NIS2 voor metselbedrijven

Valt jouw metselbedrijf onder NIS2?

Een metselbedrijf valt zelden rechtstreeks onder NIS2, omdat metselwerk niet voorkomt in de sectoren uit de bijlagen van de richtlijn. De Cyberbeveiligingswet (Cbw) volgt die sectorindeling. Volgens de Rijksinspectie Digitale Infrastructuur kunnen toeleveranciers wel geraakt worden, afhankelijk van hun rol in de keten.

NIS2 (EU-richtlijn 2022/2555) trad op 16 januari 2023 in werking (NIS2-richtlijn, 2022). Lidstaten moesten de richtlijn uiterlijk 17 oktober 2024 omzetten in nationale wetgeving (NIS2-richtlijn, 2022). In Nederland is dat de Cbw.

De omvangdrempel van de Cyberbeveiligingswet

De Cbw toetst binnen een aangewezen sector op 50 medewerkers, of op meer dan 10 miljoen euro jaaromzet én een balanstotaal boven 10 miljoen euro (Cyberbeveiligingswet, 2026). Het NCSC noemt die toets de size cap en kijkt daarbij naar medewerkers, jaaromzet en balanstotaal.

Een organisatie met 50 tot 249 medewerkers in een aangewezen sector is een belangrijke entiteit (Cyberbeveiligingswet, 2026). Vanaf 250 medewerkers, of bij een jaaromzet boven 50 miljoen euro én een balanstotaal boven 43 miljoen euro, is het een essentiële entiteit met proactief toezicht (Cyberbeveiligingswet, 2026). Beide financiële voorwaarden moeten tegelijk gelden. Omzet alleen is niet genoeg.

De boete bedraagt ten hoogste 10 miljoen euro of 2 procent van de wereldwijde jaaromzet voor essentiële entiteiten, telkens het hoogste bedrag (art. 80 en 87 lid 3 Cbw, 2026). Voor belangrijke entiteiten is het maximum 7 miljoen euro of 1,4 procent, ook weer het hoogste van de twee (art. 80 en 87 lid 3 Cbw, 2026).

Sommige organisaties vallen er ongeacht hun omvang onder: overheidsorganisaties, DNS-dienstverleners, registers voor topleveldomeinnamen, gekwalificeerde verleners van vertrouwensdiensten en kritieke entiteiten (art. 8 lid 1 Cbw, 2026). Een metselbedrijf hoort in geen van die groepen. Het NCSC wijst erop dat de omvangcriteria alleen niet altijd bepalend zijn.

Wat dat betekent voor een metselbedrijf

Voor een metselbedrijf komt de omvangtoets niet aan de orde, want de sector staat niet in de bijlagen. Ook een metselbedrijf met meer dan 50 medewerkers wordt daardoor geen belangrijke entiteit (Cyberbeveiligingswet, 2026). Registratie in het nationale register dat de minister van Justitie en Veiligheid beheert, geldt alleen voor entiteiten die onder de wet vallen (art. 43 lid 1 Cbw, 2026).

Je krijgt de eisen dus tweedehands binnen. De hoofdaannemer of opdrachtgever valt onder de Cbw, zet de beveiligingseisen in zijn contract en legt ze door naar jou als onderaannemer. Je onderhandelt niet zelf met de NIS2-plichtige partij, maar je moet wel voldoen.

Twijfel je over je eigen positie? Doe dan de NIS2 Zelfevaluatie die de RDI heeft ontwikkeld.

Wat NIS2-plichtige opdrachtgevers van je eisen

Welke ICT van een metselbedrijf raakt NIS2?

De ICT van een metselbedrijf die NIS2 raakt, is de ICT waarop de hoofdaannemer zijn eisen uit NIS2 artikel 21 doorlegt. Die eisen landen op je Microsoft 365-accounts, de telefoons en laptops van uitvoerders, je projectbestanden, je back-ups en de werkbonnenapp. Materieel en gereedschap vallen erbuiten.

De richtlijn noemt multifactorauthenticatie letterlijk als maatregel, naast beveiligde communicatie binnen de organisatie. Een metselbedrijf levert aan hoofdaannemers die die maatregel ook van hun onderaannemers willen zien.

Per bedrijfsmiddel hoort een eigenaar te zijn benoemd die verantwoordelijk is voor de bescherming ervan. Dat geldt ook voor de telefoon waarmee een uitvoerder op de steiger tekeningen opent. Mkb-bedrijven hebben volgens het NIS2 Quality Mark-schema vaak geen eigen ICT- of cybersecuritymedewerker.

De scherpste rij in de tabel hieronder is de werkbonnen- en urenregistratie. Die app draait meestal bij een externe partij en bevat de uren en persoonsgegevens van je metselaars. ClickOn beheert daar de toegang, de app zelf blijft bij de leverancier.

De uitdiensttredingstoets voor de werkbonnenapp

De uitdiensttredingstoets stelt bij elke app van een derde twee vragen. Wie kan er vandaag bij de uren en gegevens van je mensen? Wordt het account van een vertrokken metselaar of zzp'er dezelfde dag geblokkeerd?

Loopt de inlog van de werkbonnenapp via Microsoft 365, dan sluit het blokkeren van één account ook de app af. Heeft de app een eigen wachtwoord, dan moet je dat bij elke uitdiensttreding apart intrekken. De hoofdaannemer vraagt naar precies dat moment, omdat NIS2 de beveiliging van de keten via directe leveranciers regelt.

Compliant werkplekbeheer dat NIS2-klaar is

Waarom speelt dit nu voor metselbedrijven?

Metselbedrijven merken de Cyberbeveiligingswet vanaf 15 augustus 2026, de dag waarop de Nederlandse omzetting van NIS2 in werking treedt na aanneming door de Eerste Kamer op 7 juli 2026 (Rijksoverheid, 2026). Vanaf die datum moet een NIS2-plichtige opdrachtgever zelf besluiten of het restrisico bij zijn leveranciers aanvaardbaar is, en die vraag komt als contracteis of vragenlijst bij jou als onderaannemer terecht. Een Compliance Quick Scan geeft je in één dag de stand van je Microsoft 365-omgeving, zodat je die vragenlijst met feiten beantwoordt.

De bestuurders van die opdrachtgevers moeten uiterlijk 15 augustus 2028 aantoonbaar voldoen aan de kenniseis, met een trainingscertificaat als bewijs (art. 24 lid 3 en 5 Cbw, 2026). Een bestuurder die cyberrisico's moet kunnen beoordelen, vraagt harder door op leveranciers, en de Rijksoverheid adviseert niet af te wachten omdat de risico's er nu al zijn. Doorlopend werkplekbeheer houdt MFA, patches en back-ups doorlopend op niveau, zodat je bij elke nieuwe vraag van een hoofdaannemer hetzelfde bewijs laat zien.

Welke andere normen gelden er voor metselbedrijven?

Metselbedrijven krijgen naast de ketenvraag over informatiebeveiliging te maken met ISO 27001, de AVG, ISO 9001 in een smalle rol en de BIO. Welke norm speelt, hangt af van wat de opdrachtgever uitvraagt en van de persoonsgegevens die je over je eigen mensen bijhoudt. Elke organisatie stelt zelf vast welke externe eisen op haar van toepassing zijn.

ISO 27001

ISO 27001 vraagt een hoofdaannemer uit die informatiebeveiliging als contracteis stelt, meestal met de toevoeging "of gelijkwaardig". De standaard is voor bedrijven niet wettelijk voorgeschreven.

AVG

De AVG geldt omdat je uren, adressen en BSN-gegevens van metselaars en ingehuurde zzp'ers verwerkt. Draait de werkbonnenapp bij een externe partij, dan hoort daar een verwerkersovereenkomst bij.

ISO 9001

ISO 9001 is een kwaliteitsmanagementnorm die opdrachtgevers in de bouw vaak naast andere eisen stellen. Voor je ICT raakt ISO 9001 alleen documentbeheer, toegangsbeheer en registraties in Microsoft 365.

BIO

De BIO is de beveiligingsnorm van de overheid en speelt alleen wanneer een overheidsopdrachtgever, zoals een gemeente, hem in het contract doorlegt. Werk je nooit voor overheden, dan krijg je hem niet te zien.

Opdrachtgevers vragen in de bouw ook VCA en de CO2-prestatieladder. Dat zijn eisen van de opdrachtgever op veiligheid en CO2-uitstoot, buiten de ICT. ClickOn heeft daar geen rol in.

Veelgestelde vragen over NIS2 voor metselbedrijven

Valt een metselbedrijf zelf onder NIS2?

Meestal niet, omdat metselwerk niet in de sectoren uit de bijlagen van NIS2 staat en de omvangtoets daardoor niet aan de orde komt. De eisen komen via de hoofdaannemer of opdrachtgever die wel onder de Cyberbeveiligingswet valt.

Waarom vraagt mijn hoofdaannemer om bewijs van beveiliging?

Een NIS2-plichtige opdrachtgever moet zelf beoordelen of het restrisico bij zijn leveranciers aanvaardbaar is. Die beoordeling legt hij bij jou neer via contracteisen of een vragenlijst over je Microsoft 365-omgeving, je apparaten en je back-ups.

Wanneer gaat de Cyberbeveiligingswet in?

De Cyberbeveiligingswet treedt op 15 augustus 2026 in werking (Rijksoverheid, 2026). Vanaf die datum stellen NIS2-plichtige opdrachtgevers hun eisen aan onderaannemers.

Wat moet ik regelen voor de werkbonnenapp?

Regel wie er toegang heeft tot de uren en persoonsgegevens van je mensen en of een vertrokken medewerker dezelfde dag wordt afgesloten. Leg daarnaast een verwerkersovereenkomst vast met de leverancier van de app.

Vallen materieel en gereedschap onder de eisen?

Nee, materieel en gereedschap vallen buiten scope van de ICT-eisen die een hoofdaannemer doorlegt. De eisen landen op accounts, apparaten, bestanden, back-ups en apps van derden.

Moet mijn metselbedrijf zich registreren bij de overheid?

Registratie in het nationale register geldt alleen voor entiteiten die onder de Cyberbeveiligingswet vallen (art. 43 lid 1 Cbw, 2026). Een metselbedrijf dat de eisen via de keten ontvangt, hoeft zich niet te registreren. Twijfel je, doe dan de NIS2 Zelfevaluatie van de RDI.