Zie de eerste stappen.
Of u nu wel of niet in de lijst staat: de vragen die u kunt verwachten gaan over de tien zorgplichtmaatregelen.
Deze pagina geeft algemene uitleg en is geen juridisch advies. Of een organisatie onder de Cyberbeveiligingswet valt, hangt af van de precieze activiteiten, de sector en de omvang.