NIS2 voor arbodiensten

Arbodiensten kunnen rechtstreeks onder NIS2 vallen: bijlage 1 van de Cyberbeveiligingswet noemt de zorgaanbieder uit de Wkkgz en de bedrijfsarts valt onder die wet. Daarnaast verwerkt een arbodienst gezondheidsgegevens en krijgt hij de eisen ook via werkgevers die zelf onder de wet vallen. ClickOn, managed service provider (MSP) voor het MKB en zelf ISO 27001-gecertificeerd sinds 2021, levert compliant werkplekbeheer dat de NIS2-maatregelen standaard ingebouwd heeft.

Vallen arbodiensten onder NIS2?

Arbodiensten kunnen rechtstreeks onder NIS2 vallen. Bijlage 1 van de Cyberbeveiligingswet noemt onder gezondheidszorg de zorgaanbieder als bedoeld in artikel 1, eerste lid, van de Wet kwaliteit, klachten en geschillen zorg (Cyberbeveiligingswet, bijlage 1, 2026). De bedrijfsarts valt voor preventieve zorg onder de Wkkgz (NVAB, 2025). Daarmee bepaalt de omvangtoets of jouw arbodienst zelf verplicht is: vanaf 50 medewerkers of bij meer dan 10 miljoen euro jaaromzet en balanstotaal val je er rechtstreeks onder (Cyberbeveiligingswet, artikel 12 lid 1, 2026).

Onder die drempel ontstaat de plicht alleen indirect en ook daarboven blijft de keten een tweede route waarlangs NIS2 binnenkomt. Opdrachtgevers die zelf onder NIS2 vallen, moeten hun toeleveringsketen beheersen en leggen hun beveiligingseisen daarom contractueel door aan de bedrijven die voor hen werken. Dat gebeurt in deze situaties:

• Werkgevers in gereguleerde sectoren: een ziekenhuis, netbeheerder of gemeente die onder de wet valt, neemt de arbodienst mee in de beoordeling van zijn toeleveringsketen.
• Aanbestedingen: publieke werkgevers zetten hun zorgplicht door in het contract voor arbodienstverlening.
• Het medisch beroepsgeheim: de bedrijfsarts werkt onder een eigen geheimhoudingsplicht en de werkgever mag de medische gegevens niet inzien. De werkgever moet weten of iemand inzetbaar is en mag niet weten waarom niet. Die scheiding moet technisch in rechten en rollen zitten, niet in een werkafspraak.

Gezondheidsgegevens zijn bijzondere persoonsgegevens onder de AVG, met een verbod op verwerking dat alleen onder strikte voorwaarden wordt opgeheven. Dat regime staat los van NIS2 en geldt ook onder de omvangdrempel.

Wat de Cyberbeveiligingswet verandert

Wat NIS2-plichtige opdrachtgevers van je eisen

NIS2-plichtige opdrachtgevers eisen van arbodiensten aantoonbare beveiligingsmaatregelen, meestal als beveiligingsvragenlijst bij een aanbesteding of contractverlenging. De vragen komen telkens op hetzelfde neer:

• Multifactorauthenticatie (MFA) op alle accounts, ook voor uitvoerend personeel.
• Geteste back-ups van projectdata, calculaties en administratie, met een hersteltermijn.
• Tijdige updates en patching van werkplekken, servers en software.
• Toegangsbeheer: wie kan bij tekeningen, contracten en persoonsgegevens en wordt toegang ingetrokken bij uitdiensttreding.
• Incidentafspraken: bij wie meld je een hack of datalek en hoe snel.
• Steeds vaker een certificaat zoals ISO 27001 of in het MKB de NIS2 Supply Chain-certificering, als bewijs dat de maatregelen structureel geborgd zijn.

Een niet-ingevulde vragenlijst is genoeg om een bieding terzijde te laten leggen. Opdrachtgevers lopen zelf boete- en aansprakelijkheidsrisico onder NIS2, met boetes tot 10 miljoen euro of 2 procent van de wereldwijde jaaromzet voor essentiële entiteiten en 7 miljoen euro of 1,4 procent voor belangrijke entiteiten (NIS2-richtlijn, 2022). Dat risico nemen ze niet over van een leverancier die het bewijs niet heeft.

De ICT van een arbodienst en waar NIS2 die raakt

ClickOn beheert de digitale werkplek: Microsoft 365, de apparaten die eraan hangen en de accounts die erop inloggen. Dat is het deel van je ICT waar de beveiligingsvragenlijst van een opdrachtgever vrijwel volledig over gaat. Het verzuimsysteem, het medisch dossier en het beleidswerk vallen erbuiten en dat staat hieronder net zo expliciet.

Wat je gebruikt	Waar de eis op landt	ClickOn
Microsoft 365: mail, planning en werkgeverscontact	Verzuimmeldingen, afspraakbevestigingen en rapportages aan de werkgever lopen hierlangs. Hier moet de scheiding tussen medische en niet-medische informatie zichtbaar zijn. In de praktijk gaat het mis bij gedeelde postbussen en mails met een diagnose in de onderwerpregel. Dat komt als eerste boven zodra een werkgever die onder NIS2 valt zijn keten doorlicht.	Beheerd
Laptops en telefoons van bedrijfsartsen en casemanagers	Spreekuren vinden plaats op locatie bij de werkgever, met dossiertoegang op het toestel.	Beheerd
Accounts van artsen, casemanagers, administratie en waarnemers	Wie welk deel van een dossier mag zien, is hier geen instelling maar een wettelijke eis. Casemanagers met te ruime rechten zijn een vaste bevinding. Waarnemend artsen krijgen tijdelijk toegang die weer ingetrokken moet worden.	Beheerd
Verzuim- en dossiersysteem met het medisch dossier	De kernregistratie, met een verplichte scheiding tussen het medisch dossier en wat de werkgever mag zien. De leverancier beveiligt de applicatie, jij bepaalt wie inlogt en met welke rechten.	Buiten scope, toegang wel beheerd
Koppelingen met HR- en salarissystemen van werkgevers	Verzuimgegevens gaan richting de werkgever, medische gegevens niet. De koppeling is van de leverancier, het account waarmee je inlogt van jou.	Buiten scope, toegang wel beheerd

De regel erachter is simpel: alles wat via een Microsoft 365-account bereikbaar is, richt ClickOn in volgens de norm en bewijst het maandelijks. Alles wat een eigen applicatie of installatie is, blijft van jou of van je leverancier, met uitzondering van wie er toegang toe krijgt en vanaf welk apparaat. Dat laatste is in de praktijk de helft van de vragenlijst.

Het ICT-deel van NIS2, aantoonbaar geregeld

Vraagt je opdrachtgever om bewijs? ClickOn richt het ICT-deel van je NIS2-traject in, of beheert je werkplekken met de maatregelen standaard ingebouwd.

Bekijk het NIS2-trajectBekijk werkplekbeheer

NIS2 ook voor andere branches in zakelijke dienstverlening

• NIS2 voor accountantskantoren
• NIS2 voor administratiekantoren
• NIS2 voor advocatenkantoren
• NIS2 voor assurantietussenpersonen
• NIS2 voor auditbureaus
• NIS2 voor bedrijfsadviesbureaus
• NIS2 voor bedrijfsmakelaars
• NIS2 voor belastingadvieskantoren
• NIS2 voor callcenters
• NIS2 voor compliance adviesbureaus
• NIS2 voor deurwaarderskantoren
• NIS2 voor detacheringsbureaus
• NIS2 voor financieel adviseurs
• NIS2 voor hypotheekadviseurs
• NIS2 voor incassobureaus
• NIS2 voor inkoopadviesbureaus
• NIS2 voor interim managementbureaus
• NIS2 voor loopbaancoachingsbureaus
• NIS2 voor marktonderzoeksbureaus
• NIS2 voor mediationbureaus
• NIS2 voor notariskantoren
• NIS2 voor octrooibureaus
• NIS2 voor outplacementbureaus
• NIS2 voor pensioenadvieskantoren
• NIS2 voor recruitmentbureaus
• NIS2 voor re integratiebureaus
• NIS2 voor salarisadministratiekantoren
• NIS2 voor subsidieadviesbureaus
• NIS2 voor trainings en opleidingsbureaus
• NIS2 voor uitzendbureaus
• NIS2 voor vermogensbeheerders
• NIS2 voor vertaalbureaus

Andere normen die voor arbodiensten meespelen

Naast de Cyberbeveiligingswet vragen opdrachtgevers en toezichthouders bij arbodiensten regelmatig naar de normen hieronder. Ze overlappen met de maatregelen op deze pagina, maar hebben elk een eigen grondslag.

ISO 27001

ISO 27001 is de internationale norm voor informatiebeveiliging en het bewijsstuk dat opdrachtgevers het vaakst uitvragen. De norm toont aan dat maatregelen structureel geborgd zijn in plaats van incidenteel geregeld en overlapt grotendeels met de zorgplicht uit de Cyberbeveiligingswet.

NEN 7510

NEN 7510 is de Nederlandse norm voor informatiebeveiliging bij het verwerken van gezondheidsinformatie. Een arbodienst verwerkt medische gegevens en valt daarmee binnen het bereik van deze norm. Waar ISO 27001 het algemene kader is, vult NEN 7510 dat aan met eisen die specifiek op patiënt- en gezondheidsgegevens zijn geschreven.

AVG

In je dossiers zitten gezondheidsgegevens en dat zijn bijzondere persoonsgegevens met een verwerkingsverbod dat alleen onder strikte voorwaarden wordt opgeheven. De AVG verplicht tot passende technische en organisatorische maatregelen en geldt ongeacht de omvang van je kantoor. De Autoriteit Persoonsgegevens handhaaft bij een datalek als die maatregelen niet aantoonbaar zijn.

Veelgestelde vragen over NIS2 voor arbodiensten

Valt een arbodienst onder NIS2?

Dat kan. Bijlage 1 van de Cyberbeveiligingswet noemt de zorgaanbieder uit de Wkkgz en de bedrijfsarts valt onder die wet. Boven de omvangdrempel geldt de wet dan rechtstreeks voor jouw arbodienst. Daaronder komen de eisen binnen via werkgevers die zelf onder de wet vallen en via aanbestedingen bij publieke werkgevers.

Waarom telt de AVG bij een arbodienst zo zwaar?

Omdat je gezondheidsgegevens verwerkt. Dat zijn bijzondere persoonsgegevens onder de AVG, met een verwerkingsverbod dat alleen onder strikte voorwaarden wordt opgeheven. Dat regime staat los van NIS2 en geldt ook onder de omvangdrempel.

Hoe moet de scheiding tussen werkgever en medisch dossier geregeld zijn?

Technisch, in rechten en rollen, niet in een werkafspraak. De werkgever moet weten of iemand inzetbaar is en mag niet weten waarom niet. De bedrijfsarts werkt bovendien onder een eigen geheimhoudingsplicht.

Waar gaat het in de praktijk mis?

Bij gedeelde postbussen, mails met een diagnose in de onderwerpregel en casemanagers met te ruime rechten. Dat is het eerste wat naar boven komt zodra een werkgever die onder NIS2 valt zijn keten doorlicht.

Welk deel van de ICT van een arbodienst valt buiten de scope van ClickOn?

Buiten scope vallen het verzuim- en dossiersysteem met het medisch dossier en de koppelingen met de HR- en salarissystemen van werkgevers. Wie op die systemen inlogt en met welke rechten, beheert ClickOn wel.