NIS2 voor bestratingsbedrijven: wat de wet van je vraagt

Valt jouw bestratingsbedrijf onder NIS2?

Een bestratingsbedrijf valt meestal niet rechtstreeks onder NIS2, omdat bestrating niet als sector in de bijlagen van de richtlijn staat. De Cyberbeveiligingswet, de Nederlandse omzetting van NIS2, bereikt je via de keten. Gemeenten en provincies vallen er als overheidsorganisatie ongeacht hun omvang onder (art. 8 lid 1 Cbw, 2026).

NIS2 (Richtlijn (EU) 2022/2555) is op 16 januari 2023 in werking getreden, en lidstaten moesten de richtlijn uiterlijk 17 oktober 2024 omzetten (Richtlijn (EU) 2022/2555, 2022). De Cyberbeveiligingswet kijkt naar twee dingen: de sector waarin je actief bent en de omvangscriteria, ook wel de size cap genoemd. Voor die omvang tellen onder meer het aantal medewerkers, de jaaromzet en het balanstotaal.

De omvangdrempel ligt op 50 medewerkers, of op meer dan 10 miljoen euro jaaromzet én een balanstotaal boven 10 miljoen euro (Cbw, 2026). Een organisatie in een aangewezen sector met 50 tot 249 medewerkers is een belangrijke entiteit (Cbw, 2026). Een essentiële entiteit met proactief toezicht ontstaat vanaf 250 medewerkers, of bij een jaaromzet boven 50 miljoen euro én een balanstotaal boven 43 miljoen euro, dus beide voorwaarden samen (Cbw, 2026).

De boete voor een essentiële entiteit bedraagt ten hoogste 10 miljoen euro of 2 procent van de wereldwijde jaaromzet, telkens het hoogste bedrag (art. 80 en 87 lid 3 Cbw, 2026). Voor een belangrijke entiteit is dat 7 miljoen euro of 1,4 procent (art. 80 en 87 lid 3 Cbw, 2026).

Bestrating staat niet in de bijlagen. Daardoor komt de omvangtoets voor je bestratingswerk niet aan de orde, hoe groot je bedrijf ook is. Voer je naast bestrating andere activiteiten uit, dan toets je die met de NIS2 Zelfevaluatie van de Rijksinspectie Digitale Infrastructuur (RDI), die ook aangeeft of je essentieel of belangrijk bent.

Een bestratingsbedrijf legt straten, pleinen en fietspaden aan voor gemeenten die onder de Cyberbeveiligingswet vallen. Die gemeente moet de beveiliging van haar toeleveranciers meenemen in haar eigen zorgplicht. Jij krijgt NIS2 dus te zien als contracteis in het bestek, niet als eigen registratieplicht.

Wat NIS2-plichtige opdrachtgevers van je eisen

Welke ICT van een bestratingsbedrijf raakt NIS2?

De ICT van een bestratingsbedrijf raakt NIS2 op de plekken waar een gemeentelijke opdrachtgever gegevens met je deelt: Microsoft 365-accounts, laptops van werkvoorbereiders en uitvoerders, en de bestanden per bestek. Artikel 21 van NIS2 noemt daarbij onder meer multifactorauthenticatie en beveiligde communicatie als maatregel.

De eisen landen op de kantoor-ICT en niet op de bouwplaats. Machines en GPS-besturing op de straatmachine vallen buiten de eisen. Project- en urenregistratie en KLIC-meldingen vallen buiten het beheer, maar de toegang ertoe hoort er wel bij.

Die toegang is het punt. Bij een KLIC-melding voor graafwerk ontvang je gegevens over de ligging van kabels en leidingen, en de urenregistratie per bestek is de basis voor je facturatie aan de gemeente. Wie met welk account bij die gegevens kan, is de vraag die een NIS2-plichtige opdrachtgever stelt.

Een auditor verwacht per bedrijfsmiddel of groep bedrijfsmiddelen een benoemde eigenaar die verantwoordelijk is voor de bescherming ervan. Mkb-bedrijven hebben vaak geen eigen gespecialiseerde ICT- of cybersecuritymedewerkers. In een bestratingsbedrijf ligt die eigenaarsrol dus bij iemand die ook de planning en de calculatie doet.

Die afbakening heet bij ons de wegvaklijn. Alles wat via een Microsoft 365-account loopt, ligt binnen de lijn en valt onder beheer. Alles wat op een machine draait, ligt erbuiten.

Het NIS2 Quality Mark is gemapt op artikel 21 van NIS2, en de uitwerking daarvan vraagt nauwe betrokkenheid van het management. Voor een bestratingsbedrijf betekent dat: de directeur tekent voor de wegvaklijn, ClickOn levert het bewijs per maatregel.

Compliant werkplekbeheer dat NIS2-klaar is

Waarom speelt dit nu in de bestrating?

De Cyberbeveiligingswet treedt op 15 augustus 2026 in werking, na aanneming door de Eerste Kamer op 7 juli 2026 (Rijksoverheid, 2026). Vanaf die datum gelden zorgplicht, meldplicht en registratie in het nationale register van de minister van Justitie en Veiligheid direct voor gemeenten en provincies (art. 43 lid 1 Cbw, 2026). Een Compliance Quick Scan laat in één dag zien waar je Microsoft 365-omgeving achterloopt op wat die opdrachtgevers gaan vragen.

Uitvoerende bestuursleden van je NIS2-plichtige opdrachtgevers moeten uiterlijk 15 augustus 2028 aantoonbaar aan de kenniseis voldoen, met een trainingscertificaat als bewijs (art. 24 lid 3 en 5 Cbw, 2026). Een mkb-panel ervoer de eis van een externe, onafhankelijke trainer al als belastend, en de Rijksoverheid adviseert niet af te wachten omdat de risico's er nu al zijn. Doorlopend werkplekbeheer houdt je bewijs per maatregel actueel over die hele periode, want audit-klaar blijven is beheer.

Welke andere normen gelden er voor bestratingsbedrijven?

Voor bestratingsbedrijven gelden naast informatiebeveiligingswetgeving vooral ISO 27001, ISO 9001, de Baseline Informatiebeveiliging Overheid (BIO) en, bij werk in de openbare ruimte, de CER-richtlijn. Welke daarvan meetelt, bepaalt meestal de gemeente of provincie in de aanbestedingsstukken. Elke organisatie stelt volgens de BIO zelf vast welke interne en externe eisen van toepassing zijn.

ISO 27001

ISO 27001 regelt een managementsysteem voor informatiebeveiliging en komt in beeld zodra een gemeente informatiebeveiliging uitvraagt. Een mkb-panel stelde voor om ISO 27001 als kapstok te hanteren (Staatsblad, 2026).

ISO 9001

ISO 9001 vraagt de opdrachtgever als kwaliteitseis. Voor je ICT speelt de norm alleen in zijn enge rol: documentbeheer, toegangsbeheer en registraties in Microsoft 365, zoals de urenregistratie en de revisietekeningen per project.

BIO

De BIO geldt voor de overheid zelf, en een gemeente of provincie legt haar beveiligingseisen door in de afspraken met leveranciers. Forum Standaardisatie vroeg om te verduidelijken wat het opnemen van beveiligingseisen in leveranciersafspraken voor die leverancier betekent (Staatscourant, 2026).

CER-richtlijn

De CER-richtlijn gaat over de weerbaarheid van kritieke entiteiten en raakt je waar je werk de openbare ruimte en ondergrondse infrastructuur raakt. Bestraat je boven kabels en leidingen van een aangewezen kritieke entiteit, dan kan die partij eigen eisen aan je toegang en gegevens stellen.

Opdrachtgevers kunnen daarnaast de veiligheidschecklist voor aannemers, de CO2-prestatieladder en bij grondwerk het procescertificaat voor bodemsanering uitvragen. Dat zijn eisen van de opdrachtgever buiten informatiebeveiliging. ClickOn speelt daarin geen rol.

Veelgestelde vragen over NIS2 voor bestratingsbedrijven

De veelgestelde vragen over NIS2 voor bestratingsbedrijven gaan over drie dingen: of je zelf onder de Cyberbeveiligingswet valt, waarom een gemeente toch eisen stelt en welke ICT daarbij meetelt. De antwoorden hieronder volgen de uitleg van het Nationaal Cyber Security Centrum (NCSC) en de Rijksinspectie Digitale Infrastructuur (RDI).

Valt een bestratingsbedrijf zelf onder NIS2?

Een bestratingsbedrijf valt meestal niet zelf onder NIS2, omdat bestrating niet in de bijlagen van de richtlijn staat. De omvangtoets komt daardoor niet aan de orde. Andere activiteiten toets je met de NIS2 Zelfevaluatie van de RDI.

Waarom stelt een gemeente dan NIS2-eisen aan mijn bedrijf?

Gemeenten en provincies vallen als overheidsorganisatie ongeacht hun omvang onder de Cyberbeveiligingswet (art. 8 lid 1 Cbw, 2026). Zij moeten de beveiliging van hun toeleveranciers meenemen, en daardoor komt NIS2 als contracteis in je bestek terecht. NIS2 is de opvolger van de eerste NIS-richtlijn, die in Nederland in 2016 in de Wbni is opgenomen (NCSC, 2026).

Welke drempel geldt als mijn bedrijf wel in een aangewezen sector actief is?

De drempel ligt op 50 medewerkers, of op meer dan 10 miljoen euro jaaromzet én een balanstotaal boven 10 miljoen euro (Cbw, 2026). Met 50 tot 249 medewerkers ben je een belangrijke entiteit. Vanaf 250 medewerkers, of boven 50 miljoen euro omzet én 43 miljoen euro balanstotaal, ben je een essentiële entiteit (Cbw, 2026).

Valt mijn urenregistratie onder de eisen?

Project- en urenregistratie valt buiten het beheer, maar de toegang ertoe telt wel mee. De eis landt op wie inlogt en met welk account, en die toegang beheert ClickOn via Microsoft 365-accounts en MFA.

Wat betekent NIS2 voor KLIC-gegevens bij graafwerk?

Bij een KLIC-melding ontvang je gegevens over de ligging van kabels en leidingen. Die gegevens vallen in dezelfde categorie als de urenregistratie: buiten scope, toegang beheerd.

Vanaf wanneer gelden de verplichtingen?

De Cyberbeveiligingswet treedt op 15 augustus 2026 in werking. Zorgplicht, meldplicht en registratie gelden vanaf die datum direct, en voor de kenniseis van bestuurders loopt een overgangstermijn tot 15 augustus 2028 (art. 24 lid 3 en 5 Cbw, 2026).