NIS2 voor dakdekkersbedrijven: wanneer geldt het en wat moet je regelen

Valt jouw dakdekkersbedrijf onder NIS2?

Een dakdekkersbedrijf valt niet rechtstreeks onder NIS2, omdat dakdekken niet in de sectorbijlagen van de NIS2-richtlijn staat. Voor een dakdekker komt de omvangtoets van de Cyberbeveiligingswet daardoor niet aan de orde. NIS2 bereikt dakdekkersbedrijven via de keten: via opdrachtgevers en hoofdaannemers die zelf wel onder de wet vallen.

Het NCSC noemt die omvangtoets de size cap. Daarbij telt onder andere het aantal medewerkers, de jaaromzet en het balanstotaal. De omvangscriteria alleen zijn niet altijd doorslaggevend.

Een organisatie in een sector uit de bijlagen valt eronder vanaf 50 medewerkers, óf bij een jaaromzet én een balanstotaal die beide boven 10 miljoen euro liggen (Aanbeveling 2003/361/EG, 2003). Tussen 50 en 249 medewerkers is zo'n organisatie een belangrijke entiteit (Aanbeveling 2003/361/EG, 2003). In de hoogkritieke sectoren is een organisatie een essentiële entiteit vanaf 250 medewerkers, of bij een jaaromzet boven 50 miljoen euro én een balanstotaal boven 43 miljoen euro, waarbij omzet alleen niet genoeg is (Aanbeveling 2003/361/EG, 2003).

Twijfel je? De doorverwijsboom van het NCSC laat per organisatietype zien waar je terechtkunt. Organisaties die wel onder de wet vallen, registreren zich via Mijn.NCSC.nl.

Voor een dakdekkersbedrijf speelt de wet dus via het contract. Grote bouwbedrijven die zelf onder NIS2 vallen, geven hun beveiligingseisen door aan onderaannemers (Bouwend Nederland, 2025). Volgens de RDI hangt de positie van een toeleverancier af van zijn rol in de keten.

De NIS2-richtlijn (EU-richtlijn 2022/2555) trad op 16 januari 2023 in werking, met 17 oktober 2024 als omzettingsdeadline voor de lidstaten (NIS2-richtlijn, 2022). Voor je opdrachtgever gelden zorgplicht, meldplicht en registratieplicht direct vanaf 15 augustus 2026 (NCTV/Rijksoverheid, 2026). Elk uitvoerend bestuurslid van die opdrachtgever voldoet uiterlijk vóór 15 augustus 2028 aantoonbaar aan de kenniseis, met een trainingscertificaat als bewijs (NCTV/Rijksoverheid, 2026).

Wat NIS2-plichtige opdrachtgevers van je eisen

Welke ICT van een dakdekkersbedrijf raakt NIS2?

De ICT van een dakdekkersbedrijf raakt NIS2 op de plekken waar een opdrachtgever in zijn ketenvragenlijst naar vraagt: Microsoft 365-accounts, laptops en tablets, back-ups en toegangsrechten. De inmeet- en calculatie-app is het scherpste punt. Daarin staan foto's en adressen van panden van klanten, vaak met de zwakke plekken van het dak erbij.

Een dakfoto met adres vertelt een buitenstaander waar een pand kwetsbaar is. Die informatie gaat over het vastgoed van een ander. Een opdrachtgever wil dus weten wie er in die app kan.

De NIS2-richtlijn noemt multifactorauthenticatie en beveiligde communicatie binnen de entiteit expliciet als maatregel. Een auditor kijkt daarnaast per bedrijfsmiddel wie de eigenaar is en wie de bescherming ervan regelt. Hieronder staat per onderdeel waar de eis landt en wat ClickOn daarvan beheert.

ClickOn beheert de onderdelen die op je Microsoft 365-werkplek landen. Wat binnen de inmeet-app van de leverancier gebeurt, leg je vast in het contract met die leverancier. Mkb-bedrijven hebben vaak geen eigen ICT- of securitymedewerkers, en precies daar gaat een ketenvragenlijst op mis.

Compliant werkplekbeheer dat NIS2-klaar is

Waarom speelt dit nu voor dakdekkersbedrijven?

De Cyberbeveiligingswet treedt op 15 augustus 2026 in werking, nadat de Eerste Kamer op 7 juli 2026 instemde (NCSC, 2026). Vanaf die datum moeten opdrachtgevers van dakdekkersbedrijven hun keten beheersen, en de Rijksoverheid adviseert niet af te wachten. Met de Compliance Quick Scan zie je in één dag waar je Microsoft 365-omgeving staat, voordat de vragenlijst van de hoofdaannemer binnenkomt.

Opdrachtgevers lopen zelf boeterisico: tot 10 miljoen euro of 2 procent van de wereldwijde jaaromzet voor essentiële entiteiten, en tot 7 miljoen euro of 1,4 procent voor belangrijke entiteiten (NIS2-richtlijn, 2022). Dat risico nemen ze niet over van een dakdekker die geen bewijs heeft, want zij moeten met leveranciers samenwerken aan beveiliging en incidentrespons. De Compliance Sprint levert in 30 dagen een toezicht-klare ICT-omgeving op, en ClickOn rondde alle 15 compliance-trajecten tot nu toe succesvol af en doorstond alle 25 audits (ClickOn, 2026).

Welke andere normen gelden er voor dakdekkersbedrijven?

Voor een dakdekkersbedrijf gelden naast de keteneisen ook ISO 27001, de AVG, ISO 9001 en de BIO, telkens omdat een opdrachtgever ze uitvraagt of omdat klantgegevens in je systemen staan. De AVG is het meest tastbaar door de inmeet-app met adressen en dakfoto's van klanten. Mkb'ers vragen zelf om aansluiting bij bestaande normenkaders om regeldruk te beperken.

ISO 27001

ISO 27001 is de norm voor een managementsysteem voor informatiebeveiliging. Een opdrachtgever vraagt hem uit zodra hij informatiebeveiliging in de aanbesteding zet, als bewijs dat je maatregelen vastliggen en worden getoetst.

AVG

De AVG regelt hoe je omgaat met persoonsgegevens, zoals naam en adres van een particuliere klant naast de foto van zijn dak. Een woningcorporatie of vastgoedbeheerder vraagt je om die gegevens passend te beveiligen en legt dat vast in een verwerkersovereenkomst.

ISO 9001

ISO 9001 is een kwaliteitsnorm, en ClickOn raakt alleen de ICT-kant ervan: documentbeheer, toegangsbeheer en registraties in Microsoft 365. Denk aan opleverdossiers en werkinstructies die op één plek staan, met vastgelegde versies en rechten.

BIO

De Baseline Informatiebeveiliging Overheid geldt voor overheidsorganisaties. Een gemeente of andere overheidsopdrachtgever kan de BIO in het contract doorleggen naar de dakdekker die zijn daken onderhoudt.

Opdrachtgevers vragen in aanbestedingen soms ook VCA of de CO2-prestatieladder uit. Die gaan over veilig werken en CO2-reductie. Daar heeft ClickOn geen rol in.

Veelgestelde vragen over NIS2 voor dakdekkersbedrijven

Dakdekkersbedrijven stellen over NIS2 en de Cyberbeveiligingswet vooral vragen over registratie, de ingangsdatum, de inmeet-app en de boetes van hun opdrachtgevers. De antwoorden hieronder volgen de uitleg van het NCSC en de RDI en gaan uit van de ketenroute: de eisen komen via het contract, niet rechtstreeks uit de wet.

Moet een dakdekkersbedrijf zich registreren bij het NCSC?

Een dakdekkersbedrijf staat niet in de sectorbijlagen van NIS2, dus de omvangtoets komt niet aan de orde. Registratie via Mijn.NCSC.nl is voor organisaties die wel onder de wet vallen. Je opdrachtgever registreert zich, en jij krijgt de eisen via het contract.

Wanneer gaat dit voor dakdekkersbedrijven spelen?

De Cyberbeveiligingswet treedt op 15 augustus 2026 in werking (NCSC, 2026). Vanaf die datum moeten je opdrachtgevers hun keten beheersen. De ketenvragenlijst kan dus bij het eerstvolgende contract komen.

Waarom telt de inmeet-app zo zwaar?

De inmeet- en calculatie-app bevat foto's en adressen van panden van klanten, vaak met de zwakke plekken van het dak. Dat is gevoelige informatie over het vastgoed van een ander. De app zelf valt onder de leverancier; ClickOn beveiligt de toegang via je Microsoft 365-account.

Welke boetes lopen je opdrachtgevers?

Essentiële entiteiten riskeren tot 10 miljoen euro of 2 procent van de wereldwijde jaaromzet, belangrijke entiteiten tot 7 miljoen euro of 1,4 procent (NIS2-richtlijn, 2022). Dat risico nemen ze niet over van een leverancier zonder bewijs.

Heb je als dakdekker een ISO 27001-certificaat nodig?

ISO 27001 speelt zodra een opdrachtgever informatiebeveiliging uitvraagt. Vraagt hij daar niet naar, dan telt vooral dat je de maatregelen uit de ketenvragenlijst per maatregel kunt aantonen.