NIS2 voor kozijnenbedrijven

Valt jouw kozijnenbedrijf onder NIS2?

Een kozijnenbedrijf valt zelden rechtstreeks onder NIS2. De productie en montage van kozijnen staat niet als sector in de bijlagen van de NIS2-richtlijn, dus voor een kozijnenbedrijf komt de omvangtoets van de Cyberbeveiligingswet niet aan de orde. De eisen komen via de keten binnen: via opdrachtgevers die zelf wel onder de Cyberbeveiligingswet vallen.

De Cyberbeveiligingswet is de Nederlandse omzetting van NIS2. De Eerste Kamer nam de wet aan op 7 juli 2026, en de wet geldt vanaf 15 augustus 2026 (Rijksoverheid, 2026).

De omvangcriteria gelden alleen voor bedrijven in een sector die wel in de bijlagen staat. NCSC noemt die toets de size cap: er wordt gekeken naar het aantal medewerkers, de jaaromzet en het balanstotaal. De ondergrens ligt op 50 medewerkers, of op meer dan 10 miljoen euro jaaromzet én een balanstotaal boven 10 miljoen euro (Cyberbeveiligingswet, 2026).

Boven die drempel bepaalt de omvang de status. Een bedrijf met 50 tot 249 medewerkers is een belangrijke entiteit (Cyberbeveiligingswet, 2026). Vanaf 250 medewerkers, of bij een jaaromzet boven 50 miljoen euro én een balanstotaal boven 43 miljoen euro, wordt het een essentiële entiteit met proactief toezicht (Cyberbeveiligingswet, 2026).

De boete loopt op tot 10 miljoen euro of 2 procent van de wereldwijde jaaromzet voor essentiële entiteiten, en tot 7 miljoen euro of 1,4 procent voor belangrijke entiteiten, telkens het hoogste bedrag (Cyberbeveiligingswet, 2026). Dat staat in de artikelen 80 en 87 van de Cyberbeveiligingswet.

De omvangcriteria alleen zijn niet altijd doorslaggevend. Artikel 8 van de Cyberbeveiligingswet noemt entiteiten die er ongeacht hun omvang onder vallen, zoals overheidsorganisaties, DNS-dienstverleners en gekwalificeerde verleners van vertrouwensdiensten (Cyberbeveiligingswet, 2026). Heb je naast kozijnen een activiteit die mogelijk wel in een bijlage staat? Doe dan de NIS2 Zelfevaluatie van de Rijksinspectie Digitale Infrastructuur (RDI).

Wat NIS2-plichtige opdrachtgevers van je eisen

NIS2-plichtige opdrachtgevers van een kozijnenbedrijf, zoals een gemeente, een ziekenhuis of een netbeheerder, moeten de beveiliging van hun toeleveringsketen regelen. De NIS2-richtlijn richt die eis op de directe leveranciers van producten en diensten. Een kozijnenbedrijf dat kozijnen levert en monteert voor zo'n opdrachtgever, krijgt die eis via het contract of de aanbesteding doorgelegd.

De opdrachtgever zelf draagt de zorgplicht en de meldplicht. De opdrachtgever moet ook een meldprocedure hebben voor incidenten richting de bevoegde overheid. Een storing bij jou raakt die procedure zodra jouw systemen of accounts bij de opdrachtgever meedraaien.

Registratie in het nationale register van de minister van Justitie en Veiligheid geldt voor de opdrachtgever direct vanaf 15 augustus 2026 (Rijksoverheid, 2026). De bestuurders van die opdrachtgever hebben tot 15 augustus 2028 om aantoonbaar aan de kenniseis te voldoen, met een trainingscertificaat als bewijs (Cyberbeveiligingswet, 2026). Die termijnen gelden voor de opdrachtgever, niet voor jou als leverancier.

Wat de opdrachtgever van jou vraagt, is bewijs. Denk aan MFA op alle accounts, een actuele back-up, gepatchte laptops en een overzicht van wie toegang heeft tot projectdata. Een kozijnenbedrijf zit tussen productie en bouwplaats in, dus de opdrachtgever wil ook weten wat er gebeurt als de ordersoftware bij de leverancier uitvalt.

Welke ICT van een kozijnenbedrijf raakt NIS2?

De ICT van een kozijnenbedrijf raakt NIS2 op de plekken waar projectdata, tekeningen en orders lopen: de Microsoft 365-omgeving, de laptops van werkvoorbereiders en monteurs en de koppeling met de ordersoftware van de leverancier. NIS2 artikel 21 bevat concrete maatregelen die op die onderdelen te leggen zijn, waaronder multifactorauthenticatie.

Een handige manier om dat te doorlopen is de Orderlijncheck. Volg één order van offerte in Outlook, via het leveranciersportaal, naar de werkplaats en de bouwplaats. Stel per schakel twee vragen: wie beheert deze schakel, en wat gebeurt er met de levering als deze schakel uitvalt?

Per bedrijfsmiddel hoort een eigenaar benoemd te zijn die verantwoordelijk is voor de bescherming ervan. Voor de ordersoftware ligt dat eigenaarschap bij de leverancier van het systeem, niet bij jou. De afstemming over nieuwe software en updates tussen leverancier en klant is een apart onderwerp in de NIS2 Quality Mark Auditrichtlijnen.

De tabel hieronder laat zien waar de eis landt en welk deel ClickOn beheert. Twee onderdelen vallen buiten het beheer: de ordersoftware van de leverancier en de productiemachines in de werkplaats.

Bij de ordersoftware beheert ClickOn de accounts, de MFA en de werkplekken waarmee je inlogt; de software zelf blijft bij de leverancier. Mkb-bedrijven hebben vaak geen eigen ICT- of cybersecuritymedewerkers. Juist daarom moet vastliggen wie welke schakel in de orderlijn beheert.

Compliant werkplekbeheer dat NIS2-klaar is

Compliant werkplekbeheer voor een kozijnenbedrijf betekent dat de Microsoft 365-werkplek doorlopend voldoet aan wat een NIS2-plichtige opdrachtgever uitvraagt. Mkb-medewerkers zijn zich volgens het NIS2 Quality Mark-schema vaak minder bewust van cybersecurityrisico's en missen de training om dreigingen te herkennen. Beheer vangt dat op zonder dat je zelf een ICT-afdeling opbouwt.

Audit-klaar worden is eenmalig. Audit-klaar blijven is beheer.

Doorlopend werkplekbeheer van ClickOn dekt de helpdesk, MFA, endpointbeveiliging, patchmanagement, automatische back-ups en monitoring. Auditors kijken ook naar gedrag op de werkplek, zoals of medewerkers hun scherm vergrendelen als ze wegstappen. Op een kantoor waar werkvoorbereiders tussen bureau en werkplaats lopen, telt die vergrendeling mee.

Waarom speelt dit nu in de kozijnenbranche?

De Cyberbeveiligingswet treedt op 15 augustus 2026 in werking, en vanaf dat moment gelden de verplichtingen voor alle entiteiten in Nederland die onder de wet vallen (NCSC, 2026). De Cyberbeveiligingswet is de Nederlandse uitwerking van NIS2, en veel meer bedrijven dan voorheen moeten maatregelen nemen (NCSC, 2026). Die bedrijven zijn de opdrachtgevers van kozijnenbedrijven, en een Compliance Quick Scan laat in één dag zien waar jouw Microsoft 365-omgeving staat als zij om bewijs vragen.

NIS2 is op 16 januari 2023 in werking getreden, met 17 oktober 2024 als omzettingsdeadline voor lidstaten (NIS2-richtlijn, 2022). Een entiteit valt onder de jurisdictie van de lidstaat van haar hoofdvestiging, de plek waar de besluiten over cyberbeveiligingsmaatregelen vallen (NCSC, 2026). Een Nederlandse opdrachtgever met een hoofdvestiging hier stelt dus Nederlandse eisen aan jou, en Doorlopend werkplekbeheer houdt de werkplek daarna op dat niveau.

Een overheidsopdrachtgever blijft zelf verantwoordelijk voor het besluit of een restrisico bij een leverancier aanvaardbaar is. Dat besluit neemt de opdrachtgever op basis van wat jij kunt laten zien. Wie al werkt met een norm als ISO 27001 heeft het beleid voor een groot deel al staan.

Welke andere normen gelden er voor kozijnenbedrijven?

Voor kozijnenbedrijven gelden naast NIS2-ketenseisen vooral ISO 27001, de AVG, ISO 9001 en de BIO, elk via een andere opdrachtgever of een andere reden. Bij de NIS2 Quality Mark krijgt elke maatregel een mapping indication naar ISO 27001, zodat dubbel werk wordt voorkomen. Per norm staat hieronder wat hij in de kozijnenbranche regelt.

ISO 27001

ISO 27001 vraagt een opdrachtgever uit zodra informatiebeveiliging in de aanbesteding of het contract staat. Voor een kozijnenbedrijf regelt de norm hoe tekeningen, bestekken en projectplanningen van de opdrachtgever beveiligd worden.

AVG

De AVG geldt zodra je persoonsgegevens verwerkt, zoals adressen, inmeetafspraken en telefoonnummers van bewoners bij renovatieprojecten. Opdrachtgevers vragen de AVG samen met ISO 27001 uit wanneer zij informatiebeveiliging eisen.

ISO 9001

ISO 9001 raakt ICT in een enge rol: documentbeheer, toegangsbeheer en registraties in Microsoft 365. Denk aan de juiste versie van een kozijntekening in SharePoint en wie die mag wijzigen.

BIO

De BIO geldt voor overheidsorganisaties en komt bij jou terecht wanneer een gemeente of ander overheidsorgaan de norm doorlegt aan de leverancier. Bestaande normenkaders kunnen de regeldruk voor mkb'ers beperken.

Een opdrachtgever kan in dezelfde uitvraag ook VCA of de CO2-prestatieladder vragen. Dat zijn eisen van de opdrachtgever buiten informatiebeveiliging, en ClickOn heeft daar geen rol in.

Veelgestelde vragen over NIS2 voor kozijnenbedrijven

De vragen over NIS2 voor kozijnenbedrijven gaan vooral over de keten: of je zelf onder de Cyberbeveiligingswet valt, wat opdrachtgevers vragen en wie de ordersoftware van de leverancier beheert. NCSC houdt een eigen FAQ over de Cyberbeveiligingswet bij. De antwoorden hieronder zijn toegespitst op een kozijnenbedrijf.

Valt mijn kozijnenbedrijf zelf onder NIS2?

Meestal niet, omdat kozijnproductie en montage niet als sector in de bijlagen van NIS2 staan. De omvangtoets komt dan niet aan de orde. De eisen bereiken je via NIS2-plichtige opdrachtgevers.

Waarom vraagt mijn opdrachtgever om bewijs van beveiliging?

NIS2 verplicht de opdrachtgever om risico's bij leveranciers te beheersen. Het doel is voorkomen dat een incident ontstaat door een ondeugdelijke dienst of product van een leverancier.

Beheert ClickOn de ordersoftware van mijn leverancier?

Nee, de order- en productiesoftware blijft bij de leverancier. ClickOn beheert de toegang: de accounts, de MFA en de werkplekken waarmee je inlogt.

Tellen de machines in de werkplaats mee?

De productiemachines vallen buiten het beheer van ClickOn. De uitval van operationele systemen hoort wel in je risicobeeld, zodat je passende maatregelen en prioriteiten kunt bepalen.

Wanneer gaat de Cyberbeveiligingswet in?

De Cyberbeveiligingswet geldt vanaf 15 augustus 2026 (Rijksoverheid, 2026). Vanaf die datum kunnen NIS2-plichtige opdrachtgevers de eisen aan hun leveranciers doorleggen.