NIS2 voor re-integratiebureaus

Re-integratiebureaus vallen in de regel niet rechtstreeks onder NIS2. Wel werkt een re-integratiebureau met gegevens over de belastbaarheid van mensen en met opdrachtgevers die vrijwel altijd publiek of gereguleerd zijn. ClickOn, managed service provider (MSP) voor het MKB en zelf ISO 27001-gecertificeerd sinds 2021, levert compliant werkplekbeheer dat de NIS2-maatregelen standaard ingebouwd heeft.

Vallen re-integratiebureaus onder NIS2?

Re-integratiebureaus vallen in de regel niet rechtstreeks onder NIS2. Re-integratiedienstverlening staat niet in bijlage 1 of 2, ongeacht de omvang van het bureau. De plicht ontstaat dan alleen indirect, via de opdrachtgever.

Er is één uitzondering. Verleent het bureau zelf zorg, bijvoorbeeld psychologische behandeling door een BIG-geregistreerde gezondheidszorgpsycholoog, dan is het een zorgaanbieder in de zin van artikel 1 van de Wet kwaliteit, klachten en geschillen zorg (Wkkgz). Zorgaanbieders staan in bijlage 1 van de Cyberbeveiligingswet onder de sector gezondheidszorg. Boven de omvangdrempel voor middelgrote ondernemingen valt het bureau dan wel rechtstreeks onder de wet.

De keten is de route waarlangs NIS2 bij alle andere bureaus binnenkomt. Opdrachtgevers die zelf onder NIS2 vallen, moeten hun toeleveringsketen beheersen en leggen hun beveiligingseisen daarom contractueel door aan de bedrijven die voor hen werken. Dat gebeurt in deze situaties:

• UWV en gemeenten als opdrachtgever: re-integratietrajecten worden aanbesteed en gemeenten zijn van rechtswege essentiële entiteit. Hun zorgplicht komt via het bestek binnen.
• Werkgevers in aangewezen sectoren: bij spoor 1- en spoor 2-trajecten is de werkgever de opdrachtgever en neemt hij het bureau mee in zijn ketenanalyse.
• De grens met medische gegevens: een re-integratiebureau hoort geen diagnoses te ontvangen, maar wel functionele beperkingen en belastbaarheid. Die grens moet in de systemen zichtbaar zijn, want in de praktijk sturen werkgevers en deelnemers geregeld meer mee dan is toegestaan: een brief van de specialist, een verslag, een diagnose in de onderwerpregel van een mail. Vanaf dat moment staan er bijzondere persoonsgegevens in een omgeving die daar niet op is ingericht.

Wat de Cyberbeveiligingswet verandert

Wat NIS2-plichtige opdrachtgevers van je eisen

NIS2-plichtige opdrachtgevers eisen van re-integratiebureaus aantoonbare beveiligingsmaatregelen, meestal als beveiligingsvragenlijst bij een aanbesteding of contractverlenging. De vragen komen telkens op hetzelfde neer:

• Multifactorauthenticatie (MFA) op alle accounts, ook voor uitvoerend personeel.
• Geteste back-ups van projectdata, calculaties en administratie, met een hersteltermijn.
• Tijdige updates en patching van werkplekken, servers en software.
• Toegangsbeheer: wie kan bij tekeningen, contracten en persoonsgegevens en wordt toegang ingetrokken bij uitdiensttreding.
• Incidentafspraken: bij wie meld je een hack of datalek en hoe snel.
• Steeds vaker een certificaat zoals ISO 27001 of in het MKB de NIS2 Supply Chain-certificering, als bewijs dat de maatregelen structureel geborgd zijn.

Een niet-ingevulde vragenlijst is genoeg om een bieding terzijde te laten leggen. Opdrachtgevers lopen zelf boete- en aansprakelijkheidsrisico onder NIS2, met boetes tot 10 miljoen euro of 2 procent van de wereldwijde jaaromzet voor essentiële entiteiten en 7 miljoen euro of 1,4 procent voor belangrijke entiteiten (NIS2-richtlijn, 2022). Dat risico nemen ze niet over van een leverancier die het bewijs niet heeft.

De ICT van een re-integratiebureau en waar NIS2 die raakt

ClickOn beheert de digitale werkplek: Microsoft 365, de apparaten die eraan hangen en de accounts die erop inloggen. Dat is het deel van je ICT waar de beveiligingsvragenlijst van een opdrachtgever vrijwel volledig over gaat. Het trajectsysteem, de portalen van UWV en gemeenten en het beleidswerk vallen erbuiten en dat staat hieronder net zo expliciet.

Wat je gebruikt	Waar de eis op landt	ClickOn
Microsoft 365: mail, trajectdossiers en rapportages	Voortgangsrapportages, belastbaarheidsinformatie en correspondentie met werkgever en deelnemer lopen hierlangs. Hier komt in de praktijk medische informatie binnen die er niet hoort.	Beheerd
Laptops en telefoons van jobcoaches op locatie	Gesprekken vinden plaats bij werkgevers en deelnemers thuis, met dossiers op het toestel.	Beheerd
Accounts van coaches, administratie en inleen	Wie welk deel van een dossier mag zien, is hier geen instelling maar een grens die voortkomt uit de AVG.	Beheerd
Traject- en rapportagesysteem	De registratie van trajecten, voortgang en belastbaarheid. De leverancier beveiligt de applicatie, jij bepaalt wie inlogt en met welke rechten.	Buiten scope, toegang wel beheerd
Portalen van UWV, gemeenten en werkgevers	Externe systemen waarin trajecten worden aangemeld en gerapporteerd, met eigen inloggegevens en eigen eisen van de beheerder.	Buiten scope, toegang wel beheerd

De regel erachter is simpel: alles wat via een Microsoft 365-account bereikbaar is, richt ClickOn in volgens de norm en bewijst het maandelijks. Alles wat een eigen applicatie of installatie is, blijft van jou of van je leverancier, met uitzondering van wie er toegang toe krijgt en vanaf welk apparaat. Dat laatste is in de praktijk de helft van de vragenlijst.

Het ICT-deel van NIS2, aantoonbaar geregeld

Vraagt je opdrachtgever om bewijs? ClickOn richt het ICT-deel van je NIS2-traject in, of beheert je werkplekken met de maatregelen standaard ingebouwd.

Bekijk het NIS2-trajectBekijk werkplekbeheer

NIS2 ook voor andere branches in zakelijke dienstverlening

• NIS2 voor accountantskantoren
• NIS2 voor administratiekantoren
• NIS2 voor advocatenkantoren
• NIS2 voor arbodiensten
• NIS2 voor assurantietussenpersonen
• NIS2 voor auditbureaus
• NIS2 voor bedrijfsadviesbureaus
• NIS2 voor bedrijfsmakelaars
• NIS2 voor belastingadvieskantoren
• NIS2 voor callcenters
• NIS2 voor compliance adviesbureaus
• NIS2 voor deurwaarderskantoren
• NIS2 voor detacheringsbureaus
• NIS2 voor financieel adviseurs
• NIS2 voor hypotheekadviseurs
• NIS2 voor incassobureaus
• NIS2 voor inkoopadviesbureaus
• NIS2 voor interim managementbureaus
• NIS2 voor loopbaancoachingsbureaus
• NIS2 voor marktonderzoeksbureaus
• NIS2 voor mediationbureaus
• NIS2 voor notariskantoren
• NIS2 voor octrooibureaus
• NIS2 voor outplacementbureaus
• NIS2 voor pensioenadvieskantoren
• NIS2 voor recruitmentbureaus
• NIS2 voor salarisadministratiekantoren
• NIS2 voor subsidieadviesbureaus
• NIS2 voor trainings en opleidingsbureaus
• NIS2 voor uitzendbureaus
• NIS2 voor vermogensbeheerders
• NIS2 voor vertaalbureaus

Andere normen die voor re-integratiebureaus meespelen

Naast de Cyberbeveiligingswet vragen opdrachtgevers en toezichthouders bij re-integratiebureaus regelmatig naar de normen hieronder. Ze overlappen met de maatregelen op deze pagina, maar hebben elk een eigen grondslag.

ISO 27001

ISO 27001 is de internationale norm voor informatiebeveiliging en het bewijsstuk dat opdrachtgevers het vaakst uitvragen. De norm toont aan dat maatregelen structureel geborgd zijn in plaats van incidenteel geregeld en overlapt grotendeels met de zorgplicht uit de Cyberbeveiligingswet.

AVG

In je dossiers zitten gegevens over belastbaarheid en arbeidsongeschiktheid, waarbij in de praktijk ook gezondheidsgegevens binnenkomen die er niet horen. De AVG verplicht tot passende technische en organisatorische maatregelen en geldt ongeacht de omvang van je kantoor. De Autoriteit Persoonsgegevens handhaaft bij een datalek als die maatregelen niet aantoonbaar zijn.

Veelgestelde vragen over NIS2 voor re-integratiebureaus

Valt een re-integratiebureau onder NIS2?

In de regel niet. Re-integratiedienstverlening staat niet in bijlage 1 of 2 van de Cyberbeveiligingswet. De eisen komen binnen via UWV en gemeenten als aanbestedende opdrachtgever en via werkgevers in aangewezen sectoren. Verleent het bureau zelf zorg, zoals behandeling door een BIG-geregistreerde psycholoog, dan is het een zorgaanbieder uit bijlage 1 en valt het boven de omvangdrempel wel rechtstreeks onder de wet.

Mag een re-integratiebureau medische gegevens verwerken?

Nee. Een re-integratiebureau hoort geen diagnoses te ontvangen, alleen functionele beperkingen en belastbaarheid. Die grens moet ook in de systemen en rechten zichtbaar zijn.

Wat gaat er in de praktijk mis?

Werkgevers en deelnemers sturen geregeld meer mee dan is toegestaan: een specialistenbrief, een verslag, een diagnose in de onderwerpregel. Vanaf dat moment staan er bijzondere persoonsgegevens in een omgeving die daar niet op is ingericht.

Wat vraagt een gemeente in het bestek?

Gemeenten zijn van rechtswege essentiële entiteit en zetten hun zorgplicht door in de aanbesteding: MFA, geteste back-ups, patching, toegangsbeheer en afspraken over incidentmelding, aangevuld met de AVG-eisen die bij deze gegevens horen.

Welk deel van de ICT van een re-integratiebureau valt buiten de scope van ClickOn?

Buiten scope vallen het traject- en rapportagesysteem en de portalen van UWV, gemeenten en werkgevers. Wie daarop inlogt en met welke rechten, beheert ClickOn wel.