Verhuisbedrijven zijn niet rechtstreeks NIS2-plichtig. De verplichtingen bereiken een verhuisbedrijf via zijn opdrachtgevers: gemeenten, zorginstellingen, kantoororganisaties en logistieke partijen die zelf onder de wet vallen en hun toeleveringsketen moeten beheersen. ClickOn, managed service provider (MSP) voor het MKB en zelf ISO 27001-gecertificeerd sinds 2021, levert compliant werkplekbeheer dat de NIS2-maatregelen standaard ingebouwd heeft.
Valt jouw verhuisbedrijf onder NIS2?
Een verhuisbedrijf valt niet rechtstreeks onder NIS2. Verhuisvervoer over de weg staat niet als zodanig in bijlage 1 of 2: de categorie vervoer gaat over wegenautoriteiten en exploitanten van intelligente transportsystemen, niet over de vervoerder zelf. De plicht ontstaat alleen indirect, via de opdrachtgever.
De keten is de route waarlangs NIS2 wel binnenkomt. Opdrachtgevers die zelf onder NIS2 vallen, moeten hun toeleveringsketen beheersen en leggen hun beveiligingseisen daarom contractueel door aan de bedrijven die voor hen verhuizen. Dat gebeurt in deze situaties:
- Gemeenten en rijksdiensten: opdrachtgevers voor kantoor- en archiefverhuizingen. Overheden vallen van rechtswege onder de wet en leggen hun eigen beveiligingsbaseline door in de inkoopvoorwaarden en de verwerkersovereenkomst.
- Zorginstellingen: bij een afdelings- of locatieverhuizing verplaats je dossierkasten, apparatuur en werkplekken van een organisatie die zwaar gereguleerd is. Die trekt zijn leveranciers mee in de eigen eisen.
- Zakelijke opdrachtgevers en hun facilitaire partners: kantoorverhuizingen lopen vaak via een facilitair dienstverlener of een aanbesteding, met een beveiligingsvragenlijst als vast onderdeel van de gunning.
- De sleutel- en toegangsafspraken zelf: bij een verhuizing krijg je toegang tot panden, archieven en werkplekken. Dat is geen NIS2-route, maar het bepaalt wel hoe zwaar de vragenlijst weegt die je krijgt.
Wat de Cyberbeveiligingswet verandert
Wat NIS2-plichtige opdrachtgevers van je eisen
NIS2-plichtige opdrachtgevers eisen van verhuisbedrijven aantoonbare beveiligingsmaatregelen, meestal als beveiligingsvragenlijst bij een aanbesteding of contractverlenging. De vragen komen telkens op hetzelfde neer:
- Multifactorauthenticatie (MFA) op alle accounts, ook voor verhuisleiders en het personeel op de tablets.
- Geteste back-ups van planning, inventarislijsten en administratie, met een hersteltermijn.
- Tijdige updates en patching van werkplekken, servers en mobiele apparaten.
- Toegangsbeheer: wie kan bij klantadressen, plattegronden en persoonsgegevens en wordt toegang ingetrokken bij uitdiensttreding.
- Incidentafspraken: bij wie meld je uitval of een datalek en hoe snel.
- Steeds vaker een certificaat zoals ISO 27001 of in het MKB de NIS2 Supply Chain-certificering, als bewijs dat de maatregelen structureel geborgd zijn.
Een niet-ingevulde vragenlijst is genoeg om een inschrijving terzijde te laten leggen. Opdrachtgevers lopen zelf boete- en aansprakelijkheidsrisico onder NIS2, met boetes tot 10 miljoen euro of 2 procent van de wereldwijde jaaromzet voor essentiële entiteiten en 7 miljoen euro of 1,4 procent voor belangrijke entiteiten (NIS2-richtlijn, 2022). Dat risico nemen ze niet over van een verhuizer die het bewijs niet heeft.
De ICT van een verhuisbedrijf en waar NIS2 die raakt
De ICT van een verhuisbedrijf valt uiteen in twee delen. ClickOn beheert de digitale werkplek: Microsoft 365, de apparaten die eraan hangen en de accounts die erop inloggen. Dat is het deel waar de beveiligingsvragenlijst van een opdrachtgever vrijwel volledig over gaat. De verhuissoftware, het klantportaal en het rollend materieel vallen erbuiten en dat staat hieronder net zo expliciet.
| Wat je gebruikt | Waar de eis op landt | ClickOn |
|---|---|---|
| Microsoft 365: mail, offertes en de gedeelde projectmap | Opnamerapporten, plattegronden en sleutelafspraken gaan per mail heen en weer met opdrachtgever en klant. Dit is het eerste waar een vragenlijst naar vraagt. | Beheerd |
| Tablets en telefoons van verhuisleiders en verhuizers | Op locatie wordt met het toestel afgetekend, inclusief adressen, inventarislijsten en handtekeningen. Een verloren toestel is een datalek. | Beheerd |
| Accounts van vast personeel, seizoenskrachten en uitzendkrachten | De bezetting wisselt met het seizoen, dus er worden doorlopend accounts aangemaakt en ingetrokken. Aantoonbaar intrekken is een vaste vraag in elke vragenlijst. | Beheerd |
| Verhuis- en planningssoftware met de klant- en inventarisadministratie | De kernregistratie van opdrachten, adressen en inboedel. De leverancier beveiligt het platform, jij bepaalt wie inlogt en met welke authenticatie. | Buiten scope, toegang wel beheerd |
| Vrachtwagens, laadliften en opslagloodsen | Materieel en opslag zonder netwerkaansluiting, met een eigen sleutel- en cameraregime. Buiten de werkplek, maar de camerabeelden en de toegangslijsten komen wel op een beheerd account terecht. | Buiten scope |
De regel erachter is simpel: alles wat via een Microsoft 365-account bereikbaar is, richt ClickOn in volgens de norm en bewijst het maandelijks. Alles wat een eigen applicatie of installatie is, blijft van jou of van je leverancier, met uitzondering van wie er toegang toe krijgt en vanaf welk apparaat. Dat laatste is in de praktijk de helft van de vragenlijst.
Het ICT-deel van NIS2, aantoonbaar geregeld
Vraagt je opdrachtgever om bewijs? ClickOn richt het ICT-deel van je NIS2-traject in, of beheert je werkplekken met de maatregelen standaard ingebouwd.
NIS2 ook voor andere branches in voertuigen en transport
- NIS2 voor autobedrijven
- NIS2 voor autogarages
- NIS2 voor autoverhuurbedrijven
- NIS2 voor expeditiebedrijven
- NIS2 voor koeriersdiensten
- NIS2 voor logistiek dienstverleners
- NIS2 voor schadeherstelbedrijven
- NIS2 voor taxibedrijven
- NIS2 voor transportbedrijven
Andere normen die voor verhuisbedrijven meespelen
Andere normen dan de Cyberbeveiligingswet komen bij verhuisbedrijven regelmatig langs in aanbestedingen en raamcontracten. De twee hieronder overlappen met de maatregelen op deze pagina, maar hebben elk een eigen grondslag.
ISO 27001
ISO 27001 is de internationale norm voor informatiebeveiliging en het bewijsstuk dat gemeenten, zorginstellingen en zakelijke opdrachtgevers het vaakst uitvragen bij kantoor- en archiefverhuizingen. De norm toont aan dat maatregelen structureel geborgd zijn in plaats van incidenteel geregeld en overlapt grotendeels met de zorgplicht uit de Cyberbeveiligingswet.
AVG
Klantadressen, inventarislijsten en de plattegronden waarop staat wie waar zit zijn persoonsgegevens, met een eigen grondslag en bewaartermijn. Bij een zorgverhuizing komt daar de informatie van de opdrachtgever bij. De AVG verplicht tot passende technische en organisatorische maatregelen; de Autoriteit Persoonsgegevens handhaaft bij een datalek als die maatregelen niet aantoonbaar zijn.
Veelgestelde vragen over NIS2 voor verhuisbedrijven
Veelgestelde vragen over NIS2 in de verhuisbranche, met korte antwoorden voor wie snel wil weten waar hij aan toe is. Staat je vraag er niet bij, dan geeft de hubpagina over voertuigen en transport het bredere beeld.
Vallen verhuisbedrijven onder NIS2?
Verhuisbedrijven vallen er niet rechtstreeks onder. Verhuisvervoer over de weg staat niet in bijlage 1 of 2 van de Cyberbeveiligingswet: de categorie vervoer gaat over wegenautoriteiten en exploitanten van intelligente transportsystemen. De eisen komen binnen via gemeenten, zorginstellingen en zakelijke opdrachtgevers.
Waarom stuurt een gemeente mij een beveiligingsvragenlijst?
Waarom dat gebeurt is de ketenverplichting: een gemeente die zelf onder de wet valt, moet de beveiliging van haar leveranciers beoordelen. Als uitvoerder van een kantoor- of archiefverhuizing ben jij zo'n leverancier, en de vragenlijst is het bewijsstuk dat zij aan de toezichthouder moet kunnen laten zien.
Geldt de omvangtoets van 50 medewerkers ook voor mijn verhuisbedrijf?
Geldt niet voor verhuisvervoer. De drempels voor belangrijke en essentiële entiteiten zijn alleen relevant binnen een aangewezen sector, en wegvervoer van inboedels is dat niet. Alleen als je bedrijf daarnaast activiteiten heeft die wel in een aangewezen sector vallen, zoals koeriers- of pakketdiensten, komt de toets in beeld.
Moet ik mijn verhuisbedrijf registreren bij de toezichthouder?
Registreren hoeft niet. De registratieplicht uit de Cyberbeveiligingswet geldt alleen voor entiteiten die zelf onder de wet vallen, en verhuisvervoer is geen aangewezen sector. Wat je opdrachtgever wel van je vraagt, is bewijs van je beveiligingsmaatregelen, meestal in de vorm van een ingevulde vragenlijst of een certificaat.
Welk deel van de ICT van een verhuisbedrijf valt buiten de scope van ClickOn?
Buiten scope vallen de verhuis- en planningssoftware met de klant- en inventarisadministratie, en het rollend materieel en de opslagloodsen met hun eigen sleutel- en cameraregime. Wie op die systemen inlogt en vanaf welk apparaat, beheert ClickOn wel.