NIS2 voor aannemers

Valt jouw aannemersbedrijf onder NIS2?

Een aannemersbedrijf valt als bouwbedrijf niet zelf onder NIS2. De bouw staat niet in de bijlagen van NIS2 en ook niet in de bijlagen van de Cyberbeveiligingswet, dus de omvangtoets komt voor een aannemer als zodanig niet aan de orde. De eisen bereiken je wel, via opdrachtgevers die zelf onder de Cyberbeveiligingswet vallen.

De Rijksinspectie Digitale Infrastructuur (RDI) schrijft dat ook toeleveranciers van zulke organisaties onder de wet kunnen vallen, afhankelijk van hun rol in de keten (RDI, 2026). Een aannemer die bijvoorbeeld een netbeheerder of drinkwaterbedrijf bedient, levert dus aan de keten die de wet wil beschermen. Doe je naast het bouwen zelf een activiteit die wel in een bijlage staat, controleer dat dan met de NIS2 Zelfevaluatie van de RDI.

Voor bedrijven in een aangewezen sector telt de omvang. De Cyberbeveiligingswet kijkt daarvoor naar het aantal medewerkers, de jaaromzet en het balanstotaal (NCSC, 2026).

De ondergrens ligt bij 50 medewerkers (Cyberbeveiligingswet, 2026). Een bedrijf met minder medewerkers haalt de drempel ook bij meer dan 10 miljoen euro jaaromzet én een balanstotaal boven 10 miljoen euro (Cyberbeveiligingswet, 2026).

Een bedrijf met 50 tot 249 medewerkers wordt een belangrijke entiteit (Cyberbeveiligingswet, 2026). Vanaf 250 medewerkers, of bij een jaaromzet boven 50 miljoen euro én een balanstotaal boven 43 miljoen euro, wordt het een essentiële entiteit met proactief toezicht (Cyberbeveiligingswet, 2026). Omzet alleen is dus niet genoeg: beide voorwaarden moeten gelden.

De boete voor een essentiële entiteit bedraagt ten hoogste 10 miljoen euro of 2 procent van de wereldwijde jaaromzet, het hoogste van de twee (art. 80 en 87 lid 3 Cbw, 2026). Voor een belangrijke entiteit is dat 7 miljoen euro of 1,4 procent (art. 80 en 87 lid 3 Cbw, 2026).

Sommige organisaties vallen er ongeacht hun omvang onder. Daartoe horen overheidsorganisaties, DNS-dienstverleners, aanbieders van registers voor topleveldomeinnamen, gekwalificeerde verleners van vertrouwensdiensten en kritieke entiteiten onder de Wet weerbaarheid kritieke entiteiten (art. 8 lid 1 Cbw, 2026). Voor aannemers telt dat vooral aan de andere kant van het contract: een gemeente of provincie als opdrachtgever is altijd een Cbw-organisatie.

Wat NIS2-plichtige opdrachtgevers van je eisen

NIS2-plichtige opdrachtgevers moeten volgens NIS2 artikel 21 ook de beveiliging van hun toeleveringsketen regelen, via hun directe leveranciers van producten en diensten. Een aannemer die voor een netbeheerder, waterschap of gemeente bouwt, krijgt die eis in het contract. Als hoofdaannemer leg je hem op jouw beurt door aan je onderaannemers.

NIS2 legt verplichtingen op aan kritieke sectoren zoals energie en transport (Werkwijzer NIS2 Quality Mark, 2025). Juist daar zitten de opdrachtgevers van infra- en utiliteitsaannemers. Wat zo'n opdrachtgever van jou vraagt, gaat over je e-mail, je accounts, je back-ups en hoe snel je een incident doorgeeft.

Die meldketen heeft een eigen procedure nodig. Het NIS2 Kwaliteitsmerk vraagt om een vastgelegde meldprocedure voor incidenten richting de bevoegde overheid (NIS2 Kwaliteitsmerk, 2025). Je opdrachtgever meldt, maar hij kan alleen melden wat jij hem op tijd vertelt.

De bouw heeft geen eigen sectorregeling met een getal voor een significant incident. Dan gelden de twee algemene criteria uit artikel 25 lid 2 van de Cyberbeveiligingswet: ernstige operationele verstoring of financieel verlies, en aanzienlijke schade aan anderen (Cyberbeveiligingswet, 2026). De onderbouwing daarvan ligt bij de entiteit zelf, dus bij je opdrachtgever.

De Doorlegcheck voor aannemers

De Doorlegcheck zet de drie contractsituaties van een aannemer naast elkaar. Per situatie beantwoord je één vraag: wie moet aan de eis voldoen, en hoe lang?

Als hoofdaannemer draag je de eis door naar elke onderaannemer die in jouw systemen of projectdossiers werkt. Werk je in een combinatie, dan moeten alle combinanten eraan voldoen, niet alleen de penvoerder. Bij een bouwteamopdracht geldt de eis de hele looptijd van de overeenkomst, dus ook in jaar twee en drie.

Wat valt op? Een certificaat dat halverwege een bouwteam verloopt, is een contractprobleem. Audit-klaar blijven weegt daarom zwaarder dan audit-klaar worden.

Welke ICT van een aannemer raakt NIS2?

De ICT van een aannemer die NIS2 raakt, is vooral de Microsoft 365-omgeving: accounts, e-mail, projectdossiers en de laptops en tablets op de bouwplaats. De Europese richtlijn noemt concrete maatregelen, zoals multifactorauthenticatie en beveiligde communicatie binnen de organisatie (NIS2 Quality Mark, 2026). Machines en materieel op de bouwplaats vallen buiten die eis.

Het NIS2 Quality Mark-schema is gemapt op artikel 21 van NIS2 (NIS2 Quality Mark, 2024). De auditrichtlijnen vragen dat per bedrijfsmiddel, zoals servers, dataopslag en firewalls, een eigenaar is benoemd die verantwoordelijk is voor de bescherming (NIS2 Quality Mark Auditrichtlijnen, 2025). Voor een aannemer betekent dat een overzicht van elk apparaat, ook de tablet in de bouwkeet.

De scherpste rij is je calculatie- en projectsoftware. Daar zit je begroting in, en die is commercieel gevoelig richting je opdrachtgever en richting je concurrent. ClickOn beheert de software zelf niet, maar wel wie er via de Microsoft 365-accounts bij kan.

Elke rij verbindt een onderdeel van je ICT aan een maatregel die een opdrachtgever uitvraagt. Wat buiten scope staat, regel je met de leverancier van die software of dat materieel.

Compliant werkplekbeheer dat NIS2-klaar is

Compliant werkplekbeheer voor aannemers houdt de Microsoft 365-omgeving op kantoor, in de bouwkeet en op de tablet van de uitvoerder doorlopend op het niveau dat NIS2-plichtige opdrachtgevers uitvragen. Het NIS2 Quality Mark-schema wijst erop dat mkb-bedrijven vaak geen eigen ICT- of cybersecuritymedewerkers hebben (NIS2 Quality Mark, 2024). Bij de meeste aannemers is dat precies de situatie.

Hetzelfde schema stelt dat medewerkers in het mkb zich vaak minder bewust zijn van cyberrisico's en weinig training krijgen (NIS2 Quality Mark, 2024). Een uitvoerder die tussen twee bouwplaatsen een factuurmail opent, is daar het voorbeeld van. Doorlopend werkplekbeheer regelt helpdesk, MFA, endpointbeveiliging, patchmanagement, automatische back-ups en monitoring voor elke werkplek.

Een auditor kijkt ook op de werkvloer. De NIS2 Quality Mark-auditrichtlijnen noemen observaties of medewerkers hun scherm vergrendelen en vertrouwelijke informatie weghalen als ze hun werkplek verlaten (NIS2 Quality Mark Auditrichtlijnen, 2025). Een laptop met de begroting open in een onbemande bouwkeet valt daar direct onder.

Weet je niet waar je staat? De Compliance Quick Scan geeft in één dag een technische nulmeting van je Microsoft 365-omgeving met een prioriteitenroadmap. De Compliance Journey neemt daarna het ICT-deel van je NIS2-traject voor zijn rekening, met bewijs per maatregel; het organisatorische deel doet onze compliance-partner of je eigen adviseur.

Waarom speelt dit nu in de aannemerij?

De Cyberbeveiligingswet, de Nederlandse omzetting van NIS2, is op 7 juli 2026 aangenomen door de Eerste Kamer en geldt sinds 15 augustus 2026 (Rijksoverheid, 2026). NIS2 zelf trad op 16 januari 2023 in werking, met 17 oktober 2024 als omzettingsdeadline (Richtlijn (EU) 2022/2555, 2022). De Rijksoverheid adviseert organisaties niet af te wachten, omdat de risico's er nu al zijn (NCSC, 2026).

Je opdrachtgevers hebben sinds 15 augustus 2026 direct een zorgplicht, meldplicht en registratieplicht in het register van de minister van Justitie en Veiligheid (art. 43 lid 1 Cbw, 2026). De zorgplicht vraagt maatregelen om incidenten te voorkomen en de gevolgen voor afnemers te beperken (NCSC, 2026). Daarom verschijnen de ICT-vragen nu in je aanbestedingen, en een Compliance Quick Scan laat in één dag zien welke je al kunt beantwoorden.

Voor bestuurders van je opdrachtgever loopt een overgangstermijn: ieder uitvoerend bestuurslid voldoet vóór 15 augustus 2028 aantoonbaar aan de kenniseis, met een trainingscertificaat als bewijs (art. 24 lid 3 en 5 Cbw, 2026). Wie later wordt benoemd, krijgt twee jaar vanaf benoeming (art. 24 lid 3 en 5 Cbw, 2026). Die bestuurders gaan ook naar hun leveranciers kijken, en doorlopend werkplekbeheer levert je het bewijs dat ze dan vragen.

Welke andere normen gelden er voor aannemers?

Voor aannemers gelden naast de informatiebeveiligingseisen van opdrachtgevers vooral ISO 27001, de AVG, ISO 9001 en bij overheidsopdrachten de BIO. De Baseline Informatiebeveiliging Overheid (BIO2) is bedoeld als één kader voor afnemers en leveranciers binnen de overheid en het bedrijfsleven (Cyberbeveiligingsregeling Overheid, 2026). Welke norm speelt, bepaalt de opdrachtgever.

ISO 27001 komt in beeld zodra een opdrachtgever informatiebeveiliging uitvraagt in de aanbesteding. De norm regelt een managementsysteem voor informatiebeveiliging, en een certificaat is bij grotere opdrachtgevers vaak het snelste bewijs.

De AVG geldt voor elke aannemer die persoonsgegevens verwerkt, van personeelsdossiers tot gegevens van bewoners bij renovatie. Opdrachtgevers vragen haar uit naast informatiebeveiliging, vaak met een verwerkersovereenkomst erbij.

ISO 9001 raakt je ICT via documentbeheer, toegangsbeheer en registraties in Microsoft 365 (NEN-EN-ISO 9001, 2015). Voor die registraties en rechten zorgt het werkplekbeheer; de rest van je kwaliteitssysteem blijft bij je kwaliteitsadviseur.

De BIO speelt waar een overheidsopdrachtgever hem doorlegt aan zijn leveranciers. Elke entiteit bepaalt zelf welke interne en externe eisen van toepassing zijn (BIO2, 2025), dus lees per opdracht wat de gemeente of provincie van je vraagt.

Naast informatiebeveiliging vragen opdrachtgevers in de bouw ook VCA en de CO2-prestatieladder uit. Die eisen regel je met je eigen VCA- en duurzaamheidsadviseur; ClickOn heeft daarin geen rol. Ook hier geldt: in een combinatie voldoen alle combinanten, en in een bouwteam de hele looptijd.

Veelgestelde vragen over NIS2 voor aannemers

Valt een aannemer zelf onder NIS2?

Een aannemer valt als bouwbedrijf niet zelf onder NIS2, omdat de bouw niet in de bijlagen staat. De RDI wijst er wel op dat toeleveranciers onder de wet kunnen vallen, afhankelijk van hun rol in de keten (RDI, 2026). Controleer een activiteit buiten de bouw met de NIS2 Zelfevaluatie van de RDI.

Waarom krijg ik als aannemer NIS2-eisen in mijn contract?

NIS2-plichtige opdrachtgevers moeten volgens artikel 21 ook hun toeleveringsketen beveiligen. Een netbeheerder, waterschap of gemeente legt die eis daarom bij jou neer. Als hoofdaannemer draag je hem door aan je onderaannemers.

Moeten alle combinanten in een combinatie voldoen?

In een combinatie moeten alle combinanten aan de eis voldoen, niet alleen de penvoerder. Bij een bouwteamopdracht geldt de eis de hele looptijd van de overeenkomst.

Wat telt als een significant incident bij een aannemer?

De bouw heeft geen sectorregeling met een eigen melddrempel. Dan gelden de twee algemene criteria uit artikel 25 lid 2 van de Cyberbeveiligingswet: ernstige operationele verstoring of financieel verlies, en aanzienlijke schade aan anderen (Cyberbeveiligingswet, 2026). De onderbouwing ligt bij je opdrachtgever als entiteit.

Valt mijn calculatiesoftware onder het werkplekbeheer?

Calculatie- en projectsoftware valt buiten de scope van het werkplekbeheer. Wie er via de Microsoft 365-accounts bij kan, wordt wel beheerd, en dat telt omdat je begroting commercieel gevoelig is.

Sinds wanneer geldt de Cyberbeveiligingswet?

De Cyberbeveiligingswet geldt sinds 15 augustus 2026 (Rijksoverheid, 2026). Bestuurders van je opdrachtgever hebben tot 15 augustus 2028 om aantoonbaar aan de kenniseis te voldoen (art. 24 lid 3 en 5 Cbw, 2026).