NIS2: essentiële of belangrijke entiteit — en wat dat betekent voor waar u host

De NIS2-richtlijn is tussen oktober 2024 en de eerste helft van 2025 in de EU-lidstaten van kracht geworden. De meeste colocatie-inkopers die wij nu spreken weten dat ze eronder vallen. Vrijwel niemand kan de vervolgvraag beantwoorden: bent u een essentiële of een belangrijke entiteit?

Dat verschil is geen muggenzifterij. Het verandert de meldplicht bij incidenten, het toezichtregime, de boetes en — voor dit publiek doorslaggevend — het soort pand waar u geloofwaardig kunt hosten.

Dit is een kort stuk. Het doel is bruikbaar zijn, niet volledig.

De twee categorieën, in het kort

NIS2 verdeelt organisaties in twee bakken, bepaald door sector plus omvang. Vereenvoudigd:

• Essentiële entiteiten — energie, vervoer, bankwezen, infrastructuur voor de financiële markt, zorg, drinkwater, afvalwater, digitale infrastructuur (DNS, TLD-registers, internetknooppunten, datacenters), beheer van ICT-diensten, openbaar bestuur, ruimtevaart.
• Belangrijke entiteiten — post- en koeriersdiensten, afvalbeheer, productie en distributie van chemische stoffen, levensmiddelen, productie van bepaalde kritieke goederen, digitale aanbieders (online marktplaatsen, zoekmachines, sociale netwerken) en het grootste deel van de rest van de digitale economie.

Omvangsdrempels tellen mee. Onder bepaalde grenzen voor personeel en omzet valt u erbuiten. Erboven bepaalt uw sector in welke bak u zit.

Is uw antwoord “dat weet ik niet”, dan bent u niet de uitzondering — en de juiste vervolgstap is een halve dag afbakenen tegen uw sectorindeling, personeelsomvang en omzet. Dat vóór de marktbenadering doen scheelt een hele inkoopronde.

Waarom het de shortlist verandert

NIS2 legt verplichtingen op aan de entiteit die u bent. Die werken ook door in uw keten, inclusief uw colocatie-aanbieder.

Drie praktische gevolgen voor een inkoper in ons netwerk:

1. Meldtermijnen bij incidenten. Essentiële entiteiten hebben strengere meldplichten: een vroege waarschuwing binnen 24 uur, een uitgebreidere melding binnen 72 uur en een eindrapport binnen een maand. De incidentafhandeling van uw aanbieder moet die termijnen aankunnen. Sommige kleinere Europese exploitanten kunnen dat niet. Filter daarop vóórdat u een afspraak maakt.

2. Concentratie- en ketenrisico. NIS2 verwacht dat u het risico uit uw directe en indirecte ICT-keten beoordeelt en beheerst. Een aanbieder met één bovenliggend onderstation, geen carrierspreiding en een moederbedrijf in een derde land is een risicovollere afhankelijkheid. De juridische afdeling wil dat op papier. Wij doen dat werk in de shortlistfase, niet nadat het contract getekend is.

3. Toezichtregime. Essentiële entiteiten krijgen proactief toezicht: audits, inspecties ter plaatse, verzoeken zonder aanleiding. Belangrijke entiteiten krijgen reactief toezicht, na een incident of op basis van signalen. Bent u essentieel, dan krijgt uw aanbieder vragen waar u geen regie over heeft. Kies panden die dat al hebben meegemaakt en de documentatie kunnen laten zien.

Wat wij met het antwoord doen in een aanvraag

Vinkt een inkoper NIS2 essentieel of belangrijk aan in onze wizard, dan doen wij drie dingen anders:

1. Wij sluiten aanbieders uit wier schriftelijke draaiboek voor incidentafhandeling niet aansluit op uw meldtermijnen. Dat haalt doorgaans één of twee panden van de Europese groslijst.
2. Wij eisen van elke aanbieder op de shortlist een schriftelijke ketenverklaring over hun bovenliggende stroom, glasvezel en uitbestede diensten. Sommige aanbieders weigeren dat. Wij zeggen u welke, en u beslist.
3. Wij zorgen dat het contract bepalingen bevat over medewerking aan audits, het melden van onderaannemers en bijstand bij vertrek, die standhouden wanneer uw toezichthouder belt. Wij zijn geen advocatenkantoor, maar wij leggen geen concept voor waarvan we weten dat uw juristen het afwijzen.

Wat wij niet doen

Wij interpreteren NIS2 niet voor u. De richtlijn is in elke lidstaat nationaal recht geworden en die implementaties verschillen op niet-triviale punten. Heeft u een formeel oordeel nodig — voor de directie, de toezichthouder of een accountant — dan verwijzen wij u naar een advocaat. Wij hebben concrete namen in Nederland, België, Duitsland en Frankrijk.

Wij certificeren aanbieders ook niet zelf onder NIS2. Zo’n certificering bestaat niet onder de richtlijn. Wat wél bestaat is de positie van een aanbieder: gedocumenteerd, aantoonbaar en contractueel toetsbaar. Daar selecteren wij op.

Valt u eronder en weet u het niet zeker

De meest voorkomende situatie, en de goedkoopste om op te lossen:

1. Laat de reikwijdte bevestigen door een jurist. Sector plus omvang, getoetst aan de nationale implementatie van het land waar u gevestigd bent.
2. Breng dat antwoord bij ons. Of leg het eerst langs onze requirements wizard — die signaleert dezelfde combinaties die elkaar uitsluiten als de wet doet.
3. Dien een geanonimiseerde aanvraag in. Wij doen de ketenbeoordeling op de aanbieders die wij voordragen, vóór elke introductie.

De meeste NIS2-inkoopfouten ontstaan bij stap 1, waar de organisatie het afbakenen overslaat en aanneemt dat de huidige colocatie-aanbieder “wel goed zit, want dat zat hij altijd al”. Sommige zitten goed. Sommige niet. Het is goedkoper om het te weten.