Ingenieursbureaus zijn niet rechtstreeks NIS2-plichtig. De verplichtingen bereiken een bureau via zijn opdrachtgevers: netbeheerders, drinkwaterbedrijven, waterschappen en gemeenten die zelf onder de wet vallen en hun toeleveringsketen moeten beheersen. ClickOn, managed service provider (MSP) voor het MKB en zelf ISO 27001-gecertificeerd sinds 2021, levert compliant werkplekbeheer dat de NIS2-maatregelen standaard ingebouwd heeft.
Valt jouw ingenieursbureau onder NIS2?
Een ingenieursbureau valt niet rechtstreeks onder NIS2. Advies- en ontwerpwerk staat niet in bijlage 1 of 2, ongeacht de omvang van het bureau. De omvangtoets is daarmee niet aan de orde: die geldt alleen binnen een aangewezen sector.
De keten is de route waarlangs NIS2 wel binnenkomt. Opdrachtgevers die zelf onder NIS2 vallen, moeten hun toeleveringsketen beheersen en leggen hun beveiligingseisen daarom contractueel door aan de bedrijven die voor hen werken. Dat gebeurt in deze situaties:
- Netbeheerders, drinkwaterbedrijven en waterschappen: opdrachtgevers in energie en water, sectoren die wel in de bijlagen staan. Zij beoordelen hun leveranciers en zetten de eis door in het bestek of het raamcontract.
- Gemeenten, provincies en rijksdiensten: opdrachtgevers voor infrastructuur, gebiedsontwikkeling en maatschappelijk vastgoed. Gemeenten zijn van rechtswege essentiële entiteit en moeten hun toeleveringsketen beheersen.
- Het ontwerp zelf: een berekening, een netwerkschema of een installatietekening beschrijft hoe een object werkt en waar het kwetsbaar is. Dat is geen NIS2-route, maar het verklaart wel waarom een opdrachtgever in de energie- of watersector scherp kijkt naar wie er bij die stukken kan.
Wat de Cyberbeveiligingswet verandert
Wat NIS2-plichtige opdrachtgevers van je eisen
NIS2-plichtige opdrachtgevers eisen van ingenieursbureaus aantoonbare beveiligingsmaatregelen, meestal als beveiligingsvragenlijst bij een aanbesteding of contractverlenging. De vragen komen telkens op hetzelfde neer:
- Multifactorauthenticatie (MFA) op alle accounts, ook voor uitvoerend personeel.
- Geteste back-ups van projectdata, calculaties en administratie, met een hersteltermijn.
- Tijdige updates en patching van werkplekken, servers en software.
- Toegangsbeheer: wie kan bij tekeningen, contracten en persoonsgegevens en wordt toegang ingetrokken bij uitdiensttreding.
- Incidentafspraken: bij wie meld je een hack of datalek en hoe snel.
- Steeds vaker een certificaat zoals ISO 27001 of in het MKB de NIS2 Supply Chain-certificering, als bewijs dat de maatregelen structureel geborgd zijn.
Een niet-ingevulde vragenlijst is genoeg om een bieding terzijde te laten leggen. Opdrachtgevers lopen zelf boete- en aansprakelijkheidsrisico onder NIS2, met boetes tot 10 miljoen euro of 2 procent van de wereldwijde jaaromzet voor essentiële entiteiten en 7 miljoen euro of 1,4 procent voor belangrijke entiteiten (NIS2-richtlijn, 2022). Dat risico nemen ze niet over van een leverancier die het bewijs niet heeft.
De ICT van een ingenieursbureau en waar NIS2 die raakt
De ICT van een ingenieursbureau valt uiteen in twee delen. ClickOn beheert de digitale werkplek: Microsoft 365, de apparaten die eraan hangen en de accounts die erop inloggen. Dat is het deel waar de beveiligingsvragenlijst van een opdrachtgever vrijwel volledig over gaat. De reken- en tekenomgeving en de techniek op locatie vallen erbuiten en dat staat hieronder net zo expliciet.
| Wat je gebruikt | Waar de eis op landt | ClickOn |
|---|---|---|
| Microsoft 365: mail, agenda en dossieropslag | Rapporten, berekeningen en contractstukken gaan per mail naar opdrachtgever, constructeur en aannemer. Dit is het eerste waar een vragenlijst naar vraagt. | Beheerd |
| Laptops en tablets bij inspecties en opnames op locatie | Inspecteren gebeurt ter plaatse, met projecttoegang op het toestel. Een verloren laptop met tekeningen van een zuiveringsinstallatie is een incident dat je aan je opdrachtgever moet melden. | Beheerd |
| Accounts van ingenieurs, tekenaars en ingehuurde specialisten | Per project schuiven specialisten en onderaannemers aan en weer af. Aantoonbaar intrekken van toegang is een vaste vraag in elke vragenlijst. | Beheerd |
| BIM- en CAD-omgeving en de gedeelde projectserver | De kernomgeving waarin ontwerpen, modellen en revisies staan, met externe partijen die meewerken. De leverancier beveiligt het platform, jij bepaalt wie inlogt en met welke authenticatie. | Buiten scope, toegang wel beheerd |
| Meetapparatuur en besturingstechniek bij de opdrachtgever | Meetopstellingen, sensoren en installaties waarop je meekijkt of adviseert. Die systemen zijn van de opdrachtgever en vallen onder zijn eigen zorgplicht, niet onder de jouwe. | Buiten scope |
De regel erachter is simpel: alles wat via een Microsoft 365-account bereikbaar is, richt ClickOn in volgens de norm en bewijst het maandelijks. Alles wat een eigen applicatie of installatie is, blijft van jou of van je leverancier, met uitzondering van wie er toegang toe krijgt en vanaf welk apparaat. Dat laatste is in de praktijk de helft van de vragenlijst.
Het ICT-deel van NIS2, aantoonbaar geregeld
Vraagt je opdrachtgever om bewijs? ClickOn richt het ICT-deel van je NIS2-traject in, of beheert je werkplekken met de maatregelen standaard ingebouwd.
NIS2 ook voor andere branches in vastgoed
- NIS2 voor architectenbureaus
- NIS2 voor interieurarchitecten
- NIS2 voor makelaars
- NIS2 voor projectontwikkelaars
- NIS2 voor taxatiebureaus
- NIS2 voor vastgoedbeheerders
- NIS2 voor woningcorporaties
Andere normen die voor ingenieursbureaus meespelen
Andere normen dan de Cyberbeveiligingswet komen bij ingenieursbureaus regelmatig langs in aanbestedingen en vragenlijsten. De twee hieronder overlappen met de maatregelen op deze pagina, maar hebben elk een eigen grondslag.
ISO 27001
ISO 27001 is de internationale norm voor informatiebeveiliging en het bewijsstuk dat netbeheerders, waterschappen en aanbestedende diensten het vaakst uitvragen. De norm toont aan dat maatregelen structureel geborgd zijn in plaats van incidenteel geregeld en overlapt grotendeels met de zorgplicht uit de Cyberbeveiligingswet.
AVG
In je projectdossiers zitten persoonsgegevens van opdrachtgevers, medewerkers en ingehuurde specialisten, en bij gebiedsontwikkeling ook van bewoners en omwonenden. De AVG verplicht tot passende technische en organisatorische maatregelen en geldt ongeacht de omvang van je bureau. De Autoriteit Persoonsgegevens handhaaft bij een datalek als die maatregelen niet aantoonbaar zijn.
Veelgestelde vragen over NIS2 voor ingenieursbureaus
Veelgestelde vragen over NIS2 in de ingenieursbranche, met korte antwoorden voor wie snel wil weten waar hij aan toe is. Staat je vraag er niet bij, dan geeft de hubpagina over vastgoed het bredere beeld.
Vallen ingenieursbureaus onder NIS2?
Ingenieursbureaus vallen er niet rechtstreeks onder. Advies- en ontwerpwerk staat niet in bijlage 1 of 2 van de Cyberbeveiligingswet, ongeacht de omvang van het bureau. De eisen komen binnen via opdrachtgevers zoals netbeheerders, waterschappen en gemeenten.
Waarom stuurt een netbeheerder mij een beveiligingsvragenlijst?
Waarom dat gebeurt is de ketenverplichting: een netbeheerder die zelf onder de wet valt, moet de beveiliging van zijn leveranciers beoordelen. Jij bent in dat dossier een leverancier, en de vragenlijst is het bewijsstuk dat hij aan de toezichthouder moet kunnen laten zien.
Geldt de omvangtoets van 50 medewerkers ook voor mijn bureau?
Geldt niet voor ingenieursbureaus. De drempels voor belangrijke en essentiële entiteiten zijn alleen relevant binnen een aangewezen sector, en advies- en ontwerpwerk is dat niet. Alleen als je bureau daarnaast diensten levert die wel in een aangewezen sector vallen, komt de toets in beeld.
Maken ontwerpen en berekeningen mijn bureau een groter doelwit?
Ontwerpen en berekeningen beschrijven de opbouw, de capaciteit en de zwakke plekken van een object. Bij een gemaal, een onderstation of een zuiveringsinstallatie is dat informatie waarmee iemand gericht schade kan aanrichten, en dat verklaart waarom opdrachtgevers in energie en water hun vragenlijst juist bij toegangsbeheer laten beginnen.
Welk deel van de ICT van een ingenieursbureau valt buiten de scope van ClickOn?
Buiten scope vallen de BIM- en CAD-omgeving, de gedeelde projectserver waarop constructeurs en installateurs meewerken en de meet- en besturingstechniek bij de opdrachtgever. Wie op die systemen inlogt en vanaf welk apparaat, beheert ClickOn wel.