NIS2 voor zonnepaneleninstallateurs

Valt jouw zonnepanelenbedrijf onder NIS2?

Een zonnepaneleninstallateur valt niet onder NIS2 en de Cyberbeveiligingswet (Cbw) omdat hij panelen plaatst. Installatiewerk bij klanten staat niet als sector in de bijlagen van de Cbw, dus voor die activiteit komt de omvangtoets niet aan de orde. Dat verandert pas als je bedrijf zelf elektriciteit opwekt of levert als hoofdactiviteit (memorie van toelichting Cbw, 2025).

De wetgever heeft die grens bewust getrokken. Volgens de memorie van toelichting is het niet de bedoeling dat een bedrijf met zonnepanelen onder de Cbw valt alleen omdat het energie opwekt en de omvangcriteria haalt (memorie van toelichting Cbw, 2025).

Een installateur die naast het montagewerk een eigen zonnepark exploiteert en stroom verkoopt, kan via die activiteit wel in bijlage 1 terechtkomen als elektriciteitsproducent. De Cbw kijkt dan naar producenten voor wie de opwekking van elektriciteit de belangrijkste commerciële of professionele activiteit is (memorie van toelichting Cbw, 2025). De panelen op het dak van je klant tellen daarvoor niet mee.

Val je via zo'n activiteit in een aangewezen sector, dan beslist de omvang. Het NCSC noemt dat de size cap: het aantal medewerkers, de jaaromzet en het balanstotaal (NCSC, 2026). De drempel ligt op 50 medewerkers, of meer dan 10 miljoen euro jaaromzet én een balanstotaal boven 10 miljoen euro (Cbw, 2026).

Met 50 tot 249 medewerkers ben je een belangrijke entiteit (Cbw, 2026). Vanaf 250 medewerkers, of bij een jaaromzet boven 50 miljoen euro én een balanstotaal boven 43 miljoen euro, ben je een essentiële entiteit met proactief toezicht (Cbw, 2026). Omzet alleen is niet genoeg, want beide financiële voorwaarden moeten tegelijk gelden.

De maximale boete is 10 miljoen euro of 2 procent van de wereldwijde jaaromzet voor een essentiële entiteit, telkens het hoogste bedrag (artikel 80 en 87 lid 3 Cbw, 2026). Voor een belangrijke entiteit is dat 7 miljoen euro of 1,4 procent, ook hier het hoogste van de twee (artikel 80 en 87 lid 3 Cbw, 2026).

Sommige organisaties vallen ongeacht hun omvang onder de wet, zoals overheidsorganisaties, DNS-dienstverleners en kritieke entiteiten onder de Wet weerbaarheid kritieke entiteiten (artikel 8 lid 1 Cbw, 2026). Een installatiebedrijf hoort daar niet bij.

Ben je wel entiteit, dan gelden de zorgplicht, de meldplicht en de registratie in het nationale register van de minister van Justitie en Veiligheid direct per 15 augustus 2026 (artikel 43 lid 1 Cbw, 2026). Ieder uitvoerend bestuurslid moet vóór 15 augustus 2028 aantoonbaar aan de kenniseis voldoen, met een trainingscertificaat als bewijs (artikel 24 lid 3 en 5 Cbw, 2026). Wie later wordt benoemd, krijgt twee jaar vanaf de benoeming (artikel 24 lid 5 Cbw, 2026).

Een significant incident toets je als entiteit buiten een sectorregeling aan de twee criteria van artikel 25 lid 2 Cbw: een ernstige operationele verstoring of financieel verlies, of aanzienlijke schade bij anderen (Cbw, 2026). De onderbouwing van die afweging ligt bij je eigen bedrijf.

Buiten de wet ben je daarmee niet uit beeld. Een zonnepaneleninstallateur levert aan opdrachtgevers die wel onder NIS2 vallen, zoals gemeenten en energiebedrijven. Die opdrachtgevers moeten de beveiliging van hun toeleveringsketen regelen, en jij zit in die keten.

Wat NIS2-plichtige opdrachtgevers van je eisen

Welke ICT van een zonnepaneleninstallateur raakt NIS2?

De ICT van een zonnepaneleninstallateur raakt NIS2 op twee plekken: de Microsoft 365-omgeving met offertes, dakschouwen en klantgegevens, en de monitoringportalen van omvormerleveranciers waarmee je na oplevering toegang houdt tot installaties bij klanten. NIS2 artikel 21 bepaalt welke maatregelen een opdrachtgever in scope ook over die leverancierstoegang moet nemen.

Het Cyberbeveiligingsbesluit bevat een apart artikel over beveiliging van de toeleveringsketen (Cyberbeveiligingsregeling LVVN, 2026). Je opdrachtgever vertaalt dat artikel naar vragen aan jou als installateur.

Het scherpste risico zit in het monitoringportaal. Die toegang blijft na oplevering vaak jarenlang bestaan, terwijl de monteur die hem aanmaakte allang weg kan zijn. De tabel koppelt elk ICT-onderdeel aan de eis waarop een opdrachtgever je aanspreekt.

Het monitoringportaal vraagt om een eigen routine. Wij noemen die de Portaalsleutel-check: vier vragen die je per omvormerleverancier beantwoordt en vastlegt.

• Wie heeft toegang? Houd per portaal een lijst van accounts bij en benoem één eigenaar per portaal, zoals auditors dat per bedrijfsmiddel verwachten (NIS2 Quality Mark Auditrichtlijnen, 2025).
• Hoe log je in? Geef elke monteur een eigen account in plaats van één gedeeld installateursaccount, en zet multifactorauthenticatie aan waar het portaal die aanbiedt (NIS2 Quality Mark schema, 2026).
• Wat gebeurt er bij uitdiensttreding? Trek de portaaltoegang in op dezelfde dag als het Microsoft 365-account, en noteer dat in je offboardinglijst.
• Wat doe je als de leverancier gehackt wordt? Wijzig wachtwoorden, trek actieve sessies in, informeer je opdrachtgever en bewaar een logboek van wat je wanneer deed.

Een gedeeld account is de zwakste plek. Wie het wachtwoord kent, kan jaren later nog bij honderden installaties, en niemand ziet wie inlogde.

ClickOn neemt het ICT-deel over: de accounts, de werkplekken, de back-ups en het bewijs per maatregel. Het portaal zelf en de installatie op het dak blijven bij jou en de omvormerleverancier.

Compliant werkplekbeheer dat NIS2-klaar is

Waarom speelt dit nu in de zonne-energiebranche?

De zonne-energiebranche krijgt met de Cyberbeveiligingswet (Cbw) te maken per 15 augustus 2026, nadat de Eerste Kamer de wet op 7 juli 2026 aannam (Rijksoverheid, 2026). De Europese NIS2-richtlijn trad al op 16 januari 2023 in werking, met 17 oktober 2024 als omzettingsdeadline (Richtlijn (EU) 2022/2555, 2022). Met een Compliance Quick Scan heb je in één dag de stand van je Microsoft 365-omgeving op papier voor de leveranciersvragen van opdrachtgevers.

De Cyberbeveiligingsregeling Energie gaat uit van naar schatting 480 bedrijven in de energiesector met zorgplicht en meldplicht (Cyberbeveiligingsregeling Energie, 2026). Die regeling legt de meldplichtcriteria vast rond de continuïteit van de levering van essentiële diensten, en installateurs met portaaltoegang raken daar via die opdrachtgevers aan (Cyberbeveiligingsregeling Energie, 2026). Werk je voor een van die 480 bedrijven, dan houdt Doorlopend werkplekbeheer je accounts, werkplekken en back-ups ook na de eerste audit aantoonbaar op orde (Cyberbeveiligingsregeling Energie, 2026).

Welke andere normen gelden er voor zonnepaneleninstallateurs?

Voor zonnepaneleninstallateurs spelen vijf andere normen mee: de Cyber Resilience Act (CRA), ISO 27001, de AVG, ISO 9001 in een beperkte rol en de BIO wanneer een overheidsopdrachtgever die doorlegt. De CRA raakt de branche het sterkst, omdat de omvormers die je plaatst producten met digitale elementen zijn die op afstand bereikbaar blijven.

CRA

De Cyber Resilience Act legt cyberbeveiligingseisen op aan fabrikanten van producten met digitale elementen, zoals een omvormer met wifi- of netwerkverbinding. Als installateur vraag je de omvormerleverancier naar de updateperiode en neem je firmware-updates op in je onderhoudsafspraken.

ISO 27001

Een opdrachtgever vraagt ISO 27001 uit zodra hij informatiebeveiliging in de aanbesteding opneemt. De norm dekt je Microsoft 365-omgeving en je portaaltoegang in één managementsysteem.

AVG

Klantnaam, adres en opbrengstgegevens van een woning in het monitoringportaal zijn persoonsgegevens, en de AVG verlangt daarvoor passende beveiliging. Wie verwerkingsverantwoordelijke is, jij of de omvormerleverancier, bepaalt wie een datalek via het portaal meldt bij de Autoriteit Persoonsgegevens.

ISO 9001

ISO 9001 speelt hier alleen in zijn enge rol: documentbeheer, toegangsbeheer en registraties in Microsoft 365, zoals opleverdossiers en keuringsrapporten (NEN-EN-ISO 9001, 2015).

BIO

De Baseline Informatiebeveiliging Overheid geldt voor overheden. Een gemeente of provincie die panelen op eigen gebouwen laat leggen, kan de BIO-eisen in het contract aan jou doorleggen.

Opdrachtgevers en netbeheerders vragen daarnaast elektrotechnische normen voor vakbekwaamheid en veilig werken aan installaties uit. Die normen gaan niet over informatiebeveiliging, en ClickOn speelt daarin geen rol.

Veelgestelde vragen over NIS2 voor zonnepaneleninstallateurs

De veelgestelde vragen over NIS2 voor zonnepaneleninstallateurs gaan over de reikwijdte van de Cyberbeveiligingswet (Cbw), de omvangdrempels, de monitoringportalen van omvormerleveranciers en wat ClickOn wel en niet beheert. Elk antwoord hieronder verwijst naar de uitleg eerder in deze tekst (NCSC, 2026).

Valt een zonnepaneleninstallateur onder NIS2?

Niet vanwege het plaatsen van panelen: installatiewerk bij klanten staat niet in de bijlagen van de Cbw. Wek je zelf elektriciteit op of lever je die als hoofdactiviteit, dan kun je via die activiteit wel als elektriciteitsproducent in scope vallen (memorie van toelichting Cbw, 2025).

Wanneer ben je een essentiële in plaats van een belangrijke entiteit?

Met 50 tot 249 medewerkers ben je in een aangewezen sector een belangrijke entiteit (Cbw, 2026). Vanaf 250 medewerkers, of bij meer dan 50 miljoen euro jaaromzet én een balanstotaal boven 43 miljoen euro, ben je essentieel (Cbw, 2026).

Waarom vragen opdrachtgevers naar je monitoringportalen?

Via het portaal van de omvormerleverancier houd je na oplevering toegang tot installaties bij de klant. Een opdrachtgever in scope moet die leverancierstoegang meenemen in de beveiliging van zijn toeleveringsketen.

Wat doe je met portaaltoegang als een monteur vertrekt?

Trek de portaaltoegang in op dezelfde dag als het Microsoft 365-account en leg dat vast. Geef monteurs eigen accounts, zodat je één persoon kunt afsluiten zonder alle installaties opnieuw te moeten beveiligen.

Beheert ClickOn de omvormers of het monitoringportaal?

Nee, de omvormers en de installatie zelf vallen buiten scope. ClickOn beheert de werkplekken en Microsoft 365-accounts waarmee je monteurs in het portaal inloggen.

Wanneer gaat de Cyberbeveiligingswet in?

De Cbw geldt vanaf 15 augustus 2026, na aanname door de Eerste Kamer op 7 juli 2026 (Rijksoverheid, 2026). Bestuurders van entiteiten hebben tot 15 augustus 2028 om aan de kenniseis te voldoen (artikel 24 lid 3 en 5 Cbw, 2026).