NIS2 voor bouwbedrijven

Valt jouw bouwbedrijf onder NIS2?

Een bouwbedrijf valt niet rechtstreeks onder NIS2, omdat de bouw geen aangewezen sector is in de bijlagen van NIS2 (EU-richtlijn 2022/2555). De Cyberbeveiligingswet (Cbw), de Nederlandse omzetting van NIS2, past de omvangtoets alleen toe binnen een aangewezen sector. Een bouwbedrijf krijgt met NIS2 dus te maken via NIS2-plichtige opdrachtgevers die eisen stellen aan hun keten.

Voor je bouwactiviteit komt de omvangtoets daarom niet aan de orde, hoeveel medewerkers je ook in dienst hebt. Het NCSC toetst omvang op het aantal medewerkers, de jaaromzet en het balanstotaal, en meldt zelf dat de omvangscriteria alleen niet altijd bepalend zijn. Voer je naast het bouwwerk een activiteit uit in een sector uit de bijlagen, dan wijst de doorverwijsboom van het NCSC je naar de juiste toezichthouder.

Voor de volledigheid staan hier de drempels die gelden voor bedrijven binnen een aangewezen sector. De omvangcriteria van de Cbw zijn 50 medewerkers, of meer dan 10 miljoen euro jaaromzet én een balanstotaal boven 10 miljoen euro (Cyberbeveiligingswet, 2026). Een bedrijf met 50 tot 249 medewerkers wordt een belangrijke entiteit (Cyberbeveiligingswet, 2026).

Een essentiële entiteit met proactief toezicht ontstaat vanaf 250 medewerkers, of bij een jaaromzet boven 50 miljoen euro én een balanstotaal boven 43 miljoen euro (Cyberbeveiligingswet, 2026). Omzet alleen is dus niet genoeg: beide voorwaarden moeten tegelijk gelden. De boete voor een essentiële entiteit bedraagt ten hoogste 10 miljoen euro of 2 procent van de wereldwijde jaaromzet, het hoogste van de twee (art. 80 en 87 lid 3 Cbw, 2026).

Voor een belangrijke entiteit ligt het maximum op 7 miljoen euro of 1,4 procent van de wereldwijde jaaromzet, eveneens het hoogste van de twee (art. 80 en 87 lid 3 Cbw, 2026). Sommige entiteiten vallen er ongeacht hun omvang onder, waaronder overheidsorganisaties en kritieke entiteiten onder de Wet weerbaarheid kritieke entiteiten (art. 8 lid 1 Cbw, 2026). Daar zit de koppeling met de bouw: de gemeente die jouw schoolgebouw aanbesteedt, valt onder de wet, ook als jij dat niet doet.

Voor die opdrachtgevers gelden zorgplicht, meldplicht en registratie in het nationale register van de minister van Justitie en Veiligheid direct per 15 augustus 2026 (Rijksoverheid, 2026). Hun uitvoerende bestuurders moeten uiterlijk vóór 15 augustus 2028 aantoonbaar aan de kenniseis voldoen, met een trainingscertificaat als bewijs (art. 24 lid 3 en 5 Cbw, 2026). Wie later wordt benoemd, krijgt twee jaar vanaf de benoeming (art. 24 lid 3 en 5 Cbw, 2026).

Voor de bouw bestaat geen sectorregeling met een eigen getal voor een significant incident. Dan gelden de twee algemene criteria uit artikel 25 lid 2 Cbw: ernstige verstoring van de dienst of financieel verlies, en aanzienlijke schade aan anderen (Cyberbeveiligingswet, 2026). De onderbouwing of een incident significant is, ligt bij de entiteit zelf, dus bij je opdrachtgever.

Wat NIS2-plichtige opdrachtgevers van je eisen

Welke ICT van een bouwbedrijf raakt NIS2?

De ICT van een bouwbedrijf raakt NIS2 op de plekken waar een NIS2-plichtige opdrachtgever je systemen deelt of vertrouwt: Microsoft 365-accounts, laptops van uitvoerders, projectmappen en vooral het gedeelde BIM-dossier. NIS2 artikel 21 vraagt onder meer toegangsbeleid, beheer van bedrijfsmiddelen en multifactorauthenticatie.

Het BIM-model is gedeelde ruimte. Architect, constructeur, installateur en opdrachtgever werken in hetzelfde dossier, dus de beveiligingsvraag gaat over wie waar bij mag en hoe die toegang vervalt. NIS2 noemt multifactorauthenticatie en beveiligde communicatie binnen de entiteit expliciet als maatregel.

Een bouwbedrijf deelt projectmappen met partijen die het niet in dienst heeft. Een constructeur die na de oplevering nog lees- en schrijfrechten op de tekeningen heeft, is een open deur in het dossier van je opdrachtgever. De tabel laat per onderdeel zien waar de eis landt en of ClickOn het beheert.

De Sleutelbosregel vat de tabel samen: elk extern account in het projectdossier heeft een eigenaar, een rol en een einddatum. De NIS2 Quality Mark-auditrichtlijnen vragen per bedrijfsmiddel een benoemde eigenaar die verantwoordelijk is voor de bescherming ervan. Vervalt het project, dan vervalt de sleutel.

De BIM-applicatie en de kraanbesturing beheer je dus niet via ClickOn. De accounts waarmee mensen in die BIM-omgeving inloggen, beheert ClickOn wel.

Compliant werkplekbeheer dat NIS2-klaar is

Waarom speelt dit nu in de bouw?

De Cyberbeveiligingswet treedt op 15 augustus 2026 in werking, na aanneming door de Eerste Kamer op 7 juli 2026 (Rijksoverheid, 2026). Vanaf die datum gelden zorgplicht en meldplicht direct voor de overheidsorganisaties die bouwbedrijven inhuren (Rijksoverheid, 2026). Met de Compliance Quick Scan zie je in één dag hoe je Microsoft 365-omgeving ervoor staat, met een prioriteitenroadmap voor het ICT-deel.

NIS2 (EU-richtlijn 2022/2555) is op 16 januari 2023 in werking getreden en de omzettingsdeadline voor lidstaten lag op 17 oktober 2024 (NIS2-richtlijn, 2022). De Rijksoverheid adviseert niet af te wachten, omdat de risico's voor organisaties en systemen er nu al zijn (Rijksoverheid, 2026). Een lopend projectdossier met accounts van architect en constructeur verandert niet vanzelf op 15 augustus 2026 (Rijksoverheid, 2026), dus de Compliance Journey pakt het ICT-deel aan van nulmeting tot technische audit-check, met bewijs per maatregel.

Welke andere normen gelden er voor bouwbedrijven?

Voor bouwbedrijven spelen vier normen rond informatie mee: ISO 27001 en de AVG zodra een opdrachtgever informatiebeveiliging uitvraagt, ISO 9001 voor documentbeheer en registraties in Microsoft 365, en de BIO waar een overheidsopdrachtgever hem in het contract doorlegt. Welke norm speelt, bepaalt de uitvraag van je opdrachtgever.

ISO 27001

ISO 27001 komt in beeld wanneer een opdrachtgever een aantoonbaar managementsysteem voor informatiebeveiliging vraagt, bijvoorbeeld bij bouwteamselecties voor gevoelige objecten. Een mapping tussen normen voorkomt dat je voor elke uitvraag apart beleid schrijft.

ISO 9001

ISO 9001 speelt hier in een enge rol: documentbeheer van tekeningen en revisies, toegangsbeheer op projectmappen en registraties die in Microsoft 365 staan. De rest van het kwaliteitssysteem valt buiten het ICT-deel.

AVG

De AVG geldt zodra je persoonsgegevens verwerkt, zoals bewonersgegevens bij renovatie of registraties van wie op de bouwplaats komt. Een opdrachtgever die informatiebeveiliging uitvraagt, vraagt de AVG vrijwel altijd mee.

BIO

De Baseline Informatiebeveiliging Overheid geldt voor overheidsorganisaties zelf. Een gemeente of provincie kan de BIO in de opdracht aan jou doorleggen, vaak voor de omgang met het projectdossier.

VCA, de CO2-prestatieladder en het CO2-bewustcertificaat vraagt de opdrachtgever vaak naast informatiebeveiliging uit. Die eisen gaan over veiligheid en CO2-reductie op het werk. ClickOn heeft daar geen rol in.

Veelgestelde vragen over NIS2 voor bouwbedrijven

De veelgestelde vragen over NIS2 voor bouwbedrijven gaan over de vraag of de bouw zelf onder de Cyberbeveiligingswet valt, wanneer de verplichtingen ingaan en wat er met het gedeelde BIM-dossier moet. De Cyberbeveiligingswet is de Nederlandse invulling van de NIS2-richtlijn. De antwoorden hieronder volgen de uitleg op deze branche.

Valt een bouwbedrijf zelf onder NIS2?

Nee, niet via de bouwactiviteit, want de bouw staat niet in de bijlagen van NIS2 (EU-richtlijn 2022/2555). Je krijgt er wel mee te maken via opdrachtgevers die onder de Cyberbeveiligingswet vallen, zoals overheidsorganisaties.

Wanneer gaan de verplichtingen in?

De Cyberbeveiligingswet geldt per 15 augustus 2026 voor organisaties binnen het toepassingsbereik (Rijksoverheid, 2026). Uitvoerende bestuurders van die organisaties hebben tot 15 augustus 2028 voor de kenniseis (art. 24 lid 3 en 5 Cbw, 2026).

Wat is het verschil tussen een belangrijke en een essentiële entiteit?

Binnen een aangewezen sector levert 50 tot 249 medewerkers een belangrijke entiteit op (Cyberbeveiligingswet, 2026). Vanaf 250 medewerkers, of bij meer dan 50 miljoen euro jaaromzet én een balanstotaal boven 43 miljoen euro, is het een essentiële entiteit (Cyberbeveiligingswet, 2026).

Moet ik de BIM-omgeving zelf beveiligen?

De BIM-applicatie valt buiten het werkplekbeheer van ClickOn, maar de accounts waarmee architect, constructeur en je eigen mensen inloggen vallen er wel onder. Volgens de Sleutelbosregel heeft elk extern account een eigenaar, een rol en een einddatum.

Wat telt als significant incident in de bouw?

Voor de bouw bestaat geen sectorregeling met een eigen drempel, dus gelden de twee criteria uit artikel 25 lid 2 Cbw (Cyberbeveiligingswet, 2026). De onderbouwing ligt bij de entiteit zelf, in jouw geval bij de opdrachtgever.

Tellen VCA of de CO2-prestatieladder mee voor NIS2?

Nee, VCA en de CO2-prestatieladder zijn eisen die opdrachtgevers naast informatiebeveiliging uitvragen. ClickOn heeft daar geen rol in.