NIS2 voor Bouw en installatie: wat de wet van je vraagt

Valt Bouw en installatie onder NIS2?

Bouw en installatie staat niet in de bijlagen van NIS2 (EU-richtlijn 2022/2555). Een bouw- of installatiebedrijf wordt daardoor niet op grond van zijn eigen werk een entiteit onder de Cyberbeveiligingswet. De omvangtoets komt voor die activiteit niet aan de orde. NIS2 raakt je bedrijf wel via opdrachtgevers die zelf onder de wet vallen, afhankelijk van je rol in hun keten.

Het NCSC noemt de omvangtoets de size cap. Die toets kijkt naar het aantal medewerkers, de jaaromzet en het balanstotaal. De size cap werkt alleen binnen een aangewezen sector, dus een aannemer met honderden mensen op de loonlijst valt er net zo min automatisch onder als een installateur met acht monteurs.

Voor bedrijven in een aangewezen sector ligt de drempel van de Cyberbeveiligingswet bij 50 medewerkers, of bij meer dan 10 miljoen euro jaaromzet én een balanstotaal boven 10 miljoen euro (Cbw, 2026). Met 50 tot 249 medewerkers is een bedrijf een belangrijke entiteit (Cbw, 2026). Vanaf 250 medewerkers, of bij een jaaromzet boven 50 miljoen euro én een balanstotaal boven 43 miljoen euro, is het een essentiële entiteit met proactief toezicht (Cbw, 2026).

De boete bedraagt ten hoogste 10 miljoen euro of 2 procent van de wereldwijde jaaromzet voor essentiële entiteiten (art. 80 en 87 lid 3 Cbw, 2026). Voor belangrijke entiteiten is dat 7 miljoen euro of 1,4 procent, telkens het hoogste van de twee (art. 80 en 87 lid 3 Cbw, 2026).

Sommige organisaties vallen er ongeacht hun omvang onder. Dat zijn overheidsorganisaties, DNS-dienstverleners, aanbieders van registers voor topleveldomeinnamen, gekwalificeerde verleners van vertrouwensdiensten en kritieke entiteiten onder de Wet weerbaarheid kritieke entiteiten (art. 8 lid 1 Cbw, 2026). Geen van die categorieën is een bouw- of installatieactiviteit.

NIS2 is op 16 januari 2023 in werking getreden en moest uiterlijk 17 oktober 2024 in nationale wetgeving staan. NIS2 volgt de eerste NIS-richtlijn op, die Nederland in 2016 opnam in de Wet beveiliging netwerk- en informatiesystemen. De Nederlandse omzetting is de Cyberbeveiligingswet, op 7 juli 2026 aangenomen door de Eerste Kamer en van kracht per 15 augustus 2026 (Rijksoverheid, 2026).

Valt een bedrijf in je groep via een andere activiteit wel onder de wet? Dan gelden per 15 augustus 2026 direct de zorgplicht, de meldplicht en registratie in het nationale register dat de minister van Justitie en Veiligheid beheert (art. 43 lid 1 Cbw; Rijksoverheid, 2026). Voor de kenniseis van bestuurders geldt een overgangstermijn: ieder uitvoerend bestuurslid toont vóór 15 augustus 2028 met een trainingscertificaat aan dat het voldoet. Wie later wordt benoemd krijgt twee jaar vanaf benoeming (art. 24 lid 3 en 5 Cbw, 2026).

Voor bouw en installatie bestaat geen sectorregeling met een drempelgetal voor een significant incident. Een bedrijf dat wel entiteit is, toetst dan aan de twee criteria van artikel 25 lid 2 Cbw: ernstige operationele verstoring of financieel verlies, en aanzienlijke materiële of immateriële schade bij anderen. De onderbouwing daarvan ligt bij het bedrijf zelf.

Wat NIS2-plichtige opdrachtgevers van je eisen

Welke ICT van je bouw- of installatiebedrijf raakt NIS2?

De ICT van een bouw- of installatiebedrijf raakt NIS2 waar een NIS2-plichtige opdrachtgever de eisen uit NIS2 artikel 21 doorzet naar zijn leveranciers. Het gaat om Microsoft 365-accounts, laptops en tablets van uitvoerders en monteurs, projectbestanden en beheerrechten. Software en installaties die van de opdrachtgever of een softwareleverancier zijn, vallen buiten die afspraak.

Het NIS2 Quality Mark-schema is gemapt op artikel 21 en eist dat het management nauw betrokken is bij de maatregelen. Per bedrijfsmiddel, servers en opslag inbegrepen, hoort een eigenaar benoemd te zijn die verantwoordelijk is voor de bescherming ervan. Een installatiebedrijf zonder eigen ICT-medewerker loopt daar snel vast, want mkb-bedrijven hebben vaak geen gespecialiseerde ICT- of cybersecuritymensen in dienst.

Per onderdeel verschilt waar de eis landt. De tabel verbindt elk ICT-onderdeel aan de maatregel uit artikel 21 en laat zien welk deel buiten het beheer van ClickOn valt.

Een installateur die een klimaatinstallatie met afstandsbediening oplevert, draagt daarna geen beheer over die besturing via de werkplek. De eis voor die installatie landt bij de partij die het gebouw beheert. Wat wel op jouw bord ligt, zijn de accounts en apparaten waarmee je team elke dag werkt.

Compliant werkplekbeheer dat NIS2-klaar is

Waarom speelt dit nu in bouw en installatie?

Bouw en installatie groeit, met de bouwinstallatie als sterkste groeier: volgens het CBS steeg de toegevoegde waarde van de gespecialiseerde bouw met 3,8 procent in 2021 en 5,7 procent in 2022 (CBS, 2023). Het CBS noemt verwarming, ventilatie en isolatie en wijst energiecrisis en verduurzaming aan als mogelijke oorzaak (CBS, 2023). Meer projecten betekent meer monteursaccounts en laptops, en Doorlopend werkplekbeheer houdt die met MFA, patches en back-ups onder één beheer.

Opdrachtgevers die al onder de Wbni vielen, houden hun verplichtingen tot de Cyberbeveiligingswet in werking treedt en zetten die daarna door naar leveranciers. Een installatiebedrijf met 5,7 procent groei in toegevoegde waarde (CBS, 2023) krijgt die ketenvragen dus bij meer opdrachten tegelijk. De Compliance Quick Scan geeft in één dag de stand van je Microsoft 365-omgeving met een prioriteitenroadmap, en de Compliance Journey levert daarna per maatregel het bewijs.

In welke branche zit jouw bedrijf?

Bouw en installatie valt uiteen in veertien branches, elk met een eigen branchepagina over NIS2 en de ketenvragen van opdrachtgevers. Het overzicht "Beschermen van je belangrijkste belangen" noemt onder meer het bouwbedrijf, de cv-installateur en het elektrotechnisch bedrijf als afzonderlijke bedrijfstypen met eigen operationele belangen.

De verschillen per branche zitten vooral in wat opdrachtgevers naast informatiebeveiliging uitvragen. Een elektrotechnisch bedrijf krijgt andere certificaateisen dan een sloopbedrijf of een hovenier. De ICT-eisen uit de tabel hierboven blijven voor alle veertien gelijk.

Wil je weten of je bedrijf zelf onder de wet valt? De beslisboom van de Cyberbeveiligingswet toetst eerst de sector en daarna pas omzet en balanstotaal.

Welke andere normen gelden er in bouw en installatie?

In bouw en installatie vragen opdrachtgevers naast veiligheids- en duurzaamheidscertificaten steeds vaker ISO 27001 en de AVG zodra een opdracht informatiebeveiliging raakt. ISO 9001 speelt mee voor documentbeheer, toegangsbeheer en registraties. Welke norm geldt, bepaalt de opdrachtgever per opdracht en per branche.

ISO 27001

Opdrachtgevers vragen een gecertificeerd managementsysteem voor informatiebeveiliging, ISO 27001 of gelijkwaardig, met een verklaring van toepasselijkheid over de scope van de opdracht. Die eis geldt ook voor combinanten en onderaannemers, met jaarlijks bewijs over toereikendheid en werking. Een mkb-panel stelde voor om ISO 27001 als kapstok te gebruiken, omdat veel mkb-bedrijven die standaard al kennen.

AVG

De AVG raakt elk bouw- en installatiebedrijf dat naw-gegevens van bewoners, toegangscodes of gegevens van eigen personeel verwerkt. Bij renovatie in bewoonde woningen komt dat bij bijna elke planning voor.

ISO 9001

Opdrachtgevers vragen NEN-EN-ISO 9001 met de scope van de opdracht als toepassingsgebied. Het ICT-deel daarvan is smal: documentbeheer, toegangsbeheer en registraties in Microsoft 365.

Wat opdrachtgevers daarnaast vragen

VCA en de CO2-prestatieladder vragen opdrachtgevers vaak naast informatiebeveiliging. Die eisen gaan over veiligheid en CO2-uitstoot, niet over ICT. ClickOn heeft daar geen rol in.

Veelgestelde vragen over NIS2 in Bouw en installatie

Valt mijn bouwbedrijf onder NIS2 als ik meer dan 50 medewerkers heb?

Nee, niet op grond van de omvang alleen. Bouw en installatie staat niet in de bijlagen van NIS2, dus de omvangtoets komt voor die activiteit niet aan de orde. Je krijgt wel met NIS2 te maken via opdrachtgevers die zelf onder de wet vallen.

Sinds wanneer geldt de Cyberbeveiligingswet?

De Cyberbeveiligingswet is op 7 juli 2026 aangenomen door de Eerste Kamer en geldt per 15 augustus 2026 (Rijksoverheid, 2026). De RDI beantwoordt in zijn veelgestelde vragen welke verplichtingen sindsdien gelden.

Waarom vraagt een opdrachtgever NIS2-maatregelen van mijn installatiebedrijf?

Een NIS2-plichtige opdrachtgever moet de beveiliging van zijn toeleveringsketen regelen en zet de eisen uit NIS2 artikel 21 daarom door naar leveranciers. Het NCSC wijst op de rol van de keten bij het beheersen van cyberrisico's.

Vallen BIM-software en het projectportaal van de opdrachtgever onder het werkplekbeheer?

Nee. Calculatie-, BIM- en tekeningensoftware en het projectportaal van de opdrachtgever staan buiten scope, net als gebouwgebonden installaties die na oplevering op afstand bereikbaar blijven. De eis landt daar bij de leverancier of de beheerder van het gebouw.

Wat telt als significant incident in bouw en installatie?

Voor bouw en installatie bestaat geen sectorregeling met een drempelgetal. Een bedrijf dat wel entiteit is, toetst aan de twee criteria van artikel 25 lid 2 Cbw en onderbouwt die beoordeling zelf.

Waar komt de 2 in NIS2 vandaan?

NIS2 volgt de eerste NIS-richtlijn op, die Nederland in 2016 opnam in de Wet beveiliging netwerk- en informatiesystemen.

Welke normen vragen opdrachtgevers naast informatiebeveiliging?

Naast ISO 27001, de AVG en ISO 9001 vragen opdrachtgevers vaak VCA en de CO2-prestatieladder. Die eisen gaan over veiligheid en CO2-uitstoot en vallen buiten het ICT-beheer.