Interieurarchitecten vallen niet rechtstreeks onder NIS2. De verplichtingen bereiken bureaus via hun opdrachtgevers: zorginstellingen, gemeenten en provincies en woningcorporaties en beleggers. ClickOn, managed service provider (MSP) voor het MKB en zelf ISO 27001-gecertificeerd sinds 2021, levert compliant werkplekbeheer dat de NIS2-maatregelen standaard ingebouwd heeft.
Vallen interieurarchitecten onder NIS2?
Interieurarchitecten vallen niet rechtstreeks onder NIS2. Interieurarchitectuur staat niet in bijlage 1 of 2 en omdat de activiteit niet is aangewezen komt de omvangtoets niet aan de orde. De plicht ontstaat alleen indirect, via de opdrachtgever.
De keten is de route waarlangs NIS2 wel binnenkomt. Opdrachtgevers die zelf onder NIS2 vallen, moeten hun toeleveringsketen beheersen en leggen hun beveiligingseisen daarom contractueel door aan de bedrijven die voor hen werken. Dat gebeurt in deze situaties:
- Zorginstellingen: ziekenhuizen vallen onder NIS2 en werken zelf met NEN 7510. Een inrichtingsproject in een zorggebouw raakt plattegronden, toegangszones en soms patiëntenstromen.
- Gemeenten en provincies: van rechtswege essentiële entiteit en verplicht hun toeleveringsketen te beheersen. Dat werkt door in aanbestedingen voor gemeentehuizen, scholen en publieke gebouwen.
- Corporaties en beleggers: opdrachtgevers voor renovatie en herinrichting, met huurders- en bewonersgegevens in het project.
Voor een bureau dat uitsluitend particuliere woninginrichting doet, speelt de NIS2-route in de praktijk niet. De AVG blijft daar wel gewoon gelden.
Wat de Cyberbeveiligingswet verandert
Wat NIS2-plichtige opdrachtgevers van je eisen
NIS2-plichtige opdrachtgevers eisen van interieurarchitecten aantoonbare beveiligingsmaatregelen, meestal als beveiligingsvragenlijst bij een aanbesteding of contractverlenging. De vragen komen telkens op hetzelfde neer:
- Multifactorauthenticatie (MFA) op alle accounts, ook voor uitvoerend personeel.
- Geteste back-ups van projectdata, calculaties en administratie, met een hersteltermijn.
- Tijdige updates en patching van werkplekken, servers en software.
- Toegangsbeheer: wie kan bij tekeningen, contracten en persoonsgegevens en wordt toegang ingetrokken bij uitdiensttreding.
- Incidentafspraken: bij wie meld je een hack of datalek en hoe snel.
- Steeds vaker een certificaat zoals ISO 27001 of in het MKB de NIS2 Supply Chain-certificering, als bewijs dat de maatregelen structureel geborgd zijn.
Een niet-ingevulde vragenlijst is genoeg om een bieding terzijde te laten leggen. Opdrachtgevers lopen zelf boete- en aansprakelijkheidsrisico onder NIS2, met boetes tot 10 miljoen euro of 2 procent van de wereldwijde jaaromzet voor essentiële entiteiten en 7 miljoen euro of 1,4 procent voor belangrijke entiteiten (NIS2-richtlijn, 2022). Dat risico nemen ze niet over van een leverancier die het bewijs niet heeft.
De ICT van een interieurarchitectenbureau en waar NIS2 die raakt
ClickOn beheert de digitale werkplek: Microsoft 365, de apparaten die eraan hangen en de accounts die erop inloggen. Dat is het deel van je ICT waar de beveiligingsvragenlijst van een opdrachtgever vrijwel volledig over gaat. Vakapplicaties, operationele techniek en het beleidswerk vallen erbuiten en dat staat hieronder net zo expliciet.
| Wat je gebruikt | Waar de eis op landt | ClickOn |
|---|---|---|
| Microsoft 365: mail, agenda en projectmappen | Ontwerpen, offertes en opdrachtgeverscorrespondentie. Bij een gekaapte mailbox is factuurfraude op een inrichtingsbudget direct geld. | Beheerd |
| Laptops en tablets op locatie en bij leveranciers | Opnames, showroombezoek en oplevering gebeuren buiten kantoor, met projectdata op het toestel. | Beheerd |
| Accounts van vaste medewerkers, stagiairs en freelance ontwerpers | Projectmatige bezetting betekent veel in- en uitstroom. Toegang intrekken bij projecteinde is een vaste vraag in elke vragenlijst. | Beheerd |
| CAD-, 3D- en visualisatiesoftware en gedeelde projectomgevingen | Tekeningen en plattegronden, vaak gedeeld met architect en aannemer. De omgeving is van een derde, de inloggegevens zijn van jou. | Buiten scope, toegang wel beheerd |
| Plattegronden van zorg- en overheidsgebouwen | Bij gevoelige gebouwen stelt de opdrachtgever eigen eisen aan opslag en verspreiding, los van je eigen ICT. | Buiten scope |
De regel erachter is simpel: alles wat via een Microsoft 365-account bereikbaar is, richt ClickOn in volgens de norm en bewijst het maandelijks. Alles wat een eigen applicatie of installatie is, blijft van jou of van je leverancier, met uitzondering van wie er toegang toe krijgt en vanaf welk apparaat. Dat laatste is in de praktijk de helft van de vragenlijst.
Het ICT-deel van NIS2, aantoonbaar geregeld
Vraagt je opdrachtgever om bewijs? ClickOn richt het ICT-deel van je NIS2-traject in, of beheert je werkplekken met de maatregelen standaard ingebouwd.
NIS2 ook voor andere branches in vastgoed
- NIS2 voor architectenbureaus
- NIS2 voor ingenieursbureaus
- NIS2 voor makelaars
- NIS2 voor projectontwikkelaars
- NIS2 voor taxatiebureaus
- NIS2 voor vastgoedbeheerders
- NIS2 voor woningcorporaties
Andere normen die voor interieurarchitecten meespelen
Naast de Cyberbeveiligingswet vragen opdrachtgevers en toezichthouders bij interieurarchitecten regelmatig naar de normen hieronder. Ze overlappen met de maatregelen op deze pagina, maar hebben elk een eigen grondslag.
ISO 27001
ISO 27001 is de internationale norm voor informatiebeveiliging en het bewijsstuk dat aanbestedende diensten het vaakst uitvragen. Voor een klein bureau is certificering zelden het doel; werken volgens de norm is meestal voldoende om een vragenlijst te kunnen invullen.
AVG
Ook zonder NIS2-route verwerk je persoonsgegevens: opdrachtgevers, bewoners bij renovatieprojecten en eigen medewerkers. De AVG verplicht tot passende technische en organisatorische maatregelen en geldt ongeacht de omvang van je bureau.
Veelgestelde vragen over NIS2 voor interieurarchitecten
Is een interieurarchitectenbureau rechtstreeks NIS2-plichtig?
Interieurarchitectuur staat niet in bijlage 1 of 2 van de Cyberbeveiligingswet, dus interieurarchitecten vallen er niet rechtstreeks onder. De eisen komen binnen via opdrachtgevers: zorginstellingen, gemeenten en provincies en corporaties en beleggers.
Geldt dit ook als ik alleen particuliere woninginrichting doe?
Bij uitsluitend particuliere opdrachten speelt de NIS2-route in de praktijk niet, omdat er geen NIS2-plichtige opdrachtgever in de keten zit. De AVG blijft daar wel gewoon gelden voor de klantgegevens die je verwerkt.
Wat vraagt een zorginstelling van mijn bureau?
Ziekenhuizen vallen onder NIS2 en werken zelf met NEN 7510. Een inrichtingsproject in een zorggebouw raakt plattegronden, toegangszones en soms patiëntenstromen en de opdrachtgever stelt daarom eigen eisen aan opslag en verspreiding van die tekeningen.
Waarom is toegangsbeheer bij een interieurarchitectenbureau het zwakke punt?
Bureaus werken projectmatig met wisselende freelancers en stagiairs. Accounts blijven na een project openstaan en gedeelde mappen blijven gedeeld. Zodra een opdrachtgever uit de zorg of de overheid een beveiligingsvragenlijst stuurt, is dat het eerste wat opvalt.
Welk deel van de ICT van een interieurarchitectenbureau valt buiten de scope van ClickOn?
Buiten scope vallen CAD-, 3D- en visualisatiesoftware en gedeelde projectomgevingen van derden, plus de eisen die een opdrachtgever zelf stelt aan plattegronden van gevoelige gebouwen. Wie op die omgevingen inlogt en vanaf welk apparaat, beheert ClickOn wel.