NIS2 voor installatiebedrijven

Valt jouw installatiebedrijf onder NIS2?

Een installatiebedrijf valt in de regel niet rechtstreeks onder NIS2, omdat de installatiebranche niet voorkomt in de sectorbijlagen van EU-richtlijn 2022/2555. De omvangtoets komt voor installatiewerk op zich dus niet aan de orde. NIS2 raakt je via opdrachtgevers die wel onder de Cyberbeveiligingswet (Cbw) vallen en hun leveranciers daarop controleren.

NIS2 (EU-richtlijn 2022/2555) is op 16 januari 2023 in werking getreden. Lidstaten moesten de richtlijn uiterlijk 17 oktober 2024 omzetten. NIS2 volgt de eerste NIS-richtlijn op, die Nederland in 2016 opnam in de Wet beveiliging netwerk- en informatiesystemen (Wbni).

Het NCSC toetst de omvang aan het aantal medewerkers, de jaaromzet en het balanstotaal, de zogeheten size cap. Volgens het NCSC zijn die omvangscriteria alleen niet altijd relevant. De sector bepaalt eerst of je in beeld komt.

Werkt een bedrijf wel in een aangewezen sector, dan geldt de drempel van 50 medewerkers, of meer dan 10 miljoen euro jaaromzet én een balanstotaal boven 10 miljoen euro (Cbw, 2026). Met 50 tot 249 medewerkers ben je een belangrijke entiteit (Cbw, 2026). Vanaf 250 medewerkers, of bij een jaaromzet boven 50 miljoen euro én een balanstotaal boven 43 miljoen euro, ben je een essentiële entiteit met proactief toezicht (Cbw, 2026).

Voor een essentiële entiteit bedraagt de boete ten hoogste 10 miljoen euro of 2 procent van de wereldwijde jaaromzet (art. 80 en 87 lid 3 Cbw, 2026). Voor een belangrijke entiteit is dat 7 miljoen euro of 1,4 procent, telkens het hoogste van de twee (art. 80 en 87 lid 3 Cbw, 2026).

Sommige entiteiten vallen onder de Cbw ongeacht hun omvang: overheidsorganisaties, DNS-dienstverleners, aanbieders van registers voor topleveldomeinnamen, gekwalificeerde verleners van vertrouwensdiensten en kritieke entiteiten onder de Wet weerbaarheid kritieke entiteiten (art. 8 lid 1 Cbw, 2026). Geen van die categorieën beschrijft installatiewerk. Veel van die organisaties zijn wel je opdrachtgever.

Twijfel je, bijvoorbeeld omdat je naast installatiewerk zelf energie opwekt of levert? De Rijksinspectie Digitale Infrastructuur (RDI) biedt de zelfscan NIS2 Zelfevaluatie, die ook aangeeft of je een essentiële of een belangrijke entiteit bent. De Doorverwijsboom Cbw-organisaties van het NCSC wijst je daarna naar de juiste toezichthouder.

Val je er wel onder, dan gelden de zorgplicht, de meldplicht en de registratie in het nationale register van de minister van Justitie en Veiligheid direct per 15 augustus 2026 (art. 43 lid 1 Cbw; Rijksoverheid, 2026). Het NCSC heeft daarvoor de Checklist Cbw-registratie gepubliceerd. Ieder uitvoerend bestuurslid moet vóór 15 augustus 2028 aantoonbaar aan de kenniseis voldoen met een trainingscertificaat, en wie later wordt benoemd krijgt twee jaar vanaf benoeming (art. 24 lid 3 en 5 Cbw, 2026).

Voor installatiewerk bestaat geen sectorregeling met een eigen incidentdrempel. Dan gelden de twee criteria van Cbw artikel 25 lid 2: het incident veroorzaakt een ernstige operationele verstoring of financiële schade voor je bedrijf, of aanzienlijke materiële of immateriële schade bij anderen. De onderbouwing of een incident significant is, ligt bij de entiteit zelf.

Wat NIS2-plichtige opdrachtgevers van je eisen

Welke ICT van een installatiebedrijf raakt NIS2?

De ICT van een installatiebedrijf raakt NIS2 via artikel 21, dat NIS2-plichtige opdrachtgevers verplicht ook de beveiliging van hun toeleveringsketen te regelen. Die eis landt op de accounts, apparaten en bestanden waarmee jouw planners en monteurs voor die opdrachtgever werken. De NIS2 Quality Mark is op datzelfde artikel 21 gemapt.

Een installatiebedrijf levert onderhoud aan ziekenhuizen, waterschappen en gemeenten. De monteur in de bus opent daar een werkbon op een tablet, logt in op een fabrikantenportal en mailt het onderhoudsrapport terug. Elk van die stappen hangt aan een maatregel uit de lijst hieronder.

De kern: vier onderdelen draaien volledig in je eigen Microsoft 365-omgeving, twee liggen bij een andere eigenaar. Voor die laatste twee regel je alleen de toegang, of niets.

Een serviceportal is van de fabrikant of van de opdrachtgever, niet van jou. ClickOn beheert het portal dus niet. Wel beheert ClickOn het Microsoft 365-account, de MFA en het apparaat waarmee je monteur inlogt, en precies daar zoekt een opdrachtgever het zwakke punt in de keten.

NIS2 noemt multifactorauthenticatie en beveiligde communicatie als concrete maatregelen binnen de entiteit. Voor een portal betekent dat: geen gedeeld monteursaccount, geen wachtwoord op een briefje in de bus. Vertrekt een monteur, dan gaat zijn toegang op dezelfde dag dicht.

Gebouwbeheersystemen en klimaatinstallaties blijven buiten scope. De NIS2 Quality Mark Auditrichtlijnen vragen per bedrijfsmiddel een benoemde eigenaar die verantwoordelijk is voor de bescherming ervan. Bij OT is dat de gebouweigenaar of de fabrikant, niet je ICT-beheerder.

Het NIS2 Quality Mark-schema stelt vast dat mkb-bedrijven vaak geen eigen ICT- of cybersecuritymedewerkers hebben. Voor een installatiebedrijf met een planner, een werkvoorbereider en twintig monteurs klopt dat meestal. Het ICT-deel moet dan buiten de deur geregeld worden.

Compliant werkplekbeheer dat NIS2-klaar is

Waarom speelt dit nu in de installatiebranche?

De Cyberbeveiligingswet (Cbw), de Nederlandse omzetting van NIS2, treedt op 15 augustus 2026 in werking (NCSC, 2026), na aanneming door de Eerste Kamer op 7 juli 2026 (Rijksoverheid, 2026). Vanaf die datum toetsen ziekenhuizen, waterschappen en energiebedrijven hun installateurs op ketenbeveiliging. Een Compliance Quick Scan geeft in één dag de stand van je Microsoft 365-omgeving met een prioriteitenroadmap.

Een entiteit valt onder de lidstaat van haar hoofdvestiging, en voor sectorspecifieke vragen verwijst het NCSC naar het ministerie van de betreffende sector (NCSC, 2026). Partijen die elektriciteit opwekken zonder dat dit hun hoofdactiviteit is, kunnen volgens de memorie van toelichting als elektriciteitsproducent kwalificeren en onder de Cbw vallen als ze aan de omvangscriteria voldoen. Exploiteert je installatiebedrijf eigen opwek naast het installatiewerk, dan brengt de Compliance Journey het ICT-deel van die situatie met bewijs per maatregel in kaart.

Welke andere normen gelden er voor installatiebedrijven?

Opdrachtgevers van installatiebedrijven vragen ISO 27001 en de AVG uit zodra informatiebeveiliging in de aanbesteding staat, en ISO 9001 voor kwaliteitsborging. Welke vakcertificaten meegaan, hangt af van wat je bedrijf doet: W-installatie, E-installatie, klimaat of bodemenergie. Die vakcertificaten gaan over vakmanschap, niet over informatiebeveiliging.

ISO 27001

ISO 27001 vragen opdrachtgevers als bewijs dat je informatiebeveiliging als managementsysteem hebt ingericht. De Cyberbeveiligingsregeling Energie zoekt aansluiting bij ISO 2700X, maar schrijft die standaard voor bedrijven niet voor.

AVG

De AVG regelt hoe je omgaat met adressen, telefoonnummers en sleutelafspraken van bewoners bij onderhoudscontracten en storingsdiensten. Woningcorporaties en VvE-beheerders vragen je daarvoor vaak een verwerkersovereenkomst te tekenen.

ISO 9001

ISO 9001 vraagt aantoonbaar documentbeheer: welke revisie van een tekening of opleverdossier geldig is en wie erbij kan. In een installatiebedrijf staan die registraties meestal in Microsoft 365.

BIO

De Baseline Informatiebeveiliging Overheid (BIO) geldt voor gemeenten, provincies en waterschappen zelf. Elke overheidsentiteit bepaalt welke interne en externe eisen van toepassing zijn, en vertaalt die naar contracteisen voor het installatiebedrijf dat haar gebouwen onderhoudt.

CRA

De Cyber Resilience Act (CRA) legt eisen bij fabrikanten van producten met digitale elementen, zoals verbonden warmtepompen en slimme thermostaten. Fabrikanten kunnen conformiteit aantonen via geharmoniseerde normen of Europese cyberbeveiligingscertificering. Als installateur merk je de CRA via de beveiligingsupdates en documentatie van je leverancier.

Vakcertificaten die de opdrachtgever uitvraagt

Voor W- en klimaatinstallaties vragen opdrachtgevers het KOMO-Instal-procescertificaat, de BRL voor legionella-advies, het SCIOS-certificaat voor stookinstallaties of het STEK-certificaat voor koeltechniek. Bij bodemenergie komt de BRL voor onderhoud aan ondergrondse bronnen erbij, en bij energieprestatie van bestaande gebouwen de NTA voor BENG-berekeningen. VCA en de CO2-prestatieladder staan vaak naast die eisen; ClickOn heeft in geen van deze vakcertificaten een rol.

Veelgestelde vragen over NIS2 in installatiebedrijven

De veelgestelde vragen over NIS2 in installatiebedrijven gaan over drie dingen: of de Cyberbeveiligingswet (Cbw) op je bedrijf van toepassing is, wat een NIS2-plichtige opdrachtgever van je ICT vraagt en wat buiten je beheer valt. Het NCSC houdt een eigen FAQ Cyberbeveiligingswet bij voor vragen over de wet zelf.

Valt een installatiebedrijf onder NIS2?

Meestal niet rechtstreeks, want de installatiebranche staat niet in de sectorbijlagen van NIS2. NIS2 raakt je via opdrachtgevers die wel onder de Cbw vallen. Wie naast installatiewerk zelf energie opwekt, controleert dat met de NIS2 Zelfevaluatie van de RDI.

Wanneer is een bedrijf belangrijk of essentieel onder de Cbw?

In een aangewezen sector ben je belangrijk vanaf 50 medewerkers, of bij meer dan 10 miljoen euro jaaromzet én een balanstotaal boven 10 miljoen euro (Cbw, 2026). Een essentiële entiteit ben je vanaf 250 medewerkers, of bij een jaaromzet boven 50 miljoen euro én een balanstotaal boven 43 miljoen euro (Cbw, 2026).

Wat moet je regelen als je bedrijf wel onder de Cbw valt?

Zorgplicht, meldplicht en registratie gelden direct per 15 augustus 2026 (art. 43 lid 1 Cbw; Rijksoverheid, 2026). Uitvoerende bestuursleden voldoen vóór 15 augustus 2028 aan de kenniseis, met een trainingscertificaat als bewijs (art. 24 lid 3 en 5 Cbw, 2026). De RDI beantwoordt in haar FAQ hoe de verplichtingen van de Cbw zich verhouden tot de NIS2-richtlijn.

Wat telt als een significant incident bij een installatiebedrijf?

Voor installatiewerk bestaat geen sectorregeling met een eigen drempel. Dan gelden de twee criteria van Cbw artikel 25 lid 2: ernstige operationele verstoring of financiële schade voor je bedrijf, of aanzienlijke schade bij anderen. De onderbouwing ligt bij de entiteit zelf.

Valt het serviceportal van een fabrikant onder jouw ICT-beheer?

Nee, het portal zelf is van de fabrikant of de opdrachtgever en valt buiten scope. Het Microsoft 365-account, de MFA en het apparaat van je monteur vallen wel onder beheer. De NIS2 Quality Mark Auditrichtlijnen richten zich juist op incidenten door ondeugdelijke diensten of producten van een leverancier.

Hoort een gebouwbeheersysteem bij je NIS2-maatregelen?

Een gebouwbeheersysteem of klimaatinstallatie valt buiten het beheer van je werkplek. De NIS2 Quality Mark Auditrichtlijnen vragen per OT-systeem een benoemde eigenaar. Bij de installaties die je onderhoudt is dat de gebouweigenaar of de fabrikant.

Welke andere normen vragen opdrachtgevers van installatiebedrijven?

ISO 27001 en de AVG zodra informatiebeveiliging in de uitvraag staat, ISO 9001 voor documentbeheer en bij overheidsopdrachtgevers eisen die voortkomen uit de BIO. Vakcertificaten zoals KOMO-Instal, SCIOS of STEK hangen af van je werk in W, E, klimaat of bodemenergie.

Hoe hoog is de boete onder de Cbw?

Een essentiële entiteit riskeert ten hoogste 10 miljoen euro of 2 procent van de wereldwijde jaaromzet (art. 80 en 87 lid 3 Cbw, 2026). Een belangrijke entiteit riskeert 7 miljoen euro of 1,4 procent, telkens het hoogste bedrag (art. 80 en 87 lid 3 Cbw, 2026). NIS2 volgt de Wbni op, die sinds 2016 in Nederland gold.