Elke uitleg van Richtlijn (EU) 2022/2555 zegt dat NIS2 zijn entiteiten verdeelt in essentiële en belangrijke, en de meeste stoppen daar. De verdeling is het waard om goed te begrijpen, want het is de verdeling tussen artikel 32 en artikel 33, tussen een toezichthouder die u mag auditen voordat er iets is misgegaan en een die op bewijs handelt, en tussen een boeteplafond van 10 000 000 EUR en een van 7 000 000 EUR. Ze wordt beslist door twee artikelen die in volgorde worden gelezen: artikel 2 zegt of u er überhaupt onder valt, artikel 3 welk soort u bent. Beide citeren een omvangtoets uit een aanbeveling van 2003 die op een manier wordt geteld die de meeste bedrijven de eerste keer verkeerd doen. Dit artikel neemt de twee in volgorde, met de tekst, en eindigt waar de gratis bepaling van het toepassingsgebied begint.
Artikel 2: bent u een entiteit van de richtlijn
Artikel 2(1) past de richtlijn toe op „publieke of particuliere entiteiten van een in de bijlagen I en II bedoeld type die in aanmerking komen als middelgrote ondernemingen uit hoofde van artikel 2 van de bijlage bij Aanbeveling 2003/361/EG, of de in lid 1 van dat artikel vastgestelde plafonds voor middelgrote ondernemingen overschrijden, en die hun diensten verlenen of hun activiteiten verrichten in de Unie”. Drie voorwaarden, en de eerste is die om eerst te toetsen: van een soort zijn dat de bijlagen opsommen. Bijlage I zijn de sectoren van hoge kriticiteit, 11 in getal, en bijlage II de andere kritieke sectoren, 7 meer; samen beschrijven ze 67 soorten entiteiten, en een bedrijf valt binnen het toepassingsgebied door er een te zijn, niet door eraan te verkopen. Een softwarebedrijf kijkt meestal naar vier regels: aanbieders van cloudcomputingdiensten, aanbieders van beheerde diensten en aanbieders van beheerde beveiligingsdiensten in bijlage I, en aanbieders van onlinemarktplaatsen, onlinezoekmachines en platforms voor sociale netwerken in bijlage II. De 67 regels staan in het toepassingsgebiedhulpmiddel in zes talen, woordelijk.
De tweede voorwaarde is de omvang. De bijlage bij de aanbeveling definieert een middelgrote onderneming als een met minder dan 250 werknemers en hetzij een jaaromzet van ten hoogste 50 miljoen EUR, hetzij een balanstotaal van ten hoogste 43 miljoen EUR; een kleine onderneming heeft minder dan 50 werknemers en een omzet of balanstotaal van ten hoogste 10 miljoen EUR; een micro-onderneming minder dan 10 werknemers en 2 miljoen EUR. NIS2 neemt middelgrote ondernemingen en alles wat groter is, zodat de ondergrens het plafond van de kleine is: 50 werknemers, of meer dan 10 miljoen EUR aan zowel omzet als balanstotaal. Twee dingen over het tellen. Artikel 3 van de aanbeveling telt de onderneming samen met haar partnerondernemingen en haar verbonden ondernemingen, zodat een dochter van 30 personen in een groep van 400 personen niet klein is. En NIS2 schakelt artikel 3(4) van die bijlage uit, de regel die een onderneming die voor 25 % of meer in handen is van overheidsinstanties buiten de kmo-klassen houdt, zodat een bedrijf in overheidshanden als elk ander wordt gemeten.
Artikel 2(2) brengt vervolgens sommige entiteiten binnen „ongeacht hun omvang”: aanbieders van openbare elektronischecommunicatienetwerken of -diensten, aanbieders van vertrouwensdiensten, registers voor topleveldomeinnamen en DNS-dienstverleners, door wat ze leveren; de enige aanbieder in een lidstaat van een dienst die essentieel is voor kritieke maatschappelijke of economische activiteiten, een entiteit waarvan de verstoring de openbare veiligheid, orde of gezondheid aanzienlijk zou treffen of een systeemrisico zou veroorzaken, en een entiteit die kritiek is voor haar sector op nationaal of regionaal niveau, elk door een besluit van de lidstaat; en de centrale overheid, met de regionale overheid na een risicogebaseerde beoordeling. Artikel 2(3) voegt entiteiten toe die als kritiek zijn aangemerkt onder Richtlijn (EU) 2022/2557, en artikel 2(4) entiteiten die domeinnaamregistratiediensten verlenen. Een registrar is een categorie op zich: artikel 3(3) noemt registrars naast essentiële en belangrijke entiteiten, en hun plicht is artikel 28.
Artikel 3: essentieel, of belangrijk
Artikel 3(1) somt de essentiële entiteiten op in zeven punten, en artikel 3(2) maakt elke andere entiteit van een soort uit bijlage I of II belangrijk. De zeven, geciteerd:
| Punt | De tekst | Wie dat in de praktijk is |
|---|---|---|
| (a) | „entiteiten van een in bijlage I bedoeld type die de in artikel 2, lid 1, van de bijlage bij Aanbeveling 2003/361/EG vastgestelde plafonds voor middelgrote ondernemingen overschrijden” | Elke grote entiteit uit bijlage I: een cloud- of beheerdedienstenaanbieder met 250 werknemers of meer, of meer dan 50 miljoen EUR omzet en 43 miljoen EUR balanstotaal |
| (b) | „gekwalificeerde aanbieders van vertrouwensdiensten en registers voor topleveldomeinnamen alsook DNS-dienstverleners, ongeacht hun omvang” | Drie soorten die bij elke omvang essentieel zijn; een niet-gekwalificeerde aanbieder van vertrouwensdiensten is belangrijk tenzij groot |
| (c) | „aanbieders van openbare elektronischecommunicatienetwerken of van openbare elektronischecommunicatiediensten die in aanmerking komen als middelgrote ondernemingen uit hoofde van artikel 2 van de bijlage bij Aanbeveling 2003/361/EG” | Middelgrote telecomaanbieders; grote zijn essentieel onder (a), kleine belangrijk |
| (d) | „in artikel 2, lid 2, punt f), i), bedoelde overheidsinstanties” | De centrale overheid |
| (e) | „alle andere entiteiten van een in bijlage I of II bedoeld type die door een lidstaat aangemerkt zijn als essentiële entiteiten krachtens artikel 2, lid 2, punten b) tot en met e)” | Een entiteit die de lidstaat heeft aangemerkt en essentieel in plaats van belangrijk heeft gemaakt |
| (f) | „entiteiten die aangemerkt zijn als kritieke entiteiten uit hoofde van Richtlijn (EU) 2022/2557, zoals bedoeld in artikel 2, lid 3, van deze richtlijn” | Kritieke entiteiten onder de weerbaarheidsrichtlijn, welke sectorregel ook |
| (g) | „indien de lidstaat daartoe besluit, entiteiten die vóór 16 januari 2023 door die lidstaat aangemerkt zijn als aanbieders van essentiële diensten overeenkomstig Richtlijn (EU) 2016/1148 of het nationale recht” | Voormalige aanbieders van essentiële diensten onder de eerste NIS-richtlijn, waar de lidstaat ze essentieel houdt |
Gelezen naast een softwarebedrijf zegt de tabel drie dingen. Een soort uit bijlage II is nooit essentieel door omvang: een grote fabrikant van machines, medische hulpmiddelen of elektronica, een grote marktplaats of zoekmachine is belangrijk onder artikel 3(2), hoe groot ook, tenzij een lidstaat hem aanmerkt onder (e) of hij een kritieke entiteit is onder (f). Een soort uit bijlage I is door omvang alleen essentieel, wat een aanbieder van cloud-, datacentrum-, CDN-, beheerde of beheerde beveiligingsdiensten die de plafonds voor middelgrote ondernemingen overschrijdt zonder besluit van wie dan ook onder het toezicht van artikel 32 brengt. En de drie soorten in punt (b) zijn bij elke omvang essentieel, waardoor een DNS-aanbieder van twee personen een essentiële entiteit is en een cloudaanbieder van twee personen helemaal geen entiteit, tenzij een lidstaat hem aanmerkt.
Wat het verschil is
De maatregelen zijn dezelfde. Artikel 21 geldt voor essentiële en belangrijke entiteiten gelijkelijk, en voor de digitale aanbieders van zijn artikel 1 legt Uitvoeringsverordening (EU) 2024/2690 het technische detail van die maatregelen en de incidentdrempels voor beide identiek vast. De klokken van artikel 23 zijn dezelfde. Wat verschilt, zijn toezicht, boetes en de lezing van evenredigheid.
Het toezicht op essentiële entiteiten is vooraf en achteraf (artikel 32): de bevoegde autoriteit mag inspecties ter plaatse en toezicht op afstand, regelmatige en gerichte audits, ad-hocaudits waar een significant incident of een inbreuk ze rechtvaardigt, beveiligingsscans en verzoeken om informatie en bewijs uitvoeren, op elk moment; worden haar bevelen niet opgevolgd, dan mag zij als uiterste middel een certificering of vergunning schorsen en een rechter vragen het bestuur te verbieden bestuursfuncties uit te oefenen (artikel 32(5)). Het toezicht op belangrijke entiteiten is achteraf (artikel 33): dezelfde instrumenten, maar „wanneer zij bewijs, aanwijzingen of informatie ontvangen dat een belangrijke entiteit vermoedelijk niet voldoet”. Boetes volgen artikel 34: voor essentiële entiteiten „een maximum van ten minste 10 000 000 EUR of een maximum van ten minste 2 % van de totale wereldwijde jaaromzet” (artikel 34(4)), voor belangrijke entiteiten „een maximum van ten minste 7 000 000 EUR of een maximum van ten minste 1,4 %” (artikel 34(5)), telkens indien dat hoger is, waarbij de lidstaat zijn plafonds hoger mag stellen. Beide soorten hebben een bestuursorgaan dat de maatregelen moet goedkeuren, op de uitvoering moet toezien en aansprakelijk kan worden gesteld, en waarvan de leden een opleiding moeten volgen (artikel 20).
De lijst, het register en de lidstaat
Uit de status volgen twee registraties, en ze verschillen. Artikel 3(3) verplichtte elke lidstaat om uiterlijk op 17 april 2025 een lijst van zijn essentiële en belangrijke entiteiten en van registrars op te stellen, uit informatie die de entiteiten onder artikel 3(4) indienen: naam, adres en contactgegevens, sector en subsector, en de lidstaten waar zij diensten verlenen. Artikel 27 is een tweede, smaller register, bijgehouden door Enisa, voor aanbieders van DNS-, TLD-, registrar-, cloud-, datacentrum-, CDN-, beheerde, beheerde beveiligings-, marktplaats-, zoekmachine- en socialenetwerkdiensten, die uiterlijk op 17 januari 2025 hun naam, sector, adressen, contactgegevens, bediende lidstaten en IP-bereiken bij hun bevoegde autoriteit moesten indienen.
Op de lijst van welke lidstaat u staat, is artikel 26. Een entiteit valt onder de bevoegdheid van de lidstaat waar zij is gevestigd, behalve dat de zojuist genoemde digitale aanbieders onder de lidstaat van hun hoofdvestiging in de Unie vallen, „de lidstaat waar de beslissingen in verband met de maatregelen voor het beheer van cyberbeveiligingsrisico's overwegend worden genomen” (artikel 26(2)), en een niet in de Unie gevestigde onder de lidstaat waar zij haar vertegenwoordiger aanwijst (artikel 26(3)). De handeling van de lidstaat, zoals aan de Commissie meegedeeld, staat in het omzettingsregister; welke van hen er op de leesdag überhaupt een heeft, is een eigen artikel.
Vier gevallen die een softwarebedrijf verkeerd inschat
Een cloudaanbieder met 40 werknemers en 8 miljoen EUR omzet, onafhankelijk, is geen entiteit van de richtlijn: een soort uit bijlage I, onder het plafond van de kleine, en geen van de omvangonafhankelijke regels is van toepassing. Hij zal niettemin door elke essentiële en belangrijke klant worden gevraagd de beveiliging van de toeleveringsketen aan te tonen die artikel 21(2)(d) die klanten laat beheren. Dezelfde aanbieder in handen van een groep van 300 personen is middelgroot volgens artikel 3 van de aanbeveling en belangrijk; dezelfde aanbieder met 250 werknemers is essentieel.
Een machinebouwer met 2 000 werknemers is belangrijk, niet essentieel: bijlage II, en artikel 3(1)(a) bereikt alleen bijlage I.
Een registrar zonder andere regel valt onder artikel 2(4) bij elke omvang binnen het toepassingsgebied, met artikel 28 als plicht en een plaats op de lijst van artikel 3(3) en in het register van artikel 27, maar hij is essentieel noch belangrijk tenzij hij ook van een soort uit een bijlage is.
Een aanbieder van beheerde diensten gevestigd in de Verenigde Staten, met klanten in drie lidstaten en zonder vestiging in de Unie, moet een vertegenwoordiger aanwijzen in een van de lidstaten waar hij diensten aanbiedt, en valt onder de wet van die lidstaat; zonder vertegenwoordiger kan elk van de drie tegen hem optreden.
De bepaling van het toepassingsgebied past deze regels toe op uw antwoorden en schrijft het resultaat met de geciteerde artikelen; de koppeling van NIS2 aan ISO 27001 is waar de maatregelen van artikel 21 vervolgens heen gaan, en de klokken van artikel 23 zijn wat de status in een incident meeneemt. Of NIS2 of de CRA überhaupt uw wet is, komt vóór beide.
Bronnen
- Richtlijn (EU) 2022/2555 (NIS2), artikel 2(1) tot en met (4), artikel 3(1) tot en met (4), artikel 20, artikel 21(1) en (2), artikel 26(1) tot en met (3), artikel 27, artikel 28, artikelen 32 tot en met 34, bijlagen I en II, gelezen op EUR-Lex in zes talen.
- Aanbeveling 2003/361/EG van de Commissie, bijlage, artikelen 2 en 3.
- Uitvoeringsverordening (EU) 2024/2690 van de Commissie, artikel 1.
Dit is geen juridisch advies. De handeling van de lidstaat kan de categorieën van de richtlijn uitbreiden onder artikel 2(2)(b) tot en met (e), artikel 2(5) en artikel 3(1)(g), en de bepaling van de lidstaat is die welke telt.