NIS2 voor timmerbedrijven

Inhoudsopgave

• Valt jouw timmerbedrijf onder NIS2?
• Wat NIS2-plichtige opdrachtgevers van je eisen
• Welke ICT van een timmerbedrijf raakt NIS2?
• Compliant werkplekbeheer dat NIS2-klaar is
• Waarom speelt dit nu voor timmerbedrijven?
• Welke andere normen gelden er voor timmerbedrijven?
• Veelgestelde vragen over NIS2 voor timmerbedrijven

Valt jouw timmerbedrijf onder NIS2?

Een timmerbedrijf valt in de regel niet zelf onder NIS2. De houtbewerking en het timmerwerk staan niet in de bijlagen met aangewezen sectoren van de NIS2-richtlijn, en de Nederlandse Cyberbeveiligingswet volgt die sectorlijst. Het NCSC benadrukt dat de omvangscriteria alleen niet altijd bepalen of een organisatie onder de wet valt.

Omdat de timmerbranche niet in de bijlagen staat, komt de omvangtoets voor je timmerbedrijf niet aan de orde. Het aantal timmerlieden in de werkplaats of de omvang van de orderportefeuille maakt je dus geen NIS2-entiteit. De NCSC-doorverwijsboom voor Cbw-organisaties is het officiële hulpmiddel om die sectorvraag voor je eigen bedrijf na te lopen.

Voor bedrijven in een aangewezen sector ligt de omvangdrempel bij 50 medewerkers, of bij meer dan 10 miljoen euro jaaromzet én een balanstotaal boven 10 miljoen euro (Cyberbeveiligingswet, 2026). Een organisatie met 50 tot 249 medewerkers is dan een belangrijke entiteit (Cyberbeveiligingswet, 2026). Vanaf 250 medewerkers, of bij een jaaromzet boven 50 miljoen euro én een balanstotaal boven 43 miljoen euro, is het een essentiële entiteit met proactief toezicht (Cyberbeveiligingswet, 2026).

De boete voor een essentiële entiteit bedraagt ten hoogste 10 miljoen euro of 2 procent van de wereldwijde jaaromzet, het hoogste van de twee (art. 80 en 87 lid 3 Cbw, 2026). Voor een belangrijke entiteit is dat ten hoogste 7 miljoen euro of 1,4 procent (art. 80 en 87 lid 3 Cbw, 2026). Overheidsorganisaties, DNS-dienstverleners, registers voor topleveldomeinnamen, gekwalificeerde vertrouwensdiensten en kritieke entiteiten vallen er ongeacht hun omvang onder (art. 8 lid 1 Cbw, 2026).

Wie wel entiteit is, registreert zich in het nationale register dat de minister van Justitie en Veiligheid beheert, en die plicht geldt direct per 15 augustus 2026 (art. 43 lid 1 Cbw, 2026). Zonder sectorregeling met een eigen drempel is een incident significant als het een ernstige operationele verstoring of financieel verlies veroorzaakt of kan veroorzaken, of als het anderen aanzienlijke materiële of immateriële schade berokkent of kan berokkenen (art. 25 lid 2 Cbw, 2026). De onderbouwing van die afweging ligt bij de entiteit zelf.

De NIS2-richtlijn trad op 16 januari 2023 in werking (NIS2-richtlijn, 2023). De omzettingsdeadline voor lidstaten was 17 oktober 2024 (NIS2-richtlijn, 2023). Een timmerbedrijf levert intussen wel aan opdrachtgevers die onder NIS2 vallen, en die opdrachtgevers moeten de beveiliging van hun toeleveringsketen regelen.

Wat NIS2-plichtige opdrachtgevers van je eisen

Welke ICT van een timmerbedrijf raakt NIS2?

De ICT van een timmerbedrijf raakt NIS2 via de kantoorkant: Microsoft 365-accounts, laptops, tekeningen en de werkvoorbereiding die aan het kantoornetwerk hangt. De CNC-machines in de werkplaats vallen buiten die eis. NIS2 noemt multifactorauthenticatie en beveiligde communicatie binnen de entiteit als concrete maatregelen.

Wij noemen die scheiding het Werkplaatsgrensmodel. De kantoorzone bevat alles wat je opdrachtgever via e-mail, gedeelde mappen en accounts raakt. De machinezone bevat de CNC-besturing en de zaagstraat, met besturing die vaak jaren meegaat en zelden een update krijgt.

De grens tussen die twee zones loopt dwars door de werkvoorbereiding. Een werkvoorbereider zet op zijn laptop een zaaglijst klaar en stuurt die naar de machine. Daar zit het risico: een besmette laptop in de kantoorzone kan via die ene verbinding de werkplaats stilleggen.

Een NIS2-plichtige opdrachtgever toetst per bedrijfsmiddel of er een eigenaar is benoemd die verantwoordelijk is voor de bescherming ervan. Voor een timmerbedrijf zonder eigen ICT-medewerker is dat vaak de directeur zelf, en mkb-bedrijven hebben volgens het NIS2 Quality Mark-schema vaak geen gespecialiseerde ICT- of cybersecuritymedewerkers. De tabel hieronder laat per onderdeel zien waar de eis landt en wat ClickOn beheert.

Wat je gebruikt	Waar de eis op landt	ClickOn
Microsoft 365-accounts van kantoor, werkvoorbereiding en uitvoerders	Toegangsbeheer en multifactorauthenticatie	Beheerd
Laptops, tablets en telefoons van werkvoorbereiders en monteurs	Beveiliging van systemen, patches en kwetsbaarheden	Beheerd
Tekeningen, offertes en maatvoering in SharePoint en OneDrive	Back-up, herstel en bedrijfscontinuïteit	Beheerd
E-mail en Teams met opdrachtgevers en leveranciers	Beveiligde communicatie en incidentafhandeling	Beheerd
Werkvoorbereidings- en zaagoptimalisatiesoftware	Toegang en accounts; de applicatie zelf valt onder de softwareleverancier	Buiten scope, toegang beheerd
CNC- en machinebesturing in de werkplaats	Netwerkscheiding van de kantoorzone; de besturing zelf valt onder de machinebouwer	Buiten scope

De Cyberbeveiligingswet is van toepassing op de netwerk- en informatiesystemen en de fysieke omgeving daarvan. Voor de machinezone betekent dat: de besturing blijft bij de machinebouwer, maar de verbinding met je kantoornetwerk hoort afgeschermd te zijn. Het NIS2 Quality Mark-schema vraagt ook om afstemming met klanten over nieuwe software en updates, dus leg vast wie de zaagoptimalisatie bijwerkt en wanneer.

Compliant werkplekbeheer dat NIS2-klaar is

Waarom speelt dit nu voor timmerbedrijven?

De Cyberbeveiligingswet treedt op 15 augustus 2026 in werking, en de verplichtingen gelden vanaf dat moment direct voor in Nederland gevestigde entiteiten (NCSC, 2026). De Eerste Kamer nam de Cyberbeveiligingswet op 7 juli 2026 aan (Rijksoverheid, 2026). Timmerbedrijven krijgen de leveranciersvragen van opdrachtgevers daardoor nu op tafel, en de Compliance Quick Scan legt in één dag vast hoe je Microsoft 365-omgeving ervoor staat, zodat je die vragen met feiten beantwoordt.

Een entiteit valt onder de lidstaat waar de hoofdvestiging zit, de vestiging waar de beslissingen over het beheer van cyberbeveiligingsrisico's worden genomen (NCSC, 2026). Voor een timmerbedrijf betekent dat: de Cbw-eisen van een Nederlandse opdrachtgever bepalen welk bewijs je per project aanlevert, en die opdrachtgever registreert zich zelf via het centrale registratiepunt Mijn.NCSC.nl. De Compliance Journey zet dat bewijs per maatregel klaar, van technische nulmeting tot technische audit-check.

Welke andere normen gelden er voor timmerbedrijven?

Naast NIS2-vragen uit de keten krijgt een timmerbedrijf te maken met ISO 27001, de AVG, ISO 9001 en, bij overheidsopdrachtgevers, de BIO. Het mkb-panel bij het Cyberbeveiligingsbesluit stelde voor ISO 27001 als kapstok te gebruiken, omdat veel mkb-bedrijven die standaard al kennen.

ISO 27001

ISO 27001 regelt het managementsysteem voor informatiebeveiliging rond je offertes, tekeningen en klantgegevens. Een opdrachtgever vraagt ISO 27001 uit zodra informatiebeveiliging in de aanbesteding staat, en de uitwerking van de zorgplicht sluit aan op normenkaders zoals ISO 27001.

AVG

De AVG regelt hoe je omgaat met persoonsgegevens van particuliere klanten, zoals adressen en inmeetgegevens in hun woning, en met personeelsgegevens. Opdrachtgevers vragen naar de AVG in dezelfde vragenlijst als informatiebeveiliging.

ISO 9001

ISO 9001 is een norm voor kwaliteitsmanagement. Voor het ICT-deel speelt ISO 9001 bij een timmerbedrijf in een enge rol: documentbeheer, toegangsbeheer en registraties in Microsoft 365, zoals de juiste versie van een werktekening bij de juiste werkvoorbereider.

BIO

De Baseline Informatiebeveiliging Overheid geldt voor overheidsorganisaties zelf. Een timmerbedrijf krijgt de BIO te maken wanneer een gemeente of andere overheidsopdrachtgever die eisen in het contract doorlegt.

Veelgestelde vragen over NIS2 voor timmerbedrijven

De veelgestelde vragen over NIS2 voor timmerbedrijven gaan over registratie bij het NCSC, de CNC-machines in de werkplaats, de ingangsdatum van de Cyberbeveiligingswet en de trainingsplicht voor bestuurders. De Rijksinspectie Digitale Infrastructuur beantwoordt in haar FAQ ook de vraag of de verplichtingen van de Cyberbeveiligingswet gelden voor organisaties onder de NIS2-richtlijn.

Moet een timmerbedrijf zich registreren bij het NCSC?

Een timmerbedrijf registreert zich alleen als het zelf entiteit is onder de Cyberbeveiligingswet. De registratieplicht in het nationale register van de minister van Justitie en Veiligheid geldt per 15 augustus 2026 (art. 43 lid 1 Cbw, 2026). Omdat de timmerbranche niet in de bijlagen van NIS2 staat, is dat voor de meeste timmerbedrijven niet aan de orde.

Vallen de CNC-machines in de werkplaats onder de NIS2-eisen?

De CNC- en machinebesturing valt buiten de scope van het werkplekbeheer; die besturing hoort bij de machinebouwer. Het NIS2 Quality Mark vraagt wel om de risico's van uitval van OT-systemen vast te stellen en met passende maatregelen te beheersen. Voor een timmerbedrijf betekent dat vooral de verbinding tussen werkvoorbereiding en machine afschermen.

Wanneer gaat de Cyberbeveiligingswet in?

De Cyberbeveiligingswet is van kracht per 15 augustus 2026 (Rijksoverheid, 2026). De Cbw volgt de Wet beveiliging netwerk- en informatiesystemen op, die in 2016 de eerste NIS-richtlijn in Nederland invoerde.

Waarom vraagt mijn opdrachtgever om NIS2-bewijs als mijn bedrijf er niet onder valt?

Een NIS2-plichtige opdrachtgever moet de beveiliging van zijn toeleveringsketen regelen. Een timmerbedrijf dat e-mail, tekeningen en planning met die opdrachtgever deelt, hoort bij die keten. Het bewijs dat de opdrachtgever vraagt, gaat daarom over je kantoorzone: accounts, laptops, back-ups en e-mail.

Moet de directeur van een timmerbedrijf een NIS2-training volgen?

De trainingsplicht geldt alleen voor bestuurders van entiteiten onder de Cyberbeveiligingswet. Ieder uitvoerend bestuurslid van zo'n entiteit voldoet uiterlijk vóór 15 augustus 2028 aantoonbaar aan de kenniseis, met een trainingscertificaat als bewijs (art. 24 lid 3 en 5 Cbw, 2026). Wie later wordt benoemd, krijgt twee jaar vanaf benoeming (art. 24 lid 3 en 5 Cbw, 2026).