Een belangrijk verschil met de eerste NIS-richtlijn is dat organisaties automatisch onder de NIS2-richtlijn vallen als zij actief zijn in bepaalde sectoren en volgens de bepaalde criteria gekenmerkt kunnen worden als ‘essentiële’ of ‘belangrijke’ entiteit. Automatisch wil zeggen dat de verplichtingen van de NIS2-richtlijn voor deze organisaties direct gaan gelden zodra de nationale wetgeving in werking treedt.
Welke sectoren en organisaties vallen onder de NIS2-richtlijn?
De NIS2-richtlijn richt zich op sectoren die al onder de eerste NIS-richtlijn vallen en op een aantal nieuwe sectoren. Het aantal publieke en private organisaties die onder de richtlijn vallen wordt dus groter. De organisaties die onder de tweede NIS-richtlijn vallen behoren tot:
Sectoren bijlage 1: Hoog kritieke sectoren
Energie
Transport
Infrastructuur financiële markt
Gezondheidszorg
Drinkwater
Digitale infrastructuur
Afvalwater
Overheidsdiensten
Ruimtevaart
Beheerders van ICT diensten
Bankwezen
Sectoren bijlage 2: Andere kritieke sectoren
Digitale aanbieders
Post- en koeriersdiensten
Afvalstoffenbeheer
Levensmiddelen
Chemische stoffen
Onderzoek
Vervaardiging/manufacturing
Een belangrijk verschil met de eerste NIS-richtlijn is dat organisaties automatisch onder de NIS2-richtlijn vallen als zij actief zijn in een van de eerder genoemde sectoren en volgens de onderstaande criteria gekenmerkt kunnen worden als ‘essentiële’ of ‘belangrijke’ entiteit.
Essentiële entiteiten
Organisaties die volgens de CER-richtlijn zijn aangewezen als kritieke entiteit zijn automatisch een essentiële entiteit volgens de NIS2-richtlijn.
Grote organisaties die actief zijn in een sector uit bijlage I van de NIS2-richtlijn (zie tabel)
Een organisatie is groot op basis van de volgende criteria:
minimaal 250 werknemers of;
een jaaromzet van meer dan 50 miljoen euro en een balanstotaal van meer dan 43 miljoen euro.
Belangrijke entiteiten
Middelgrote organisaties die actief zijn in een sector uit bijlage I en middelgrote en grote organisaties die actief zijn in een sector uit bijlage II.
Een organisatie is middelgroot op basis van de volgende criteria:
minimaal 50 werknemers of;
een jaaromzet en balanstotaal van meer dan 10 miljoen euro.
Micro- en kleinbedrijven vallen in principe niet onder de NIS2-richtlijn. De minister die verantwoordelijk is voor een bepaalde sector kan er echter wel voor kiezen om een micro- of kleinbedrijf alsnog aan te wijzen op basis van een risicobeoordeling. Bijvoorbeeld als blijkt dat hun dienstverlening van cruciaal belang is voor de Nederlandse economie of maatschappij. In dat geval worden deze bedrijven hierover geïnformeerd door het desbetreffende ministerie.
Een uitzondering zijn micro- en kleinbedrijven die actief zijn als aanbieder van vertrouwensdiensten, als register voor topleveldomeinnamen, als verleners van domeinnaamregistratiediensten of als aanbieder van openbare elektronische-communicatienetwerken of van openbare elektronische-communicatiediensten. Deze bedrijven vallen wel direct onder de NIS2-richtlijn.
Bron: https://www.ncsc.nl/over-ncsc/wettelijke-taak/wat-gaat-de-nis2-richtlijn-betekenen-voor-uw-organisatie/valt-uw-organisatie-onder-de-cer-en-nis2-richtlijnen , geraadpleegd op 6 mei 2024.
