Onder NIS2 is "belangrijk" geen lichtere beveiligingscategorie

Een scoping-oefening voor NIS2 kan eindigen met een moment van opluchting. Het team doorloopt de sectoren uit Bijlagen I en II, controleert het aantal medewerkers en de omzet tegen de drempels, en concludeert dat het een "belangrijke" entiteit is in plaats van een "essentiële". Deze bevinding wordt als goed nieuws gepresenteerd: we vallen in de lichtere categorie, dus het beveiligingsprogramma kan hierop worden afgestemd. De controleslijst wordt ingekort, het incidentproces wordt uitgesteld als een latere fase, en de raad van bestuur hoort dat NIS2 zachtjes landt.

Die interpretatie van het woord "belangrijk" is de fout. De essentiële en belangrijke categorieën zijn geen zware en lichte versie van dezelfde beveiligingsplicht. Het zijn twee toezichts- en handhavingsregimes die gekoppeld zijn aan dezelfde verplichtingen. De categorie waarin een team valt, verandert hoe het gecontroleerd wordt, welke extra handhavingsinstrumenten de autoriteit kan gebruiken en de minimale nationale boetebodem. Het verandert niet de beveiligingsmaatregelen waaraan het moet voldoen.

De verplichtingen die niet meebewegen met de categorie

De materiële taken van NIS2 zijn voor beide categorieën in één keer vastgelegd. Artikel 21(1) van de Richtlijn (EU) 2022/2555 (aangenomen op 14 december 2022) verplicht lidstaten ertoe te waarborgen dat essentiële en belangrijke entiteiten passende en evenredige technische, operationele en organisatorische maatregelen nemen om de risico’s voor de beveiliging van de netwerk- en informatiesystemen die deze entiteiten gebruiken voor hun bedrijfsvoering of dienstverlening te beheren, en om de impact van incidenten op ontvangers van hun diensten en op andere diensten te voorkomen of te beperken. De minimale lijst die volgt in Artikel 21(2), van risicoanalyse en incidentafhandeling tot beveiliging van de toeleveringsketen, toegangscontrole en het gebruik van cryptografie, is één enkele lijst. Er is geen kortere bijlage met maatregelen voor belangrijke entiteiten en geen langere voor essentiële entiteiten.

De meldingsplicht is op dezelfde manier vastgelegd. Artikel 23 verplicht zowel essentiële als belangrijke entiteiten om significante incidenten te melden aan het CSIRT of de bevoegde autoriteit: een vroege waarschuwing binnen 24 uur na het bekend worden en een incidentmelding binnen 72 uur. Voor vertrouwensdienstverleners is deze tweede deadline 24 uur als het significante incident de dienstverlening beïnvloedt. Een eindrapport volgt binnen een maand na de incidentmelding; als het incident op dat moment nog gaande is, is een voortgangsrapportage vereist, gevolgd door een eindrapport binnen een maand na afhandeling van het incident. De klok gaat niet trager voor de belangrijke categorie. Een belangrijke entiteit die de paraatheid voor incidentmeldingen als optioneel beschouwt, heeft hetzelfde artikel verkeerd geïnterpreteerd als waaraan een essentiële entiteit gebonden is.

De eerste correctie is dus feitelijk. Als de scoping-oefening concludeert "belangrijk, dus minder controles", dan is er een onderscheid gecreëerd dat de richtlijn niet maakt. Artikel 21 is de bron van de verplichting, en Artikel 21 weet niet in welke categorie je zit.

Het label is zelfs geen proxy voor hoeveel werk je verschuldigd bent

Er zit een tweede, stillere fout onder de eerste: de aanname dat "belangrijk" gelijkstaat aan "kleiner", zodat een lichter programma in elk geval evenredig is. De classificatie werkt niet zo. Volgens Artikel 3 zijn essentiële entiteiten, in grote lijnen, entiteiten van een type dat is opgenomen in Bijlage I (de sectoren met hoge kriticiteit, zoals energie, transport, bankwezen, gezondheidszorg en digitale infrastructuur) die de plafonds voor middelgrote ondernemingen uit de Aanbeveling 2003/361/EG van 6 mei 2003 overschrijden, samen met specifieke typen die essentieel zijn ongeacht hun omvang. Gekwalificeerde vertrouwensdienstverleners, TLD-naamregistries en DNS-dienstverleners zijn essentieel, wat hun omvang ook is. Belangrijke entiteiten zijn, als uitgangspunt, de restgroep in Artikel 3(2): entiteiten van een type dat wordt genoemd in Bijlage I of II die niet als essentieel kwalificeren. Lees je dit samen met Artikel 2, dan is deze restgroep niet elke niet-essentiële entiteit uit Bijlage I of II. De algemene regel geldt voor middelgrote en grotere entiteiten; kleinere entiteiten vallen alleen onder de regeling via gespecificeerde omvangsonafhankelijke routes. Lidstaten kunnen entiteiten ook als belangrijk aanwijzen onder Artikel 2(2)(b) tot en met (e), en een grote entiteit uit Bijlage II kan als essentieel worden aangewezen onder Artikel 3(1)(e) of essentieel worden door identificatie als kritieke entiteit onder Artikel 3(1)(f).

Volg je dit door, dan loskoppelt het label zich van de omvang. Een grote multinational die actief is in een gespecificeerde sector uit Bijlage II, bijvoorbeeld industriële productie van voedsel of chemicaliën, of een digitale aanbieder zoals een online marktplaats, kan een "belangrijke" entiteit zijn, zelfs met tienduizenden medewerkers, omdat omvang alleen een sector uit Bijlage II niet naar de essentiële categorie tilt. Ondertussen is een kleine DNS-dienstverlener essentieel, ongeacht de omvang. De evenredige maatregelen voor die grote belangrijke fabrikant zijn niet bescheiden, omdat evenredigheid in Artikel 21(1) wordt bepaald door de risicoblootstelling van de entiteit, de omvang van de entiteit, de waarschijnlijkheid en ernst van incidenten en de stand van de techniek, niet door de categorie. Je kunt je werklast niet afleiden uit het woord "belangrijk". Een bedrijf dat dat wel doet, loopt het risico te weinig te doen. Die laatste zin is een praktijkbeoordeling, geen statistiek.

Wat de categorie dan wel verandert

De categorie doet drie dingen die de moeite waard zijn om te benoemen, omdat ze echt zijn.

Ten eerste stelt het de toezichtshouding vast. Artikel 32, dat van toepassing is op essentiële entiteiten, geeft bevoegde autoriteiten een proactief instrumentarium: regelmatige en gerichte beveiligingsaudits, on-site inspecties, off-site toezicht waaronder willekeurige controles, en beveiligingsscans. Een essentiële entiteit kan worden geaudit omdat het tijd is voor een audit, zonder dat er een incident aan voorafgaat. Gerichte audits kunnen door de entiteit worden betaald en kunnen leiden tot handhaving; het zijn geen gratis repetities. Artikel 33, dat van toepassing is op belangrijke entiteiten, is geschreven rond een reactieve trigger. De toezichts- en handhavingsmaatregelen zijn van toepassing "wanneer zij beschikken over bewijs, aanwijzing of informatie dat een belangrijke entiteit naar alle waarschijnlijkheid niet voldoet". Artikel 33 is expliciet over het feit dat dit ex post-toezicht is. Informatie die voortkomt uit een incident of de melding daarvan onder Artikel 23 kan deze trigger vormen als het wijst op mogelijke niet-naleving. Dat kan ook een klacht zijn, een mediabericht of informatie van een andere autoriteit. Een incident is op zichzelf geen bewijs van niet-naleving.

Ten tweede stelt het extra handhavingsinstrumenten vast voor essentiële entiteiten. Artikel 32(5) stelt de autoriteit in staat om, als laatste redmiddel, een certificering of vergunning met betrekking tot de relevante delen van de dienst op te schorten, of te verzoeken dat een natuurlijk persoon die managementverantwoordelijkheden draagt op het niveau van CEO of juridisch vertegenwoordiger tijdelijk wordt verboden om die functies uit te oefenen. Deze instrumenten zijn geschreven voor essentiële entiteiten, niet voor belangrijke.

Ten derde stelt het de minimale nationale boetebodem vast voor overtredingen van Artikel 21 of 23. Artikel 34(4) vereist dat essentiële entiteiten onderworpen worden aan administratieve boetes met een maximum van ten minste 10.000.000 EUR of ten minste 2% van de totale wereldwijde jaaromzet, welke van de twee het hoogst is. Artikel 34(5) stelt de minimale boetebodem voor belangrijke entiteiten lager, op ten minste 7.000.000 EUR of ten minste 1,4% van de totale wereldwijde jaaromzet. Deze bedragen zijn het minimale niveau dat elke lidstaat moet hanteren voor de maximale boete voor die overtredingen. Het zijn geen EU-brede plafonds en ze vormen geen formule voor elke individuele boete.

Deze drie verschillen veranderen je operationele relatie met de toezichthouder. Geen van hen betekent een vermindering van de beveiliging die je moet implementeren.

Reactief toezicht is een reden om strenger te zijn, niet minder

Hier is de draai die een scoping-team kan missen. Het lichtere toezicht bij de belangrijke categorie is gemakkelijk te interpreteren als minder druk. Operationeel kan het precies de andere kant op werken. Een essentiële entiteit komt waarschijnlijker de autoriteit tegen tijdens een geplande audit onder Artikel 32, terwijl de systemen normaal draaien. Die ontmoeting kan nog steeds leiden tot bevindingen en kosten. Wat het wel geeft, is de kans om hiaten te dichten voordat er een incident plaatsvindt. Een belangrijke entiteit ondergaat toezichtsmaatregelen onder Artikel 33 zodra er aanwijzingen zijn voor niet-naleving. Het kan nog steeds andere regulatoire interacties ondergaan, waaronder incidentmeldingen onder Artikel 23. Overweging 122 van dezelfde richtlijn stelt dat belangrijke entiteiten niet systematisch verplicht zijn om de naleving van de maatregelen voor cybersecurityrisicobeheer te documenteren. Dat is geen vrijbrief om geen bewijs te hebben. Het is een reden—als praktijkadvies, niet als wettelijke plicht—om de risicobeslissingen, het incidentproces en de logs bij te houden die je daadwerkelijk nodig zou hebben als het eerste gesprek met de autoriteit een onderzoek is in plaats van een audit.

Dus de categorie die lichter wordt bewaakt, is de categorie die zichzelf moet bewaken. Lichter toezicht is geen lichter risico. Het is risico dat wordt uitgesteld tot een slechter moment.

Het eerlijke bezwaar

Het sterkste tegenargument is het woord "evenredig" in Artikel 21(1). Een kleine belangrijke entiteit kan en moet inderdaad een lichtere set maatregelen implementeren dan een grote essentiële energieleverancier, en de richtlijn bedoelt precies dat. Dit is waar. Maar let op wat het werk doet: omvang en risicoblootstelling, niet het categorie-label. Evenredigheid zou het programma van een kleine essentiële entiteit ook naar beneden schalen, en het zou het programma van de grote fabrikant uit Bijlage II naar boven schalen, ondanks de status als belangrijke entiteit. (Een grote bank is hier het verkeerde voorbeeld: Verordening (EU) 2022/2554 (DORA) is lex specialis voor gedekte financiële entiteiten en vervangt de NIS2-artikelen 21 en 23 en de daarmee verband houdende toezichts- en handhavingsbepalingen, krachtens Artikel 4 en Overweging 28 van de NIS2-richtlijn.) De categorie en de evenredigheidsbeoordeling zijn verschillende assen. Het categorie-label als shortcut voor de evenredigheidsbeoordeling gebruiken, is hoe een grote belangrijke entiteit eindigt met de controles van een kleine entiteit.

De regel die je moet onthouden

Behandel de classificatie in essentiële en belangrijke entiteiten als een lijn voor toezicht, handhaving en boetes, niet als een lijn voor de omvang van de beveiliging. Leid je verplichtingen af uit Artikel 21 en je eigen risicobeoordeling, bepaal de omvang van je maatregelen op basis van evenredigheid ten opzichte van dat risico, en laat de categorie je vertellen hoe je gecontroleerd wordt, welke extra handhavingsinstrumenten bestaan en wat de minimale nationale boetebodem is. Als de categorie "belangrijk" is, lees dan het reactieve toezicht van Artikel 33 als een signaal om het bewijs bij te houden dat je nodig zou hebben bij een onderzoek, in plaats van het werk uit te stellen.

Er is één jurisdictionele nuance die door het hele verhaal heen van belang is. NIS2 is een richtlijn, dus de operationele verplichtingen zijn bindend via de omzettingswet van elke lidstaat. De omzettingstermijn van 17 oktober 2024 (Richtlijn (EU) 2022/2555, Artikel 41) is niet uniform nageleefd. De Europese Commissie heeft op 28 november 2024 inbreukprocedures gestart tegen 23 lidstaten en heeft op 8 juli 2026 Ierland, Spanje, Frankrijk en Nederland verwezen naar het Hof van Justitie voor het niet volledig melden van de omzetting (persbericht IP/26/1499). De kernarchitectuur van de classificatie en de omvangscriteria komen uit de richtlijn en uit Aanbeveling 2003/361/EG. De nationale wetgeving maakt de verplichtingen operationeel en kan extra regels toevoegen; het bedenkt de EU-omvangsdrempels niet zelfstandig opnieuw. Een bedrijf in een staat die nog bezig is met de omzetting, moet de architectuur uit de richtlijn lezen en de specifieke details controleren tegen de nationale wetgeving zodra deze beschikbaar is.

De verplichtingen die je volgen ongeacht de categorie scheiden van het toezicht en de handhaving die veranderen met de categorie, en beide in kaart brengen aan de hand van de artikelen en je nationale omzettingswet, is het soort kruisverwijzingen waarvoor ISMS Copilot is gebouwd. De categorie is de moeite waard om goed te krijgen voor je boetebelasting en je omgang met de toezichthouder. Het is de verkeerde variabele om de omvang van je beveiligingsprogramma op te baseren.

Dit is een praktische compliance-analyse, geen juridisch advies. Bevestig de classificatie en verplichtingen van je entiteit aan de hand van de omzettingswet van je lidstaat en, waar nodig, met je bevoegde autoriteit of juridisch adviseur.