NIS2 voor grondverzetbedrijven: wat de wet van je vraagt

Valt jouw grondverzetbedrijf onder NIS2?

Een grondverzetbedrijf valt niet op grond van de eigen sector onder NIS2. Grondverzet staat niet in de bijlagen van de Cyberbeveiligingswet, de Nederlandse omzetting die de Eerste Kamer op 7 juli 2026 heeft aangenomen en die per 15 augustus 2026 van kracht is (Rijksoverheid, 2026). NIS2 bereikt je via de keten: netbeheerders en andere opdrachtgevers die zelf onder de wet vallen, stellen eisen aan jou.

De omvangtoets komt voor een grondverzetbedrijf daardoor niet aan de orde. Het NCSC wijst erop dat de omvangscriteria alleen niet altijd relevant zijn, omdat eerst de sector bepaalt of een organisatie in beeld komt (NCSC, 2026). De RDI noemt wel toeleveranciers die door hun rol in de keten onder de wet kunnen vallen (RDI, 2026).

Doe je naast grondverzet ook werk dat wel in een bijlage staat, dan toets je die activiteit apart. De doorverwijsboom Cbw-organisaties van het NCSC is daarvoor het startpunt (NCSC, 2025).

Voor bedrijven in een aangewezen sector ligt de drempel op 50 medewerkers, of op een jaaromzet boven 10 miljoen euro én een balanstotaal boven 10 miljoen euro (Cyberbeveiligingswet, 2026). Een bedrijf met 50 tot 249 medewerkers is een belangrijke entiteit (Cyberbeveiligingswet, 2026). Vanaf 250 medewerkers, of bij een jaaromzet boven 50 miljoen euro én een balanstotaal boven 43 miljoen euro, is het een essentiële entiteit met proactief toezicht (Cyberbeveiligingswet, 2026).

De boete voor een essentiële entiteit bedraagt ten hoogste 10 miljoen euro of 2 procent van de wereldwijde jaaromzet, het hoogste van de twee (art. 80 en 87 lid 3 Cbw, 2026). Voor een belangrijke entiteit is dat 7 miljoen euro of 1,4 procent (art. 80 en 87 lid 3 Cbw, 2026). Die bedragen gelden voor je opdrachtgever, niet voor jou.

Sommige organisaties vallen er ongeacht hun omvang onder, waaronder overheidsorganisaties en kritieke entiteiten onder de Wet weerbaarheid kritieke entiteiten (art. 8 lid 1 Cbw, 2026). Dat is precies het type opdrachtgever waarvoor een grondverzetbedrijf graaft: gemeenten, waterschappen en netbeheerders.

Voor je opdrachtgever gelden de zorgplicht, de meldplicht en de registratie in het nationale register van de minister van Justitie en Veiligheid direct per 15 augustus 2026 (art. 43 lid 1 Cbw, 2026). Elk uitvoerend bestuurslid van die opdrachtgever moet vóór 15 augustus 2028 aantoonbaar aan de kenniseis voldoen, met een trainingscertificaat als bewijs (art. 24 lid 3 en 5 Cbw, 2026). NIS2 zelf, richtlijn (EU) 2022/2555, is op 16 januari 2023 in werking getreden en moest uiterlijk 17 oktober 2024 in nationale wetgeving staan (NCSC, 2026).

Voor grondverzet bestaat geen sectorregeling met een eigen incidentdrempel. Wie zonder sectorregeling onder de wet valt, toetst aan de twee criteria van artikel 25 lid 2 Cbw: een ernstige operationele verstoring of financieel verlies voor de entiteit, of aanzienlijke materiële of immateriële schade bij anderen (Cyberbeveiligingswet, 2026). De onderbouwing van die toets ligt bij de entiteit zelf.

Wat NIS2-plichtige opdrachtgevers van je eisen

Welke ICT van een grondverzetbedrijf raakt NIS2?

De ICT van een grondverzetbedrijf raakt NIS2 aan de kantoorkant: de Microsoft 365-accounts, de laptops van werkvoorbereiders en uitvoerders en de opslag van tekeningen en KLIC-gegevens. NIS2 artikel 21 verplicht je opdrachtgever tot maatregelen in de toeleveringsketen. Via het contract landen die maatregelen op jouw accounts en apparaten.

Voor die afbakening gebruiken wij de kantoorlijn. Alles wat een medewerker met een Microsoft 365-account opent, ligt binnen het werkplekbeheer. Alles wat in de cabine van een graafmachine draait, ligt erbuiten.

De KLIC-informatie is de scherpste rij in dit overzicht. Een grondverzetbedrijf ontvangt bij elke KLIC-melding van netbeheerders de ligging van kabels en leidingen. Die kaarten laten zien waar de infrastructuur van je opdrachtgever in de grond ligt, en een uitgelekte set tekeningen is voor een kwaadwillende een plattegrond.

Het KLIC-systeem zelf beheert ClickOn niet, daarom staat de rij op buiten scope. Wie er vanaf welk apparaat bij mag en waar de gedownloade kaarten terechtkomen, valt wel onder het beheer. De NIS2 Quality Mark Auditrichtlijnen vragen per bedrijfsmiddel een benoemde eigenaar die verantwoordelijk is voor de bescherming ervan (NIS2 Quality Mark, 2025).

Concreet betekent dat: KLIC-kaarten in één projectmap per werk, alleen open voor de ploeg van dat werk. Inloggen verloopt met multifactorauthenticatie, die NIS2 artikel 21 noemt als maatregel waar passend (NIS2 Supply Chain, 2026). Na oplevering verdwijnt de map uit de actieve omgeving.

Machinebesturing en GPS-graafsystemen staan buiten scope. Die techniek is geen kantoor-ICT: de software draait op de machine, komt van de machinefabrikant of de dealer en wordt ook door die partij bijgewerkt. Werkplekbeheer kan daar geen patch op zetten en geen account op beheren.

Vier van de zes onderdelen hieronder vallen binnen het werkplekbeheer. De twee branchespecifieke rijen vallen erbuiten: de ene met beheerde toegang, de andere helemaal.

Leg de kantoorlijn schriftelijk vast voordat een netbeheerder erom vraagt. Een opdrachtgever die een leveranciersvragenlijst stuurt, wil per onderdeel weten wie verantwoordelijk is. Een grondverzetbedrijf dat de machinekant en de kantoorkant apart benoemt, beantwoordt die vraag in één keer.

Compliant werkplekbeheer dat NIS2-klaar is

Waarom speelt dit nu in grondverzet en infra?

Grondverzet en infra krijgen nu met NIS2 te maken, omdat de Cyberbeveiligingswet op 15 augustus 2026 in werking treedt (NCSC, 2026) en opdrachtgevers vanaf die dag hun leveranciers toetsen. Volgens de Cyberbeveiligingsregeling energie vallen naar schatting 480 bedrijven in de energiesector onder zorgplicht en meldplicht (Cyberbeveiligingsregeling energie, 2026). Voor die netbeheerders levert Doorlopend werkplekbeheer het bewijs: MFA, patchbeheer en back-ups per werkplek.

De Cyberbeveiligingswet en de Wet weerbaarheid kritieke entiteiten hangen samen, zodat een netbeheerder digitale en fysieke eisen tegelijk aan jou doorgeeft (memorie van toelichting Cbw, 2026). Het Adviescollege Toetsing Regeldruk waarschuwt al voor de extra lasten van stapeling van verplichtingen (Cyberbeveiligingsregeling IenW, 2026). Weet je niet waar je begint, dan laat de Compliance Quick Scan in één dag zien hoe je Microsoft 365-omgeving ervoor staat, met een prioriteitenroadmap voor het ICT-deel.

Welke andere normen gelden er voor grondverzetbedrijven?

Voor grondverzetbedrijven gelden vier andere normen: ISO 27001, ISO 9001 in zijn enge rol, de BIO wanneer een overheidsopdrachtgever die doorlegt, en de CER-richtlijn, omdat je graaft aan en rond de infrastructuur van aangewezen kritieke entiteiten. Welke norm speelt, bepaalt de opdrachtgever in zijn uitvraag.

Het Cyberbeveiligingsbesluit verwijst voor minder regeldruk bij mkb-bedrijven naar bestaande normenkaders (Cyberbeveiligingsbesluit, 2026). Wie al met een van onderstaande normen werkt, hergebruikt dat bewijs.

ISO 27001

ISO 27001 regelt het managementsysteem voor informatiebeveiliging, waaronder het beheer van KLIC-kaarten en projectdossiers. Opdrachtgevers vragen de norm uit zodra ze informatiebeveiliging in een contract zetten, samen met de AVG voor de persoonsgegevens van eigen personeel en onderaannemers.

ISO 9001

ISO 9001 raakt de ICT van een grondverzetbedrijf alleen in een enge rol: documentbeheer, toegangsbeheer en de registraties die in Microsoft 365 staan (NEN-EN-ISO 9001, 2015). In sanerings- en herinrichtingsopdrachten vraagt de provincie ISO 9001 naast het procescertificaat voor bodemsanering (Provincie Utrecht, 2023).

BIO

De Baseline Informatiebeveiliging Overheid geldt voor gemeenten, provincies en waterschappen zelf. Een grondverzetbedrijf krijgt ermee te maken wanneer de overheidsopdrachtgever de BIO in het contract doorlegt naar leveranciers die met zijn gegevens werken.

CER-richtlijn

De CER-richtlijn, in Nederland omgezet in de Wet weerbaarheid kritieke entiteiten, regelt de fysieke weerbaarheid van aangewezen kritieke entiteiten. Een grondverzetbedrijf werkt op en naast het tracé van zo'n partij, en die opdrachtgever vraagt dan afspraken over toegang tot het werkterrein en over de omgang met zijn tekeningen.

Veelgestelde vragen over NIS2 voor grondverzetbedrijven

Valt een grondverzetbedrijf zelf onder NIS2?

Een grondverzetbedrijf valt niet op grond van de eigen sector onder NIS2, want grondverzet staat niet in de bijlagen van de Cyberbeveiligingswet. De eisen komen via opdrachtgevers die wel onder de wet vallen, zoals netbeheerders en overheden. De NCSC-FAQ over de Cyberbeveiligingswet helpt bij de toets voor activiteiten die wel in een bijlage staan (NCSC, 2026).

Moet mijn grondverzetbedrijf zich registreren?

De registratieplicht in het nationale register van de minister van Justitie en Veiligheid geldt voor entiteiten die onder de wet vallen (art. 43 lid 1 Cbw, 2026). Een grondverzetbedrijf dat alleen toeleverancier is, valt daar op grond van zijn sector niet onder.

Waarom vraagt een netbeheerder naar mijn ICT?

NIS2 artikel 21 verplicht de netbeheerder tot beveiliging van zijn toeleveringsketen. Een grondverzetbedrijf dat KLIC-kaarten van die netbeheerder ontvangt, hoort bij die keten.

Hoe bewaar je KLIC-gegevens volgens de kantoorlijn?

KLIC-kaarten horen in één projectmap per werk, alleen open voor de ploeg van dat werk en bereikbaar met multifactorauthenticatie. Na oplevering verdwijnt de map uit de actieve omgeving. Het KLIC-systeem zelf valt buiten het werkplekbeheer; de toegang ertoe wordt wel beheerd (NIS2 Quality Mark, 2025).

Valt de machinebesturing onder het werkplekbeheer?

Machinebesturing en GPS-graafsystemen vallen buiten het werkplekbeheer. De software draait op de machine en wordt onderhouden door de fabrikant of de dealer. De NIS2 Quality Mark Auditrichtlijnen behandelen de uitval van zulke OT-systemen als apart risico met eigen beheersmaatregelen (NIS2 Quality Mark, 2025).

Wanneer gaan de eisen in?

De Cyberbeveiligingswet geldt per 15 augustus 2026, met directe zorgplicht, meldplicht en registratie voor entiteiten (Rijksoverheid, 2026). Bestuurders van die entiteiten moeten vóór 15 augustus 2028 aantoonbaar aan de kenniseis voldoen (art. 24 lid 3 en 5 Cbw, 2026).

Wat telt als significant incident in grondverzet?

Voor grondverzet bestaat geen sectorregeling met een eigen incidentdrempel. Wie zonder sectorregeling onder de wet valt, toetst aan de twee criteria van artikel 25 lid 2 Cbw: een ernstige operationele verstoring of financieel verlies, of aanzienlijke schade bij anderen (Cyberbeveiligingswet, 2026). De onderbouwing ligt bij de entiteit zelf.