NIS2 voor elektrotechnische bedrijven: onder de wet of niet?

Valt jouw elektrotechnisch bedrijf onder NIS2?

Een elektrotechnisch bedrijf valt meestal niet zelf onder NIS2. Elektrotechnische installatie en onderhoud staan niet als sector in bijlage 1 of bijlage 2 van de NIS2-richtlijn. Staat je activiteit niet in die bijlagen, dan komt de omvangtoets van de Cyberbeveiligingswet (Cbw) niet aan de orde. NIS2 bereikt je dan via opdrachtgevers die wel onder de wet vallen.

Die afweging noemen we de kern-of-ketentoets. Kern betekent dat je activiteit zelf in een bijlage staat, bijvoorbeeld als elektriciteitsproducent of als beheerder van ict-diensten voor zakelijke klanten. Keten betekent dat je installeert, onderhoudt of storingsdienst draait voor een netbeheerder, ziekenhuis, drinkwaterbedrijf of gemeente die wel in scope is.

Zonnepanelen maken een installateur niet automatisch elektriciteitsproducent in de zin van de Cbw. Volgens de memorie van toelichting Cbw is het niet de bedoeling dat een bedrijf met zonnepanelen zonder meer onder de wet valt omdat het energie teruglevert. Een producent valt er alleen onder voor zover de opwekking van elektriciteit zijn belangrijkste commerciële of professionele activiteit vormt (memorie van toelichting Cbw, 2026).

Valt je activiteit wel in een aangewezen sector, dan kijkt de Cbw naar het aantal medewerkers, de jaaromzet en het balanstotaal, de zogeheten size cap. De drempel ligt op 50 medewerkers, of op een jaaromzet boven 10 miljoen euro én een balanstotaal boven 10 miljoen euro (Cyberbeveiligingswet, 2026). Bij de financiële route moeten omzet en balanstotaal dus allebei boven de grens liggen.

Met 50 tot 249 medewerkers ben je een belangrijke entiteit (Cyberbeveiligingswet, 2026). Vanaf 250 medewerkers, of bij een jaaromzet boven 50 miljoen euro én een balanstotaal boven 43 miljoen euro, ben je een essentiële entiteit met proactief toezicht (Cyberbeveiligingswet, 2026). Omzet alleen maakt je geen essentiële entiteit.

De maximale boete is 10 miljoen euro of 2 procent van de wereldwijde jaaromzet voor een essentiële entiteit, en 7 miljoen euro of 1,4 procent voor een belangrijke entiteit, telkens het hoogste bedrag (art. 80 en 87 lid 3 Cbw, 2026). Sommige organisaties vallen ongeacht hun omvang onder de wet, zoals overheidsorganisaties, DNS-dienstverleners, gekwalificeerde verleners van vertrouwensdiensten en kritieke entiteiten onder de Wet weerbaarheid kritieke entiteiten (art. 8 lid 1 Cbw, 2026). Een installatiebedrijf hoort in geen van die groepen.

NIS2 (EU-richtlijn 2022/2555) trad op 16 januari 2023 in werking, met 17 oktober 2024 als omzettingsdeadline voor lidstaten (NIS2-richtlijn, 2022). Nederland zette NIS2 om in de Cyberbeveiligingswet, die de Eerste Kamer op 7 juli 2026 aannam en die geldt per 15 augustus 2026 (Rijksoverheid, 2026). De Cbw volgt de Wet beveiliging netwerk- en informatiesystemen op, waarin de eerste NIS-richtlijn in 2016 was opgenomen (Rijksoverheid, 2026).

Voor organisaties in scope gelden de zorgplicht, de meldplicht en de registratie in het nationale register van de minister van Justitie en Veiligheid (art. 43 lid 1 Cbw) direct per 15 augustus 2026 (Rijksoverheid, 2026). Ieder uitvoerend bestuurslid voldoet vóór 15 augustus 2028 aantoonbaar aan de kenniseis, met een trainingscertificaat als bewijs (art. 24 lid 3 en 5 Cbw, 2026). Wie later wordt benoemd, krijgt twee jaar vanaf de benoeming (art. 24 lid 3 en 5 Cbw, 2026).

Voor installatiewerk bestaat geen sectorregeling met een getalsdrempel voor een significant incident. Zonder sectorregeling gelden de twee criteria van de Cbw: ernstige operationele verstoring of financieel verlies, of aanzienlijke schade bij anderen (art. 25 lid 2 Cbw, 2026). De onderbouwing of een incident significant is, ligt bij de entiteit zelf.

Wat NIS2-plichtige opdrachtgevers van je eisen

Welke ICT van een elektrotechnisch bedrijf raakt NIS2?

De ICT van een elektrotechnisch bedrijf raakt NIS2 op de plekken waar een NIS2-plichtige opdrachtgever zijn eigen risico ziet: de Microsoft 365-accounts van monteurs, laptops en tablets in de bus, gedeelde schema's en de toegang tot zijn systemen. De memorie van toelichting Cbw vraagt passende technische, operationele en organisatorische maatregelen voor netwerk- en informatiesystemen.

Een NIS2 Quality Mark-auditor vraagt per bedrijfsmiddel, inclusief servers, dataopslagsystemen en firewalls, om een benoemde eigenaar die verantwoordelijk is voor de bescherming. Multifactorauthenticatie staat letterlijk in de maatregelen van de richtlijn.

Tekeningen- en schemabeheer is het punt waar een elektrotechnisch bedrijf en een opdrachtgever elkaar het vaakst raken. Het tekenpakket zelf en het portaal van de netbeheerder of het ziekenhuis beheer je niet via je werkplekbeheerder. Wie daarbij inlogt, met welk account en of dat account MFA en tijdelijke beheerrechten heeft, valt wel onder beheer.

Rijen die buiten scope staan, blijven wel jouw risico of dat van je opdrachtgever. Leg in het contract vast wie de PLC's en besturingskasten beheert, zodat de vraag bij een audit niet bij jou blijft liggen.

Compliant werkplekbeheer dat NIS2-klaar is

Waarom speelt dit nu in de elektrotechniek?

Elektrotechnische bedrijven installeren en onderhouden voor sectoren die de KvK als NIS2-sectoren noemt: energie, gezondheidszorg, drinkwater, afvalwater en overheidsdiensten (KvK, 2026). Voor de elektriciteitssector geldt daarnaast de Netcode, die kritieke infrastructuur beter moet beschermen tegen cyberaanvallen. De Compliance Quick Scan laat in één dag zien waar je Microsoft 365-omgeving staat tegenover wat die opdrachtgevers vragen.

Het NCSC noemt de Cyberbeveiligingswet de Nederlandse uitwerking van NIS2, waardoor veel meer bedrijven dan voorheen maatregelen moeten nemen (NCSC, 2024). De wet geldt per 15 augustus 2026, en vanaf dan kan een netbeheerder of zorginstelling zijn installateur om bewijs vragen (Rijksoverheid, 2026). De Compliance Journey levert dat bewijs per maatregel, en doorlopend werkplekbeheer houdt het actueel.

Welke andere normen gelden er voor elektrotechnische bedrijven?

Voor elektrotechnische bedrijven gelden naast de ketendruk vooral ISO 9001, ISO 27001 en de AVG, aangevuld met de CRA voor netwerkapparatuur en de BIO bij overheidsopdrachtgevers. Opdrachtgevers vragen daarnaast vakbekwaamheid volgens NEN 1010 en NEN 3140, maar die normen gaan over veilig werken aan installaties en niet over informatiebeveiliging.

ISO 9001

Opdrachtgevers vragen NEN-EN-ISO 9001 vaak als geschiktheidseis naast VCA. ISO werkt voor elektrotechnische normalisatie nauw samen met de International Electrotechnical Commission (IEC). Voor je ICT raakt ISO 9001 het beheer van gedocumenteerde informatie, toegangsbeheer en registraties, zoals revisietekeningen en opleverdossiers in Microsoft 365.

ISO 27001

ISO 27001 komt in beeld zodra een opdrachtgever informatiebeveiliging uitvraagt, bijvoorbeeld een netbeheerder die je toegang geeft tot zijn stations of systemen. Je bepaalt zelf het toepassingsgebied van het managementsysteem voor informatiebeveiliging.

AVG

De AVG geldt voor elk elektrotechnisch bedrijf dat namen, adressen en installatiegegevens van klanten verwerkt. Opdrachtgevers vragen de AVG meestal samen met ISO 27001.

CRA

De Cyber Resilience Act raakt je wanneer je routers, modems of netwerkswitches levert, want fabrikanten moeten voor die producten zorgen voor langere ondersteuning met beveiligingsupdates. De verplichtingen liggen vooral bij de fabrikant; jij kiest apparatuur waarvoor die updates komen.

BIO

De Baseline Informatiebeveiliging Overheid geldt voor overheidsorganisaties zelf. Een gemeente die je inhuurt voor openbare verlichting of installaties in gemeentelijke gebouwen, vertaalt de BIO naar eisen in het contract.

NEN 1010, NEN 3140 en de erkenningsregeling van de netbeheerder

Opdrachtgevers vragen een certificaat vakbekwaamheid elektrotechnische bedrijfsvoering volgens NEN 1010 en een aantoonbare autorisatie volgens NEN 3140 voor beheer en onderhoud, met een laagspanningsdeskundige op de opdracht. Een netbeheerder vraagt soms zijn eigen erkenningsregeling naast VCA** en ISO 9001. ClickOn heeft in deze eisen geen rol.

Veelgestelde vragen over NIS2 in elektrotechnische bedrijven

De veelgestelde vragen over NIS2 in elektrotechnische bedrijven gaan over scope, zonnepanelen, OT-installaties en termijnen voor bestuurders. Elk antwoord steunt op de Cyberbeveiligingswet, de memorie van toelichting Cbw of de uitleg van het NCSC over de omzetting van de NIS2-richtlijn.

Valt een elektrotechnisch installatiebedrijf zelf onder de Cyberbeveiligingswet?

Meestal niet, want elektrotechnische installatie staat niet in bijlage 1 of 2 van de NIS2-richtlijn. De omvangtoets komt dan niet aan de orde. NIS2 bereikt je via opdrachtgevers in energie, zorg, drinkwater of overheid.

Maakt een zonnepaneleninstallatie mijn bedrijf elektriciteitsproducent onder de Cbw?

Nee, niet zonder meer. Volgens de memorie van toelichting Cbw valt een producent er alleen onder als de opwekking van elektriciteit zijn belangrijkste commerciële of professionele activiteit is (memorie van toelichting Cbw, 2026).

Wanneer ben je een belangrijke of een essentiële entiteit?

In een aangewezen sector ben je met 50 tot 249 medewerkers een belangrijke entiteit (Cyberbeveiligingswet, 2026). Vanaf 250 medewerkers, of bij meer dan 50 miljoen euro jaaromzet én meer dan 43 miljoen euro balanstotaal, ben je een essentiële entiteit (Cyberbeveiligingswet, 2026).

Vallen PLC's en besturingskasten onder het werkplekbeheer?

Nee, installatietechniek staat in de ICT-tabel buiten scope. Een NIS2 Quality Mark-auditor vraagt wel om een overzicht van OT-systemen met per systeem een benoemde eigenaar. Leg dus in het contract vast wie dat bij jouw opdrachtgever is.

Waarom staat er een 2 achter NIS2?

NIS2 is de opvolger van de eerste NIS-richtlijn, die Nederland in 2016 opnam in de Wet beveiliging netwerk- en informatiesystemen (NCSC, 2026).

Welke termijn geldt voor bestuurders?

Ieder uitvoerend bestuurslid van een entiteit in scope voldoet vóór 15 augustus 2028 aantoonbaar aan de kenniseis, met een trainingscertificaat als bewijs (art. 24 lid 3 en 5 Cbw, 2026). De zorgplicht, meldplicht en registratie gelden al per 15 augustus 2026 (Rijksoverheid, 2026).