NIS2 voor hoveniersbedrijven: wat de wet van je vraagt

Inhoudsopgave

• Valt jouw hoveniersbedrijf onder NIS2?
• Wat NIS2-plichtige opdrachtgevers van je eisen
• Welke ICT van een hoveniersbedrijf raakt NIS2?
• Compliant werkplekbeheer dat NIS2-klaar is
• Waarom speelt dit nu in het groenonderhoud?
• Welke andere normen gelden er voor hoveniersbedrijven?
• Veelgestelde vragen over NIS2 voor hoveniersbedrijven

Valt jouw hoveniersbedrijf onder NIS2?

Een hoveniersbedrijf valt niet rechtstreeks onder NIS2. Groenvoorziening, tuinaanleg en groenonderhoud staan niet in de sectorlijsten van de bijlagen bij de NIS2-richtlijn, dus de omvangtoets van de Cyberbeveiligingswet komt voor een hoveniersbedrijf niet aan de orde. NIS2 bereikt je wel via gemeenten en woningcorporaties die hun beveiligingseisen in het contract doorzetten.

Het NCSC toetst de omvangscriteria, ook wel de size cap genoemd, op het aantal medewerkers, de jaaromzet en het balanstotaal. De drempel ligt op 50 medewerkers, of op meer dan 10 miljoen euro jaaromzet én een balanstotaal boven 10 miljoen euro (Cbw, 2026). Voor hoveniersbedrijven verandert een groot personeelsbestand daar niets aan, omdat de sector zelf ontbreekt.

Binnen een aangewezen sector bepaalt de omvang de status. Een organisatie met 50 tot 249 medewerkers is een belangrijke entiteit (Cbw, 2026). Een organisatie is een essentiële entiteit met proactief toezicht vanaf 250 medewerkers, of bij een jaaromzet boven 50 miljoen euro én een balanstotaal boven 43 miljoen euro, waarbij beide bedragen gehaald moeten worden (Cbw, 2026).

De boete bedraagt ten hoogste 10 miljoen euro of 2 procent van de wereldwijde jaaromzet voor essentiële entiteiten en 7 miljoen euro of 1,4 procent voor belangrijke entiteiten, telkens het hoogste van de twee (art. 80 en 87 lid 3 Cbw, 2026). Die boetes treffen je opdrachtgever, niet je hoveniersbedrijf.

Een gemeente valt als overheidsorganisatie onder de Cyberbeveiligingswet, ongeacht haar omvang (art. 8 lid 1 Cbw, 2026). Een gemeente moet daarom haar toeleveringsketen beveiligen, en een hoveniersbedrijf met een groenonderhoudscontract is een schakel in die keten. Woningcorporaties leggen vergelijkbare eisen vast in hun inkoopvoorwaarden voor tuin- en terreinonderhoud.

De NIS2-richtlijn (EU-richtlijn 2022/2555) trad in werking op 16 januari 2023, met een omzettingsdeadline voor lidstaten op 17 oktober 2024 (NIS2-richtlijn, 2022). De Eerste Kamer nam de Cyberbeveiligingswet aan op 7 juli 2026 en de wet geldt sinds 15 augustus 2026 (Rijksoverheid, 2026). Zorgplicht, meldplicht en registratie in het nationale register dat de minister van Justitie en Veiligheid beheert, gelden voor je opdrachtgever direct vanaf die datum (art. 43 lid 1 Cbw, 2026).

Bestuurders van een NIS2-plichtige opdrachtgever moeten vóór 15 augustus 2028 aantoonbaar voldoen aan de kenniseis, met een trainingscertificaat als bewijs; wie later wordt benoemd krijgt twee jaar vanaf benoeming (art. 24 lid 3 en 5 Cbw, 2026). Een hoveniersbedrijf hoeft zich niet te registreren, want de Cbw-registratie geldt voor entiteiten die zelf onder de wet vallen.

Werk je alleen voor particulieren? Dan zet niemand NIS2-eisen door. De AVG geldt dan wel, omdat je adressen en sleutelafspraken van klanten bewaart.

Wat NIS2-plichtige opdrachtgevers van je eisen

Welke ICT van een hoveniersbedrijf raakt NIS2?

De ICT van een hoveniersbedrijf raakt NIS2 op de plekken waar een gemeente of woningcorporatie de maatregelen uit artikel 21 van de NIS2-richtlijn doorzet: Microsoft 365-accounts, laptops en telefoons van ploegleiders, back-ups en de planning met klantadressen. Robotmaaiers en beregeningsinstallaties op locatie vallen buiten die werkplekeisen.

Het NIS2 Quality Mark-schema is gemapt op artikel 21 van de NIS2-richtlijn, en opdrachtgevers gebruiken die maatregelen als meetlat voor leveranciers. De richtlijn noemt onder meer multifactorauthenticatie en beveiligde communicatie binnen de organisatie. Per bedrijfsmiddel moet een eigenaar benoemd zijn die verantwoordelijk is voor de bescherming ervan.

Een hoveniersbedrijf heeft meestal geen eigen ICT-medewerker. Het NIS2 Quality Mark-schema erkent dat mkb-bedrijven vaak geen gespecialiseerde ICT- of cybersecuritymedewerkers hebben. De tabel laat daarom per onderdeel zien waar de eis landt en wat ClickOn wel en niet doet.

Wat je gebruikt	Waar de eis op landt	ClickOn
Microsoft 365-accounts en e-mail met bestekken, offertes en opdrachtbevestigingen van gemeenten	Toegangsbeveiliging met multifactorauthenticatie	Beheert accounts en dwingt MFA af
Laptops, tablets en telefoons van ploegleiders in de bus	Beveiliging en onderhoud van systemen, inclusief updates	Beheert endpointbeveiliging en patchmanagement
Beplantingsplannen, tekeningen, werkbonnen en contracten in OneDrive en SharePoint	Back-up en herstel voor bedrijfscontinuïteit	Beheert automatische back-ups en monitoring
Uitwisseling met de opdrachtgever via portalen en gedeelde mappen	Beveiliging van de toeleveringsketen	Levert bewijs per maatregel voor het ICT-deel
Route- en onderhoudsplanning met klantadressen en sleutelbeheer	Toegangsbeleid en beheer van bedrijfsmiddelen	Buiten scope voor de planningsapplicatie; toegang via beheerde accounts en MFA wel
Robotmaaiers en beregeningsinstallaties op locatie	Inventaris van bedrijfsmiddelen met een benoemde eigenaar, als de opdrachtgever die uitvraagt	Buiten scope; beheer ligt bij de leverancier van de installatie

De planningsapplicatie is het gevoeligste systeem van een hoveniersbedrijf, omdat daarin staat welke tuin bij welke sleutel of poortcode hoort. Houd daarvoor de Sleutelbos-toets aan: een eigen account per medewerker, MFA aan, toegang weg op de dag dat een seizoenskracht vertrekt en een back-up van de planning buiten de applicatie. Wie die vier punten kan aantonen, beantwoordt het grootste deel van de ICT-vragen in een groenonderhoudsbestek.

Compliant werkplekbeheer dat NIS2-klaar is

Waarom speelt dit nu in het groenonderhoud?

De Cyberbeveiligingswet, de Nederlandse uitwerking van NIS2, verplicht volgens het NCSC veel meer bedrijven dan voorheen om maatregelen te nemen (NCSC, 2026). Voor hoveniersbedrijven loopt dat via gemeenten, die ongeacht hun omvang onder de wet vallen en hun eisen doorzetten in groenonderhoudscontracten. De Compliance Quick Scan laat in één dag zien waar je Microsoft 365-omgeving tegenover die eisen staat.

De Rijksoverheid adviseert organisaties niet te wachten tot wet- en regelgeving geldt, omdat de risico's nu al bestaan. Het groenvoorzieningsbedrijf staat in de overheidshandreiking Beschermen van je belangrijkste belangen als eigen sector met operationele belangen. Doorlopend werkplekbeheer houdt MFA, updates en back-ups van je planning bij, zodat je bij de volgende aanbesteding bewijs laat zien in plaats van een belofte.

Welke andere normen gelden er voor hoveniersbedrijven?

Hoveniersbedrijven krijgen naast de informatiebeveiligingseisen van opdrachtgevers te maken met de AVG, ISO 27001 en ISO 9001. De AVG geldt zodra je adressen, toegangsafspraken en sleutelgegevens van particuliere tuinen of corporatiebezit verwerkt. ISO 27001 en ISO 9001 komen in beeld wanneer een gemeente of woningcorporatie ze in de aanbesteding uitvraagt.

AVG

De AVG regelt hoe een hoveniersbedrijf omgaat met namen, adressen, poortcodes en sleutellijsten van particulieren en huurders. Woningcorporaties leggen die afspraken vast in een verwerkersovereenkomst.

ISO 27001

ISO 27001 is het managementsysteem voor informatiebeveiliging dat een gemeente kan uitvragen als bewijs dat een leverancier zijn informatie beheerst. Voor de meeste hoveniersbedrijven is dat een eis bij grotere onderhoudscontracten, geen startpunt.

ISO 9001

ISO 9001 vraagt dat een organisatie gedocumenteerde informatie beheert en beschermt. Voor een hoveniersbedrijf gaat het dan om documentbeheer, toegangsbeheer en registraties van werkbonnen en bestekversies in Microsoft 365.

Vakeisen van de opdrachtgever

Gemeenten vragen in groenonderhoudsaanbestedingen Groenkeur voor groenvoorziening, en voor boomverzorging of dak- en gevelbeplanting zodra dat werk in de opdracht zit. De veiligheidschecklist voor aannemers (VCA) komt daar vaak bij. Dat zijn vakeisen van de opdrachtgever, en ClickOn heeft daarin geen rol.

Veelgestelde vragen over NIS2 voor hoveniersbedrijven

De veelgestelde vragen over NIS2 voor hoveniersbedrijven gaan over de keten: waarom een gemeente eisen stelt, of registratie nodig is en welke ICT meetelt. De antwoorden volgen de Cyberbeveiligingswet en de FAQ van de Rijksinspectie Digitale Infrastructuur, en houden de schaal van een hoveniersbedrijf aan.

Valt een hoveniersbedrijf onder NIS2?

Een hoveniersbedrijf valt niet rechtstreeks onder NIS2, omdat groenvoorziening niet in de bijlagen van de NIS2-richtlijn staat. De omvangtoets komt daardoor niet aan de orde. NIS2 bereikt je via gemeenten en woningcorporaties die eisen doorzetten.

Waarom stelt een gemeente NIS2-eisen aan mijn hoveniersbedrijf?

Een gemeente valt als overheidsorganisatie onder de Cyberbeveiligingswet, ongeacht haar omvang (art. 8 lid 1 Cbw, 2026). De gemeente moet haar toeleveringsketen beveiligen, en daar hoort je groenonderhoudscontract bij.

Wanneer geldt de Cyberbeveiligingswet?

De Cyberbeveiligingswet geldt sinds 15 augustus 2026, na aanneming door de Eerste Kamer op 7 juli 2026 (Rijksoverheid, 2026). Bestuurders van NIS2-plichtige opdrachtgevers hebben voor de kenniseis tot 15 augustus 2028 (art. 24 lid 3 en 5 Cbw, 2026).

Moet ik mijn hoveniersbedrijf registreren bij de overheid?

Een hoveniersbedrijf hoeft zich niet te registreren, omdat de Cbw-registratie geldt voor entiteiten die zelf onder de wet vallen. Het nationale register valt onder de minister van Justitie en Veiligheid (art. 43 lid 1 Cbw, 2026).

Vallen robotmaaiers en beregeningsinstallaties onder de eisen?

Robotmaaiers en beregeningsinstallaties op locatie vallen buiten de werkplekeisen. Vraagt een opdrachtgever een inventaris van bedrijfsmiddelen, dan noteer je per installatie een eigenaar; het beheer blijft bij de leverancier.

Welke norm geldt ook zonder NIS2-plichtige opdrachtgever?

De AVG geldt voor elk hoveniersbedrijf dat klantadressen, poortcodes of sleutellijsten bewaart. Dat is ook zo als je alleen voor particulieren werkt.