Essentiële en belangrijke entiteiten
TL;DR
NIS2 verdeelt organisaties in essentiële en belangrijke entiteiten. Essentiële entiteiten staan onder proactief toezicht en kennen hogere boetemaxima, belangrijke entiteiten onder reactief toezicht. De indeling volgt uit sector en omvang, met enkele sectoren waar omvang er niet toe doet.
Het verschil in een notendop
Essentiële entiteiten zijn doorgaans grote organisaties (250+ medewerkers of 50 miljoen euro omzet) in de hoogkritieke sectoren. Belangrijke entiteiten zijn middelgrote organisaties (50+ medewerkers of 10 miljoen euro omzet) of grote organisaties in de overige NIS2-sectoren.
Soort toezicht
- Essentieel: proactief, aangekondigde en onaangekondigde audits, ad-hoc controles, beveiligingsscans op verzoek
- Belangrijk: reactief, toezicht wordt actief na een melding, klacht of signaal
Boetes
- Essentieel: tot 10 miljoen euro of 2 procent wereldwijde omzet
- Belangrijk: tot 7 miljoen euro of 1,4 procent wereldwijde omzet
Uitzonderingen op omvang
Sommige organisaties vallen ongeacht omvang onder NIS2, bijvoorbeeld DNS-aanbieders, top-level domain name registries, aanbieders van vertrouwensdiensten en delen van de overheid.
Hoe je je categorie bepaalt
- Identificeer je sector en subsector
- Tel medewerkers en bepaal jaaromzet (over de hele juridische entiteit, niet per locatie)
- Toets of er sector-specifieke uitzonderingen gelden
- Documenteer de uitkomst en de redenering, dit is bewijs richting de toezichthouder
Veelgestelde vragen
Wat als ik op de grens zit?
Tel conservatief, dus alle medewerkers en omzet binnen de juridische entiteit, en kies bij twijfel de zwaardere categorie.
Wijzigt mijn categorie als we groeien?
Ja, je bent verplicht wijzigingen door te geven aan de bevoegde toezichthouder.
Kan ik bezwaar maken tegen aanwijzing als essentieel?
Een formele aanwijzing volgt het bestuursrecht, dus bezwaar en beroep zijn mogelijk, maar de feitelijke kwalificatie volgt uit de wet.
Verder lezen
Wil je weten wat jouw organisatie nodig heeft?
Plan een korte cybersecurity intake. We nemen samen je situatie door en geven concrete vervolgstappen.
Plan een cybersecurity intake