Essentiële of belangrijke entiteit? Vijf voorbeelden uit de telecomsector

De regel in het kort

Voor aanbieders van openbare elektronische communicatienetwerken en -diensten geldt:

• Middelgroot of groot: essentiële entiteit van rechtswege (artikel 8, eerste lid, onder d tot en met f, Cbw).
• Klein of micro: belangrijke entiteit van rechtswege (artikel 12, eerste lid, onder c en d, Cbw).

Omvang volgt uit de Europese mkb-definitie (Aanbeveling 2003/361/EG). Daarbij tellen werknemers, jaaromzet en balanstotaal, en ook partner- en verbonden ondernemingen. Volgens het NCSC is een onderneming klein bij minder dan 50 medewerkers en een omzet of balanstotaal tot € 10 miljoen, en middelgroot vanaf 50 medewerkers of boven die bedragen, tot 250 medewerkers. De volledige definitie kent meer details; zie Val ik onder NIS2?.

Voor andere digitale diensten, zoals cloud, datacenters en beheerde diensten (MSP), geldt een andere regel: die vallen pas onder de wet vanaf middelgroot. Uitzondering: een DNS-dienstverlener is altijd essentieel, ongeacht omvang (artikel 8, eerste lid, onder c, Cbw). Een minister kan een entiteit ook aanwijzen als essentieel op basis van criteria (artikel 9 Cbw).

Let op: de voorbeelden hieronder zijn verzonnen. Ze tonen de redenering, geen oordeel over uw situatie.

Voorbeeld 1: kleine VoIP-aanbieder

Een bedrijf met 12 medewerkers en € 2 miljoen omzet verkoopt hosted telefonie en SIP-trunks aan mkb-klanten. Het staat los, zonder moeder- of zusterbedrijven.

Uitkomst: openbare elektronische communicatiedienst, kleine onderneming, dus belangrijke entiteit. Registreren, zorgplicht, meldplicht en bestuursplichten gelden allemaal. Het toezicht is vooral achteraf.

Voorbeeld 2: regionale glasvezelaanbieder

Een internetaanbieder met 80 medewerkers en een eigen glasvezelnetwerk levert internet aan consumenten en bedrijven.

Uitkomst: aanbieder van een openbaar netwerk en openbare diensten, middelgrote onderneming, dus essentiële entiteit. De RDI kan ook zonder aanleiding toezicht houden.

Voorbeeld 3: klein bedrijf in een grote groep

Een VoIP-bv met 15 medewerkers is voor 100% eigendom van een IT-groep met 300 medewerkers.

Uitkomst: bij de mkb-definitie tellen verbonden ondernemingen mee. Dan kan de bv als groot of middelgroot gelden, en dus als essentiële entiteit. Laat dit goed uitrekenen; de details van de mkb-definitie maken veel uit.

Voorbeeld 4: ISP met hosting en MSP-diensten

Een bedrijf met 25 medewerkers levert internet en telefonie, maar ook VPS-hosting en beheer van IT bij klanten.

Uitkomst: voor de telecomdiensten is het een belangrijke entiteit. Voor hosting en beheerde diensten geldt de omvangsgrens: als klein bedrijf valt het daarvoor in beginsel niet onder de wet. Maar let op: de zorgplichtmaatregelen gelden voor de netwerk- en informatiesystemen die het bedrijf gebruikt, en die worden vaak gedeeld. Voor cloud, datacenters en beheerde diensten gelden bovendien andere uitvoeringsregels (artikel 4 Cyberbeveiligingsbesluit). Laat deze mix apart beoordelen.

Voorbeeld 5: bedrijf dat alleen een besloten netwerk beheert

Een bedrijf met 8 medewerkers beheert het interne netwerk van één ziekenhuis, zonder diensten aan het publiek.

Uitkomst: geen openbare telecomdienst. De vraag is dan of het een aanbieder van beheerde diensten is; die valt pas onder de wet vanaf middelgroot. Als klein bedrijf valt het er dus waarschijnlijk niet onder. Het ziekenhuis zelf valt wel onder de wet en zal eisen stellen aan dit bedrijf als leverancier.

Samenvatting

Uitkomst van de voorbeelden (verzonnen situaties)

Voorbeeld	Uitkomst
1. Kleine VoIP-aanbieder	Belangrijk
2. Regionale glasvezelaanbieder (80 medewerkers)	Essentieel
3. Kleine bv in grote groep	Mogelijk essentieel door de groep
4. ISP met hosting en MSP	Belangrijk voor telecom; overige diensten apart beoordelen
5. Besloten netwerk voor één klant	Waarschijnlijk niet onder de wet, wel eisen als leverancier

Leg uw eigen beoordeling vast met de cijfers die u gebruikte. Twijfelt u, vraag dan juridisch advies. Een eerste indicatie krijgt u met de gratis zelfscan.

Veelgestelde vragen

Wat is het verschil tussen essentieel en belangrijk?

De plichten zijn in de basis gelijk. Het verschil zit in het toezicht (vooraf en achteraf, of vooral achteraf) en in de maximale boetes.

Kan ik van belangrijk naar essentieel gaan?

Ja, bijvoorbeeld door groei of een overname waardoor u middelgroot wordt. Geef wijzigingen binnen twee weken door in het register (artikel 44 Cbw).

Wie bepaalt mijn indeling?

U bepaalt dat zelf op basis van de wet. Een minister kan een entiteit ook aanwijzen als essentieel (artikel 9 Cbw).