Het is de vraag die bij elke intake als eerste op tafel komt: gelden die regels eigenlijk wel voor ons? Het antwoord bestaat uit drie lagen — uw sector, uw omvang en uw keten. Pas als u alle drie heeft beoordeeld, weet u waar u staat.
Laag 1 — staat uw sector op de lijst
De Cyberbeveiligingswet is de Nederlandse uitwerking van de Europese NIS2-richtlijn. Die richtlijn werkt met twee bijlagen. Bijlage I bevat de sectoren van bijzonder kritiek belang: energie, transport, bankwezen, financiële markten, gezondheidszorg, drinkwater en afvalwater, digitale infrastructuur, ICT-servicebeheer tussen bedrijven, overheid en ruimtevaart. Bijlage II bevat de overige kritieke sectoren: post- en koeriersdiensten, afvalstoffenbeheer, chemie, levensmiddelen, maakindustrie, digitale aanbieders en onderzoeksorganisaties.
Twee categorieën verrassen het MKB het vaakst. De eerste is ICT-servicebeheer: managed service providers en managed security service providers staan in bijlage I, niet in bijlage II. Een IT-bedrijf van zestig man kan daarmee zwaarder gereguleerd zijn dan de fabrikant die het bedient. De tweede is de maakindustrie, die breder is gedefinieerd dan men denkt — machines, elektronica, transportmiddelen en medische hulpmiddelen vallen eronder.
Laag 2 — de omvangdrempel
Staat uw sector op een van de lijsten, dan bepaalt uw omvang of u binnen de scope valt en in welke categorie. De hoofdregel volgt de Europese definitie van middelgrote en grote ondernemingen:
- Middelgroot — vanaf 50 medewerkers, of een jaaromzet en balanstotaal boven € 10 miljoen.
- Groot — vanaf 250 medewerkers, of een jaaromzet boven € 50 miljoen en een balanstotaal boven € 43 miljoen.
De combinatie van bijlage en omvang bepaalt uw categorie:
- Bijlage I plus groot → essentiële entiteit.
- Bijlage I plus middelgroot → belangrijke entiteit.
- Bijlage II plus middelgroot of groot → belangrijke entiteit.
Op die hoofdregel zitten uitzonderingen die de omvangdrempel volledig overslaan. Aanbieders van openbare elektronische communicatienetwerken, vertrouwensdiensten, DNS-diensten en registers voor topleveldomeinen vallen eronder ongeacht hun grootte. Hetzelfde geldt voor organisaties die de enige aanbieder van een essentiële dienst in Nederland zijn, en voor delen van de overheid. Een bedrijf van twaalf man kan dus in scope zijn.
Wat het verschil is tussen essentieel en belangrijk
Voor de verplichtingen maakt het weinig uit: de zorgplicht, de registratieplicht en de meldplicht gelden voor beide categorieën gelijk. Het verschil zit in het toezicht. Bij essentiële entiteiten mag de toezichthouder proactief optreden — audits, inspecties, informatieverzoeken, ook zonder aanleiding. Bij belangrijke entiteiten is het toezicht reactief: er moet eerst een aanwijzing zijn dat er iets misgaat, bijvoorbeeld een incident of een melding.
Laag 3 — de keten
De derde laag wordt het vaakst overgeslagen, en raakt de meeste bedrijven. De zorgplicht verplicht organisaties binnen de scope om de beveiliging van hun toeleveringsketen te beheersen. Dat is geen abstractie: het betekent dat zij eisen gaan stellen aan hun leveranciers, en die eisen in contracten vastleggen.
Valt u zelf buiten de directe scope maar levert u aan een ziekenhuis, een netbeheerder of een grote maakindustrie, dan bereikt de wet u alsnog — via een vragenlijst, een auditclausule of een verlengingsgesprek waarin ineens om aantoonbaarheid wordt gevraagd. In de praktijk zien wij die vragen eerder binnenkomen dan de wet zelf in werking treedt, omdat inkopers vooruitlopen op hun eigen verplichting.
Buiten de directe scope vallen is geen eindconclusie. Het verplaatst de deadline van de wetgever naar uw grootste klant.
Wat u doet als u twijfelt
Er komt geen brief. De registratieplicht is een eigen verantwoordelijkheid: u beoordeelt zelf of u onder de wet valt en u meldt zich zelf aan. Wie twijfelt en niets doet, staat bij een incident met lege handen.
De praktische oplossing is een gedocumenteerde afweging. Leg vast welke sector en SBI-code u heeft aangehouden, welke omvangcijfers u heeft gebruikt en over welk boekjaar, welke conclusie u daaruit trekt, wie die conclusie heeft vastgesteld en wanneer. Eén A4 volstaat. Het verschil tussen "wij wisten niet dat het voor ons gold" en "wij hebben het beoordeeld, hier is de onderbouwing" is precies het verschil dat een toezichthouder weegt.
Herhaal die afweging jaarlijks, en na elke overname, afsplitsing of grote klantwissel. Scope is geen eenmalige vaststelling.
De preflight check loopt deze drie lagen in acht vragen langs en geeft direct terug of u vermoedelijk essentieel, belangrijk of ketenpartij bent — plus de punten waar uw gereedheid het zwakst is.