NIS2 voor sloopbedrijven: valt jouw bedrijf onder de wet?

Valt jouw sloopbedrijf onder NIS2?

Een sloopbedrijf valt niet rechtstreeks onder NIS2. Slopen is geen sector die de Cyberbeveiligingswet aanwijst, dus de omvangtoets komt voor je eigen bedrijf niet aan de orde. NIS2 bereikt sloopbedrijven via de keten: toeleveranciers van organisaties die wel onder de wet vallen, kunnen erdoor geraakt worden, afhankelijk van hun rol in die keten (RDI, 2026).

Heb je naast het sloopwerk een eigen bedrijfsonderdeel dat in een aangewezen sector valt? Controleer dat dan met de NIS2 Zelfevaluatie, de vragenlijst die de RDI voor precies deze vraag heeft ontwikkeld. De NIS2 Zelfevaluatie laat ook zien of een organisatie als essentieel of als belangrijk geldt.

NIS2 is de opvolger van de eerste NIS-richtlijn. Als EU-richtlijn 2022/2555 trad NIS2 op 16 januari 2023 in werking, met 17 oktober 2024 als omzettingsdeadline voor de lidstaten (NIS2-richtlijn, 2022). Nederland zette de richtlijn om in de Cyberbeveiligingswet.

De omvangdrempel geldt voor je opdrachtgevers in een aangewezen sector. Die drempel ligt op 50 medewerkers, of op meer dan 10 miljoen euro jaaromzet én een balanstotaal boven 10 miljoen euro (Cbw, 2026). Een opdrachtgever met 50 tot en met 249 medewerkers is een belangrijke entiteit (Cbw, 2026).

Vanaf 250 medewerkers is de opdrachtgever een essentiële entiteit met proactief toezicht (Cbw, 2026). Dezelfde status volgt uit een jaaromzet boven 50 miljoen euro én een balanstotaal boven 43 miljoen euro. Beide voorwaarden moeten dan kloppen, omzet alleen volstaat niet (Cbw, 2026).

Bij een deel van je opdrachtgevers speelt de omvang geen rol. Overheidsorganisaties en kritieke entiteiten onder de Wet weerbaarheid kritieke entiteiten vallen er ongeacht hun omvang onder, net als onder meer DNS-dienstverleners en gekwalificeerde verleners van vertrouwensdiensten (art. 8 lid 1 Cbw, 2026). Een gemeente die een schoolgebouw laat slopen, is dus een NIS2-plichtige opdrachtgever, hoe klein de afdeling ook is die de aanbesteding doet.

De boete voor zo'n opdrachtgever bedraagt ten hoogste 10 miljoen euro of 2 procent van de wereldwijde jaaromzet bij een essentiële entiteit, en 7 miljoen euro of 1,4 procent bij een belangrijke entiteit, telkens het hoogste van de twee (art. 80 en 87 lid 3 Cbw, 2026). Jij krijgt die boete niet. Je krijgt wel de vragen waarmee de opdrachtgever die boete wil voorkomen.

Je NIS2-plichtige opdrachtgevers hebben sinds 15 augustus 2026 een zorgplicht, een meldplicht en een registratieplicht in het nationale register dat de minister van Justitie en Veiligheid beheert (art. 43 lid 1 Cbw, 2026). Het centrale registratiepunt daarvoor is Mijn.NCSC.nl, beheerd door het Nationaal Cyber Security Centrum. De uitvoerende bestuurders van die opdrachtgevers moeten uiterlijk 15 augustus 2028 met een trainingscertificaat aantonen dat ze aan de kenniseis voldoen, en wie later wordt benoemd krijgt twee jaar vanaf de benoeming (art. 24 lid 3 en 5 Cbw, 2026).

Wat NIS2-plichtige opdrachtgevers van je eisen

Welke ICT van een sloopbedrijf raakt NIS2?

De ICT van een sloopbedrijf raakt NIS2 waar een NIS2-plichtige opdrachtgever informatie met je deelt of toegang verwacht: Microsoft 365-accounts, e-mail, projectmappen en de laptops en telefoons van je uitvoerders. NIS2 artikel 21 noemt multifactorauthenticatie en beveiligde communicatie letterlijk als maatregel, en daar landen de eerste ketenvragen (NIS2 Quality Mark, 2026).

Een auditor vraagt naar een overzicht van bedrijfsmiddelen, zoals servers, dataopslag en firewalls, met per middel een benoemde eigenaar (NIS2 Quality Mark Auditrichtlijnen, 2025). Bij een sloopbedrijf hoort de tablet in de bouwkeet op dat overzicht, want daarop opent de uitvoerder het sloopplan en de tekeningen van de opdrachtgever.

Veel mkb-bedrijven hebben geen eigen ICT- of cybersecuritymedewerker. Het beheer van dat overzicht komt dan terecht bij iemand die het er naast het werk bij doet.

De asbestdossiers vallen onder de AVG, los van wat de opdrachtgever vraagt. Een asbestinventarisatie koppelt een adres aan gezondheidsgerelateerde gegevens, en voor gezondheidsgegevens geldt onder de AVG een strenger regime. De AVG raakt dit werk dus direct, niet alleen via de opdrachtgever.

De kantoor-ICT valt onder de ketenvraag van de opdrachtgever, de asbestdossiers hebben via de AVG een eigen spoor en het sloopmaterieel blijft buiten de eis. Een sloopbedrijf deelt projectmappen met gemeenten en netbeheerders, en precies die gedeelde toegang toetst de opdrachtgever onder de ketenbeveiliging.

De Sloopdossiertoets plaatst elk systeem uit deze tabel met twee vragen. Wie kan erbij, en met welk account? Kun je het terughalen als de laptop uit de bouwkeet verdwijnt?

Een asbestdossier dat alleen lokaal op één laptop staat, faalt op de tweede vraag, ook al valt het LAVS zelf buiten het beheer van ClickOn. Keurmerken als NIS2 Quality Mark zijn op artikel 21 gemapt, dus een auditor stelt dezelfde twee vragen in andere woorden (NIS2 Quality Mark, 2024).

Compliant werkplekbeheer dat NIS2-klaar is

Waarom speelt dit nu in de sloopbranche?

De Cyberbeveiligingswet geldt sinds 15 augustus 2026 voor in Nederland gevestigde entiteiten binnen het toepassingsbereik (NCSC, 2026). De Eerste Kamer nam de wet op 7 juli 2026 aan (Rijksoverheid, 2026). Gemeenten en netbeheerders zetten hun ketenvragen daardoor nu in de uitvraag voor sloopwerk, en de Compliance Quick Scan legt in één dag vast hoe je Microsoft 365-omgeving ervoor staat, met een prioriteitenroadmap voor het ICT-deel.

Bij de Cyberbeveiligingsregeling IenW wijst het adviserende college erop dat bedrijven extra lasten ervaren bij stapeling van verplichtingen (Cyberbeveiligingsregeling IenW, 2026). Een sloopbedrijf kent die stapeling al: het procescertificaat voor veilig en milieukundig slopen en het certificaat voor asbestverwijdering vragen elk hun eigen registraties, en een beveiligingseis komt daar bovenop. Doorlopend werkplekbeheer houdt het ICT-deel van die stapel op één plek bij, en de Compliance Journey regelt het organisatorische deel via een compliance-partner of je eigen adviseur.

Welke andere normen gelden er voor sloopbedrijven?

Voor sloopbedrijven gelden naast de ketenbeveiliging vier andere normen: de AVG direct via de asbestdossiers, ISO 27001 en de BIO wanneer een opdrachtgever informatiebeveiliging uitvraagt of doorlegt, en ISO 9001 in de kwaliteitsadministratie. Informatiebeveiligingseisen bereiken daarbij steeds vaker mkb-toeleveranciers, niet alleen grote organisaties.

AVG

De AVG raakt een sloopbedrijf direct, omdat asbestinventarisaties en LAVS-dossiers adressen koppelen aan gezondheidsgerelateerde gegevens. De verantwoordelijkheid voor die dossiers ligt bij jou, niet alleen bij de opdrachtgever.

ISO 27001

ISO 27001 speelt zodra een opdrachtgever informatiebeveiliging uitvraagt en een certificaat of gelijkwaardig bewijs wil zien. Certificeringsschema's voor toeleveranciers gaan ervan uit dat mkb-bedrijven niet meteen aan dezelfde standaarden voldoen als multinationals.

ISO 9001

ISO 9001 heeft voor de ICT van een sloopbedrijf een smalle rol: documentbeheer, toegangsbeheer en de registraties die in Microsoft 365 staan. Denk aan de versies van sloopplannen en werkinstructies die de kwaliteitsadministratie moet kunnen tonen.

BIO

De BIO is de baseline informatiebeveiliging voor overheden. Een gemeente of provincie die sloopwerk uitbesteedt, kan eisen uit de BIO in het contract aan je doorleggen.

Naast deze normen vraagt de opdrachtgever in dit werk vooral het procescertificaat voor veilig en milieukundig slopen en het certificaat voor asbestverwijdering. Die certificaten gaan over het sloopwerk zelf. ClickOn heeft daar geen rol in.

Veelgestelde vragen over NIS2 in sloopbedrijven

De veelgestelde vragen over NIS2 in sloopbedrijven gaan over drie dingen: of een sloopbedrijf zelf onder de Cyberbeveiligingswet valt, waarom opdrachtgevers toch NIS2-vragen stellen en hoe de asbestdossiers zich tot de eisen verhouden. Het NCSC beantwoordt de algemene vragen over de wet in zijn eigen FAQ.

Valt een sloopbedrijf zelf onder NIS2?

Een sloopbedrijf valt niet rechtstreeks onder NIS2, omdat slopen geen aangewezen sector is en de omvangtoets dus niet aan de orde komt. Heb je een eigen bedrijfsonderdeel in een aangewezen sector, controleer dat dan met de NIS2 Zelfevaluatie van de RDI.

Waarom krijg ik als sloopbedrijf toch NIS2-vragen?

Je krijgt NIS2-vragen omdat opdrachtgevers die onder de Cyberbeveiligingswet vallen de beveiliging van hun toeleveringsketen moeten regelen. Overheidsorganisaties vallen er ongeacht hun omvang onder, dus ook een gemeente die sloopwerk aanbesteedt (art. 8 lid 1 Cbw, 2026).

Wat is het verschil tussen NIS2 en de Cyberbeveiligingswet?

NIS2 is de Europese richtlijn, de opvolger van de eerste NIS-richtlijn. De Cyberbeveiligingswet is de Nederlandse omzetting en geldt sinds 15 augustus 2026 (Rijksoverheid, 2026).

Vallen asbestdossiers onder de eisen?

Asbestinventarisatie- en LAVS-dossiers vallen onder de AVG, omdat ze adressen koppelen aan gezondheidsgerelateerde gegevens. ClickOn beheert de accounts en apparaten waarmee je bij die dossiers komt; het LAVS en de inhoud van de dossiers beheer je zelf.

Valt sloopmaterieel onder de ICT-eis?

Sloopmaterieel en stofmeetapparatuur vallen buiten de ICT-eis van de opdrachtgever. De eis landt op je kantoor-ICT: Microsoft 365-accounts, e-mail, projectmappen en de apparaten van je uitvoerders.

Welke drempel geldt voor mijn opdrachtgever?

Een opdrachtgever in een aangewezen sector valt eronder vanaf 50 medewerkers, of bij meer dan 10 miljoen euro jaaromzet én een balanstotaal boven 10 miljoen euro (Cbw, 2026). Vanaf 250 medewerkers, of bij meer dan 50 miljoen euro jaaromzet én een balanstotaal boven 43 miljoen euro, is die opdrachtgever een essentiële entiteit (Cbw, 2026).