Ben ik NIS2-plichtig? De snelle test voor het mkb
De Duitse NIS2-implementatiewet geldt sinds december 2025. Ongeveer 29.500 bedrijven moeten zich bij het BSI registreren, maar de meeste eigenaren weten niet of hun bedrijf eronder valt. Twee vragen geven een eerste, betrouwbaar antwoord.
Op 6 december 2025 is de Duitse NIS2-implementatie- en cybersecurityversterkingswet (NIS2UmsuCG) in werking getreden. Sinds 6 januari 2026 kunnen getroffen bedrijven zich via een nieuw portaal registreren bij het Bundesamt für Sicherheit in der Informationstechnik (BSI). Volgens het BSI raakt de wet ongeveer 29.500 "belangrijke" en "essentiële" entiteiten in Duitsland, waarvan vele kleine en middelgrote bedrijven die nog nooit met een IT-securityautoriteit te maken hebben gehad.
Dat schept echte onzekerheid. De sectorlijst is lang, de bewoordingen zijn juridisch, en de Europese Commissie stelde in januari 2026 al voor om de reikwijdte weer te verkleinen. Dit artikel is geen juridisch advies, maar twee vragen geven je een stevige eerste indruk.
Vraag 1: Is je bedrijf actief in een NIS2-sector?
NIS2 geldt niet voor elk bedrijf. Het geldt alleen voor bedrijven in een gedefinieerde lijst van sectoren (bijlage 1 en 2 van de Duitse BSI-wet). De belangrijkste voorbeelden:
- Zeer kritiek: energie, vervoer, banken, financiële marktinfrastructuur, gezondheidszorg, drinkwater, afvalwater, digitale infrastructuur (datacenters, cloudproviders, DNS-diensten, TLD-registries), ICT-dienstbeheer, publiek bestuur en de ruimtevaart.
- Overige kritieke sectoren: post- en koeriersdiensten, afvalbeheer, chemische productie en distributie, voedselproductie en -distributie, industrie (waaronder medische hulpmiddelen, elektronica, machines en voertuigen), digitale diensten (online marktplaatsen, zoekmachines, social networks) en onderzoek.
Is je bedrijf niet actief in een van deze sectoren, dan ben je vandaag doorgaans niet direct verplicht onder NIS2, ongeacht je grootte. Is dat wel zo, dan bepaalt de tweede vraag.
Vraag 2: Komt je bedrijf boven de grootte-drempel uit?
Binnen een getroffen sector is de grootte de doorslaggevende factor:
- Belangrijke entiteit: 50 of meer werknemers, of 10 miljoen euro of meer aan jaaromzet en balanstotaal.
- Essentiële entiteit: 250 of meer werknemers, of meer dan 50 miljoen euro jaaromzet, of meer dan 43 miljoen euro balanstotaal. Bepaalde rollen tellen altijd als essentieel, ongeacht de grootte: exploitanten van kritieke infrastructuur, gekwalificeerde vertrouwensdienstverleners, TLD-name-registries, DNS-dienstverleners en aanbieders van openbare telecomnetwerken of -diensten met 50 of meer werknemers.
Zit je bedrijf onder deze drempels, dan ben je vandaag doorgaans vrijgesteld van directe registratie, ook als je sector getroffen is. Voor een bindende beoordeling biedt het BSI een officiële beslissingsboom (alleen in het Duits).
Wat moeten getroffen bedrijven eigenlijk doen?
- Registreer. Uiterlijk drie maanden nadat je voor het eerst onder de wet valt, via het BSI-portaal, met een ELSTER-organisatiecertificaat en een businessaccount.
- Voer risicobeheermaatregelen uit. Dat omvat een gedocumenteerde risicoanalyse, een incidentafhandelingsproces, business-continuityplanning, basale controles zoals multi-factor authenticatie en encryptie, en een beoordeling van de beveiliging van je eigen keten.
- Rapporteer incidenten. Aanzienlijke securityincidenten vereisen een eerste rapport binnen 24 uur, gevolgd door een volledig rapport binnen een maand.
- Neem aansprakelijkheid serieus. Bij essentiële entiteiten is het bestuur persoonlijk aansprakelijk voor de uitvoering van de risicobeheerverplichtingen.
En als ik er niet direct onder val?
Twee redenen waarom dit toch telt. Eén: bedrijven die onder NIS2 vallen zijn wettelijk verplicht de beveiliging van hun eigen keten te beoordelen. Lever je aan een grotere, gereguleerde organisatie, dan worden securityvragenlijsten en bewijsverzoeken de komende maanden normaal in inkoop, ook zonder eigen registratieplicht. Twee: de Europese Commissie stelde op 20 januari 2026 wijzigingen voor die de reikwijdte verder aanpassen. De regels bewegen nog, een herhaalde check over een paar maanden is de moeite waard.
Los van de juridische status is de onderliggende realiteit niet veranderd: volgens het Hiscox Cyber Readiness Report 2026 is 31% van de Duitse mkb-bedrijven al succesvol aangevallen of heeft een aanvalspoging ontdekt, 33% zag de continuïteit van het bedrijf ernstig bedreigd, de gemiddelde uitval duurde 41,7 uur en 29% had helemaal geen verzekering. Met of zonder NIS2, het aanvalsoppervlak is echt.
De pragmatische eerste stap
Of je nu wel of niet registratieplichtig bent, een actueel beeld van je eigen externe aanvalsoppervlak is het meest bruikbare startpunt. Noroshi bewaakt automatisch de gebieden die zowel voor een NIS2-risicobeoordeling als voor een echte aanval tellen: HTTP-securityheaders, TLS-certificaten, e-mailauthenticatie (SPF, DKIM, DMARC), open poorten, verouderde software en lookalike-domeinen die kunnen worden gebruikt om je merk te phishen.
Maak een gratis account aan, voeg je domein toe en zie je huidige securityscore binnen enkele minuten. Gratis plan, geen creditcard nodig.
Geschreven door David Hildering, de engineer achter Noroshi. Meer over Noroshi.