NIS2 voor belastingadvieskantoren

Belastingadvieskantoren vallen niet rechtstreeks onder NIS2. Wel werkt een belastingadviseur met machtigingen om namens cliënten aangifte te doen en die machtiging is in de praktijk het gevoeligste bezit van het kantoor. ClickOn, managed service provider (MSP) voor het MKB en zelf ISO 27001-gecertificeerd sinds 2021, levert compliant werkplekbeheer dat de NIS2-maatregelen standaard ingebouwd heeft.

Vallen belastingadvieskantoren onder NIS2?

Belastingadvieskantoren vallen niet rechtstreeks onder NIS2. Fiscale advisering staat niet in bijlage 1 of 2, ongeacht de omvang van het kantoor. De plicht ontstaat alleen indirect, via de opdrachtgever.

De keten is de route waarlangs NIS2 wel binnenkomt. Opdrachtgevers die zelf onder NIS2 vallen, moeten hun toeleveringsketen beheersen en leggen hun beveiligingseisen daarom contractueel door aan de bedrijven die voor hen werken. Dat gebeurt in deze situaties:

• Machtigingen bij de Belastingdienst: het kantoor handelt namens de cliënt. Wie toegang krijgt tot de werkplek van een belastingadviseur, krijgt in potentie de mogelijkheid om namens cliënten te handelen bij de Belastingdienst. Dat weegt zwaarder dan het inzien van dossiers en maakt de vraag wie mag inloggen en indienen een vraag met directe financiële gevolgen.
• Cliënten die onder de wet vallen: een gemeente, zorginstelling of netbeheerder in de portefeuille neemt het kantoor mee in de beoordeling van zijn toeleveringsketen.
• De Wwft: cliëntenonderzoek en de vastlegging daarvan vallen onder een eigen bewaar- en beveiligingsregime dat naast de AVG loopt.

Beroepsregels van de fiscale beroepsorganisaties stellen eisen aan zorgvuldigheid en dossiervorming, maar schrijven geen concrete beveiligingsmaatregelen voor. Naar die maatregelen vraagt juist een cliënt met een eigen NIS2-plicht.

Wat de Cyberbeveiligingswet verandert

Wat NIS2-plichtige opdrachtgevers van je eisen

NIS2-plichtige opdrachtgevers eisen van belastingadvieskantoren aantoonbare beveiligingsmaatregelen, meestal als beveiligingsvragenlijst bij een aanbesteding of contractverlenging. De vragen komen telkens op hetzelfde neer:

• Multifactorauthenticatie (MFA) op alle accounts, ook voor uitvoerend personeel.
• Geteste back-ups van projectdata, calculaties en administratie, met een hersteltermijn.
• Tijdige updates en patching van werkplekken, servers en software.
• Toegangsbeheer: wie kan bij tekeningen, contracten en persoonsgegevens en wordt toegang ingetrokken bij uitdiensttreding.
• Incidentafspraken: bij wie meld je een hack of datalek en hoe snel.
• Steeds vaker een certificaat zoals ISO 27001 of in het MKB de NIS2 Supply Chain-certificering, als bewijs dat de maatregelen structureel geborgd zijn.

Een niet-ingevulde vragenlijst is genoeg om een bieding terzijde te laten leggen. Opdrachtgevers lopen zelf boete- en aansprakelijkheidsrisico onder NIS2, met boetes tot 10 miljoen euro of 2 procent van de wereldwijde jaaromzet voor essentiële entiteiten en 7 miljoen euro of 1,4 procent voor belangrijke entiteiten (NIS2-richtlijn, 2022). Dat risico nemen ze niet over van een leverancier die het bewijs niet heeft.

De ICT van een belastingadvieskantoor en waar NIS2 die raakt

ClickOn beheert de digitale werkplek: Microsoft 365, de apparaten die eraan hangen en de accounts die erop inloggen. Dat is het deel van je ICT waar de beveiligingsvragenlijst van een opdrachtgever vrijwel volledig over gaat. De aangiftesoftware, de portalen van de Belastingdienst en het beleidswerk vallen erbuiten en dat staat hieronder net zo expliciet.

Wat je gebruikt	Waar de eis op landt	ClickOn
Microsoft 365: mail, dossiers en cliëntcommunicatie	Aangiften, aanslagen en adviesmemo's lopen per mail, met financiële gegevens van de hele portefeuille.	Beheerd
Laptops en telefoons bij de cliënt en thuis	Adviesgesprekken vinden op locatie plaats, met dossiers op het toestel.	Beheerd
Accounts van adviseurs, assistenten en seizoenskrachten	In de aangifteperiode werken tijdelijke krachten mee en wordt er onder tijdsdruk gedeeld. Wie namens het kantoor mag indienen, moet juist dan strikt gescheiden blijven.	Beheerd
Aangifte- en adviessoftware	De vakapplicaties waarin de aangiften worden opgesteld. De leverancier beveiligt het platform, jij bepaalt wie inlogt en met welke rechten.	Buiten scope, toegang wel beheerd
Portalen en machtigingen van de Belastingdienst	Externe voorzieningen met eigen inloggegevens en eigen eisen van de beheerder. Buiten je beheer, wel bereikbaar vanaf jouw werkplek.	Buiten scope, toegang wel beheerd

De regel erachter is simpel: alles wat via een Microsoft 365-account bereikbaar is, richt ClickOn in volgens de norm en bewijst het maandelijks. Alles wat een eigen applicatie of installatie is, blijft van jou of van je leverancier, met uitzondering van wie er toegang toe krijgt en vanaf welk apparaat. Dat laatste is in de praktijk de helft van de vragenlijst.

Het ICT-deel van NIS2, aantoonbaar geregeld

Vraagt je opdrachtgever om bewijs? ClickOn richt het ICT-deel van je NIS2-traject in, of beheert je werkplekken met de maatregelen standaard ingebouwd.

Bekijk het NIS2-trajectBekijk werkplekbeheer

NIS2 ook voor andere branches in zakelijke dienstverlening

• NIS2 voor accountantskantoren
• NIS2 voor administratiekantoren
• NIS2 voor advocatenkantoren
• NIS2 voor arbodiensten
• NIS2 voor assurantietussenpersonen
• NIS2 voor auditbureaus
• NIS2 voor bedrijfsadviesbureaus
• NIS2 voor bedrijfsmakelaars
• NIS2 voor callcenters
• NIS2 voor compliance adviesbureaus
• NIS2 voor deurwaarderskantoren
• NIS2 voor detacheringsbureaus
• NIS2 voor financieel adviseurs
• NIS2 voor hypotheekadviseurs
• NIS2 voor incassobureaus
• NIS2 voor inkoopadviesbureaus
• NIS2 voor interim managementbureaus
• NIS2 voor loopbaancoachingsbureaus
• NIS2 voor marktonderzoeksbureaus
• NIS2 voor mediationbureaus
• NIS2 voor notariskantoren
• NIS2 voor octrooibureaus
• NIS2 voor outplacementbureaus
• NIS2 voor pensioenadvieskantoren
• NIS2 voor recruitmentbureaus
• NIS2 voor re integratiebureaus
• NIS2 voor salarisadministratiekantoren
• NIS2 voor subsidieadviesbureaus
• NIS2 voor trainings en opleidingsbureaus
• NIS2 voor uitzendbureaus
• NIS2 voor vermogensbeheerders
• NIS2 voor vertaalbureaus

Andere normen die voor belastingadvieskantoren meespelen

Naast de Cyberbeveiligingswet vragen opdrachtgevers en toezichthouders bij belastingadvieskantoren regelmatig naar de normen hieronder. Ze overlappen met de maatregelen op deze pagina, maar hebben elk een eigen grondslag.

ISO 27001

ISO 27001 is de internationale norm voor informatiebeveiliging en het bewijsstuk dat opdrachtgevers het vaakst uitvragen. De norm toont aan dat maatregelen structureel geborgd zijn in plaats van incidenteel geregeld en overlapt grotendeels met de zorgplicht uit de Cyberbeveiligingswet.

AVG

In je dossiers zitten financiële en persoonsgegevens uit de aangiften van je cliënten en hun medewerkers. De AVG verplicht tot passende technische en organisatorische maatregelen en geldt ongeacht de omvang van je kantoor. De Autoriteit Persoonsgegevens handhaaft bij een datalek als die maatregelen niet aantoonbaar zijn.

Veelgestelde vragen over NIS2 voor belastingadvieskantoren

Valt een belastingadvieskantoor onder NIS2?

Nee. Fiscale advisering staat niet in bijlage 1 of 2 van de Cyberbeveiligingswet, ongeacht de omvang van het kantoor. De eisen komen binnen via cliënten die zelf onder de wet vallen en hun toeleveringsketen moeten beheersen.

Waarom is de machtiging het gevoeligste bezit van het kantoor?

Omdat het kantoor namens de cliënt handelt. Wie toegang krijgt tot de werkplek van een belastingadviseur, krijgt in potentie de mogelijkheid om namens cliënten te handelen bij de Belastingdienst. Dat weegt zwaarder dan het inzien van dossiers.

Dekken de beroepsregels dit al af?

Nee. Die stellen eisen aan zorgvuldigheid en dossiervorming maar schrijven geen concrete beveiligingsmaatregelen voor. Naar dat laatste vraagt een cliënt met een eigen NIS2-plicht.

Wat maakt de aangifteperiode een risicoperiode?

Dan werken tijdelijke krachten mee en wordt er onder tijdsdruk gedeeld, terwijl juist dan strikt gescheiden moet blijven wie namens het kantoor mag indienen.

Welk deel van de ICT van een belastingadvieskantoor valt buiten de scope van ClickOn?

Buiten scope vallen de aangifte- en adviessoftware en de portalen en machtigingen van de Belastingdienst. Wie daarop inlogt en met welke rechten, beheert ClickOn wel.