Voor architectenbureaus geldt NIS2 niet rechtstreeks. De verplichtingen bereiken bureaus via hun opdrachtgevers: gemeenten, woningcorporaties, zorginstellingen en rijksdiensten die zelf onder de wet vallen en hun toeleveringsketen moeten beheersen. ClickOn, managed service provider (MSP) voor het MKB en zelf ISO 27001-gecertificeerd sinds 2021, levert compliant werkplekbeheer dat de NIS2-maatregelen standaard ingebouwd heeft.
Valt jouw architectenbureau onder NIS2?
Architectenbureaus vallen niet rechtstreeks onder NIS2. Architectuur en ontwerp staan niet in bijlage 1 of 2, ongeacht de omvang van het bureau. De plicht ontstaat alleen indirect, via de opdrachtgever.
De keten is de route waarlangs NIS2 wel binnenkomt. Opdrachtgevers die zelf onder NIS2 vallen, moeten hun toeleveringsketen beheersen en leggen hun beveiligingseisen daarom contractueel door aan de bedrijven die voor hen werken. Dat gebeurt in deze situaties:
- Gemeenten, provincies en zorginstellingen: van rechtswege essentiële entiteit en verplicht hun toeleveringsketen te beheersen. Bij een aanbesteding voor ontwerp of directievoering komt die eis als beveiligingsparagraaf in het bestek.
- Woningcorporaties: opdrachtgever voor renovatie, verduurzaming en nieuwbouw. Zij werken structureel samen met gemeenten en zetten hun eigen leverancierseisen door richting het ontwerpteam.
- Het bouwteam om je heen: constructeurs, installatieadviseurs en aannemers krijgen toegang tot jouw projectomgeving. Wie dat mag en hoe die toegang weer dichtgaat, is een vaste vraag in elke vragenlijst.
Wat de Cyberbeveiligingswet verandert
Wat NIS2-plichtige opdrachtgevers van je eisen
NIS2-plichtige opdrachtgevers eisen van architectenbureaus aantoonbare beveiligingsmaatregelen, meestal als beveiligingsvragenlijst bij een aanbesteding of contractverlenging. De vragen komen telkens op hetzelfde neer:
- Multifactorauthenticatie (MFA) op alle accounts, ook voor uitvoerend personeel.
- Geteste back-ups van projectdata, calculaties en administratie, met een hersteltermijn.
- Tijdige updates en patching van werkplekken, servers en software.
- Toegangsbeheer: wie kan bij tekeningen, contracten en persoonsgegevens en wordt toegang ingetrokken bij uitdiensttreding.
- Incidentafspraken: bij wie meld je een hack of datalek en hoe snel.
- Steeds vaker een certificaat zoals ISO 27001 of in het MKB de NIS2 Supply Chain-certificering, als bewijs dat de maatregelen structureel geborgd zijn.
Een niet-ingevulde vragenlijst is genoeg om een bieding terzijde te laten leggen. Opdrachtgevers lopen zelf boete- en aansprakelijkheidsrisico onder NIS2, met boetes tot 10 miljoen euro of 2 procent van de wereldwijde jaaromzet voor essentiële entiteiten en 7 miljoen euro of 1,4 procent voor belangrijke entiteiten (NIS2-richtlijn, 2022). Dat risico nemen ze niet over van een leverancier die het bewijs niet heeft.
De ICT van een architectenbureau en waar NIS2 die raakt
ClickOn beheert de digitale werkplek: Microsoft 365, de apparaten die eraan hangen en de accounts die erop inloggen. Dat is het deel van je ICT waar de beveiligingsvragenlijst van een opdrachtgever vrijwel volledig over gaat. De BIM-omgeving, het projectarchief en het beleidswerk vallen erbuiten en dat staat hieronder net zo expliciet.
| Wat je gebruikt | Waar de eis op landt | ClickOn |
|---|---|---|
| Microsoft 365: mail, SharePoint en Teams | Ontwerpstukken, offertes en contracten lopen hierlangs, samen met de correspondentie met opdrachtgever en bouwteam. | Beheerd |
| Laptops en telefoons op locatie | Opnames, bouwvergaderingen en oplevering gebeuren op de bouwplaats, met projectdata op het toestel. | Beheerd |
| Accounts van medewerkers, ZZP'ers en stagiairs | De bezetting wisselt per projectfase. Toegang intrekken bij vertrek is een vaste vraag in elke vragenlijst. | Beheerd |
| BIM- en tekensoftware zoals Revit of ArchiCAD | De kernapplicatie van het bureau, met het model en de tekeningen erin. De leverancier beveiligt de applicatie, jij bepaalt wie inlogt en met welke authenticatie. | Buiten scope, toegang wel beheerd |
| Gedeelde projectomgeving voor constructeurs en installateurs | Externe partijen werken per project mee in jouw omgeving. De omgeving is van de leverancier, de accounts en de intrekking zijn van jou. | Buiten scope, toegang wel beheerd |
| Projectarchief met opgeleverde dossiers | Tekeningen en dossiers van opgeleverde gebouwen, vaak jarenlang bewaard vanwege aansprakelijkheid. | Buiten scope |
De regel erachter is simpel: alles wat via een Microsoft 365-account bereikbaar is, richt ClickOn in volgens de norm en bewijst het maandelijks. Alles wat een eigen applicatie of installatie is, blijft van jou of van je leverancier, met uitzondering van wie er toegang toe krijgt en vanaf welk apparaat. Dat laatste is in de praktijk de helft van de vragenlijst.
Het ICT-deel van NIS2, aantoonbaar geregeld
Vraagt je opdrachtgever om bewijs? ClickOn richt het ICT-deel van je NIS2-traject in, of beheert je werkplekken met de maatregelen standaard ingebouwd.
NIS2 ook voor andere branches in vastgoed
- NIS2 voor ingenieursbureaus
- NIS2 voor interieurarchitecten
- NIS2 voor makelaars
- NIS2 voor projectontwikkelaars
- NIS2 voor taxatiebureaus
- NIS2 voor vastgoedbeheerders
- NIS2 voor woningcorporaties
Andere normen die voor architectenbureaus meespelen
Andere normen dan de Cyberbeveiligingswet komen bij architectenbureaus regelmatig langs in aanbestedingen en vragenlijsten. De twee hieronder overlappen met de maatregelen op deze pagina, maar hebben elk een eigen grondslag.
ISO 27001
ISO 27001 is de internationale norm voor informatiebeveiliging en het bewijsstuk dat publieke opdrachtgevers en zorginstellingen het vaakst uitvragen. De norm toont aan dat maatregelen structureel geborgd zijn in plaats van incidenteel geregeld en overlapt grotendeels met de zorgplicht uit de Cyberbeveiligingswet.
AVG
In je projectdossiers zitten persoonsgegevens van opdrachtgevers, medewerkers en, bij renovatie- en participatietrajecten, van bewoners en omwonenden. De AVG verplicht tot passende technische en organisatorische maatregelen en geldt ongeacht de omvang van je bureau. De Autoriteit Persoonsgegevens handhaaft bij een datalek als die maatregelen niet aantoonbaar zijn.
Veelgestelde vragen over NIS2 voor architectenbureaus
Veelgestelde vragen over NIS2 in de architectenbranche, met korte antwoorden voor wie snel wil weten waar hij aan toe is. Staat je vraag er niet bij, dan geeft de hubpagina over vastgoed het bredere beeld.
Vallen architectenbureaus onder NIS2?
Nee, architectuur en ontwerp vallen buiten bijlage 1 en 2 van de Cyberbeveiligingswet, ongeacht de omvang van het bureau. De eisen komen binnen via opdrachtgevers die zelf onder de wet vallen en hun toeleveringsketen moeten beheersen.
Beveiligingsvragenlijst als architect: waarom krijg ik die?
Omdat je toegang hebt tot de systemen, projectdata en bouwdossiers van een opdrachtgever die wel onder de wet valt. Daarmee ben je onderdeel van zijn keten en komt zijn beveiligingsvragenlijst bij jou terecht, met de vraag om bewijs van toegangsbeheer, patching en incidentafspraken.
Gemeente of corporatie: gelden daar andere eisen?
Gemeenten zijn van rechtswege essentiële entiteit en zetten hun zorgplicht door in de aanbesteding. Bij een corporatie komt dezelfde eis uit het contract in plaats van uit een bestek. De gevraagde maatregelen zijn in de praktijk dezelfde.
Bouwdossier: waarom is dat gevoelig?
Een bouwdossier beschrijft de indeling, de toegangswegen en de technische installaties van een gebouw. Bij een school, een zorginstelling of een gemeentehuis is dat informatie die je niet op straat wilt hebben, los van de persoonsgegevens die in participatietrajecten meekomen.
Welk deel van de ICT van een architectenbureau valt buiten de scope van ClickOn?
Buiten scope vallen de BIM- en tekensoftware, de gedeelde projectomgeving waarin constructeurs en installateurs meewerken en het projectarchief. Wie op die systemen inlogt en vanaf welk apparaat, beheert ClickOn wel.