Taxatiebureaus vallen niet rechtstreeks onder NIS2. De verplichtingen bereiken taxateurs langs twee ketens tegelijk: de hypotheekketen, waarin geldverstrekkers onder DORA hun ketenpartners beoordelen en publieke opdrachtgevers zoals gemeenten, provincies en woningcorporaties. ClickOn, managed service provider (MSP) voor het MKB en zelf ISO 27001-gecertificeerd sinds 2021, levert compliant werkplekbeheer dat de NIS2-maatregelen standaard ingebouwd heeft.
Valt jouw taxatiebureau onder NIS2?
Taxatiebureaus vallen niet rechtstreeks onder NIS2. Taxatie staat niet in bijlage 1 of 2, ongeacht de omvang van het bureau. De plicht ontstaat alleen indirect, via de opdrachtgever.
De keten is de route waarlangs NIS2 wel binnenkomt. Opdrachtgevers die zelf onder NIS2 vallen, moeten hun toeleveringsketen beheersen en leggen hun beveiligingseisen daarom contractueel door aan de bedrijven die voor hen werken. Dat gebeurt in deze situaties:
- De hypotheekketen: geldverstrekkers en verzekeraars vallen onder DORA en zijn verplicht hun ICT-dienstverleners en ketenpartners te beoordelen. Die eisen komen als vragenlijst bij de aansluitovereenkomst of bij verlenging.
- Gemeenten, provincies en corporaties: opdrachtgevers voor taxaties van maatschappelijk en commercieel vastgoed. Gemeenten zijn van rechtswege essentiële entiteit en moeten hun toeleveringsketen beheersen.
- Het eigen register: taxateurs die staan ingeschreven bij het NRVT werken onder reglementen met eisen aan dossiervorming en bewaartermijnen. Dat is geen NIS2-route, maar het bepaalt wel welke gegevens je hoe lang bewaart.
Wat de Cyberbeveiligingswet verandert
Wat NIS2-plichtige opdrachtgevers van je eisen
NIS2-plichtige opdrachtgevers eisen van taxatiebureaus aantoonbare beveiligingsmaatregelen, meestal als beveiligingsvragenlijst bij een aanbesteding of contractverlenging. De vragen komen telkens op hetzelfde neer:
- Multifactorauthenticatie (MFA) op alle accounts, ook voor uitvoerend personeel.
- Geteste back-ups van projectdata, calculaties en administratie, met een hersteltermijn.
- Tijdige updates en patching van werkplekken, servers en software.
- Toegangsbeheer: wie kan bij tekeningen, contracten en persoonsgegevens en wordt toegang ingetrokken bij uitdiensttreding.
- Incidentafspraken: bij wie meld je een hack of datalek en hoe snel.
- Steeds vaker een certificaat zoals ISO 27001 of in het MKB de NIS2 Supply Chain-certificering, als bewijs dat de maatregelen structureel geborgd zijn.
Een niet-ingevulde vragenlijst is genoeg om een bieding terzijde te laten leggen. Opdrachtgevers lopen zelf boete- en aansprakelijkheidsrisico onder NIS2, met boetes tot 10 miljoen euro of 2 procent van de wereldwijde jaaromzet voor essentiële entiteiten en 7 miljoen euro of 1,4 procent voor belangrijke entiteiten (NIS2-richtlijn, 2022). Dat risico nemen ze niet over van een leverancier die het bewijs niet heeft.
De ICT van een taxatiebureau en waar NIS2 die raakt
ClickOn beheert de digitale werkplek: Microsoft 365, de apparaten die eraan hangen en de accounts die erop inloggen. Dat is het deel van je ICT waar de beveiligingsvragenlijst van een opdrachtgever vrijwel volledig over gaat. Vakapplicaties, operationele techniek en het beleidswerk vallen erbuiten en dat staat hieronder net zo expliciet.
| Wat je gebruikt | Waar de eis op landt | ClickOn |
|---|---|---|
| Microsoft 365: mail, agenda en dossieropslag | Taxatierapporten, inkomensgegevens en objectfoto's gaan per mail naar geldverstrekker en klant. Dit is het eerste waar een vragenlijst naar vraagt. | Beheerd |
| Laptops, telefoons en camera's bij opnames | Opnames gebeuren ter plaatse. Een verloren toestel met dossiertoegang is een datalek. | Beheerd |
| Accounts van taxateurs, assistenten en ZZP-inleen | Wisselende bezetting per regio vraagt om strak intrekken van toegang bij vertrek. | Beheerd |
| Taxatiesoftware en het validatie-instituut | Het rapport zelf en de aanlevering aan het instituut. De leverancier beveiligt het platform, jij bepaalt wie inlogt en met welke authenticatie. | Buiten scope, toegang wel beheerd |
| Kadaster-, WOZ- en marktdatabronnen | Externe databronnen met eigen inloggegevens. Buiten de werkplek, maar de credentials zitten er wel in. | Buiten scope |
De regel erachter is simpel: alles wat via een Microsoft 365-account bereikbaar is, richt ClickOn in volgens de norm en bewijst het maandelijks. Alles wat een eigen applicatie of installatie is, blijft van jou of van je leverancier, met uitzondering van wie er toegang toe krijgt en vanaf welk apparaat. Dat laatste is in de praktijk de helft van de vragenlijst.
Het ICT-deel van NIS2, aantoonbaar geregeld
Vraagt je opdrachtgever om bewijs? ClickOn richt het ICT-deel van je NIS2-traject in, of beheert je werkplekken met de maatregelen standaard ingebouwd.
NIS2 ook voor andere branches in vastgoed
- NIS2 voor architectenbureaus
- NIS2 voor ingenieursbureaus
- NIS2 voor interieurarchitecten
- NIS2 voor makelaars
- NIS2 voor projectontwikkelaars
- NIS2 voor vastgoedbeheerders
- NIS2 voor woningcorporaties
Andere normen die voor taxatiebureaus meespelen
Naast de Cyberbeveiligingswet vragen opdrachtgevers en toezichthouders bij taxatiebureaus regelmatig naar de normen hieronder. Ze overlappen met de maatregelen op deze pagina, maar hebben elk een eigen grondslag.
ISO 27001
ISO 27001 is de internationale norm voor informatiebeveiliging. Geldverstrekkers en aanbestedende diensten vragen het certificaat steeds vaker als bewijs dat maatregelen structureel geborgd zijn. De maatregelen overlappen grotendeels met wat de zorgplicht uit de Cyberbeveiligingswet van ketenpartijen verwacht.
AVG
Een taxatiedossier bevat persoonsgegevens en financiële gegevens van de opdrachtgever. De AVG verplicht tot passende technische en organisatorische maatregelen; de Autoriteit Persoonsgegevens handhaaft bij een datalek als die maatregelen ontbreken.
Veelgestelde vragen over NIS2 voor taxatiebureaus
Vallen taxatiebureaus onder NIS2?
Taxatie staat niet in bijlage 1 of 2 van de Cyberbeveiligingswet, dus taxatiebureaus vallen er niet rechtstreeks onder, ongeacht omvang. De eisen komen binnen via de hypotheekketen en via gemeenten, provincies en corporaties als opdrachtgever.
Waarom stuurt een geldverstrekker mij een beveiligingsvragenlijst?
Geldverstrekkers en verzekeraars vallen onder DORA en zijn verplicht hun ICT-dienstverleners en ketenpartners te beoordelen. Die verplichting geven zij door aan iedereen die in het dossier meekijkt, meestal als vragenlijst bij de aansluitovereenkomst of bij verlenging.
Gelden er andere eisen voor taxaties in opdracht van een gemeente?
Gemeenten en provincies zijn van rechtswege essentiële entiteit en moeten hun toeleveringsketen beheersen. Bij taxaties van maatschappelijk en commercieel vastgoed komen de eisen daardoor uit de aanbesteding in plaats van uit de hypotheekketen. De gevraagde maatregelen zijn in de praktijk dezelfde.
Waarom is een taxatiedossier een doelwit?
Een taxatiedossier koppelt een adres aan een waarde, een inkomen en een financieringsbehoefte. Dat is precies het profiel waarmee fraudeurs een overdracht kunnen kapen. Mailbeveiliging en MFA zijn daarom de eerste maatregelen die een geldverstrekker controleert.
Welk deel van de ICT van een taxatiebureau valt buiten de scope van ClickOn?
Buiten scope vallen de taxatiesoftware, de aanlevering aan het validatie-instituut en externe databronnen zoals Kadaster, WOZ en marktdata. Wie op die systemen inlogt en vanaf welk apparaat, beheert ClickOn wel.