NIS2 voor hosting, datacenter en cloud: welke regels gelden voor uw dienst?

Welke soorten hosting kent de wet?

De Cbw gebruikt Europese begrippen (artikel 1 Cbw). Voor hosting zijn er twee belangrijk:

• Cloudcomputingdienst: een digitale dienst die administratie op aanvraag en brede toegang op afstand mogelijk maakt tot een schaalbare en elastische pool van deelbare computerbronnen. Denk aan een platform waarop klanten zelf VPS'en of opslag afnemen.
• Datacentrumdienst: een dienst met gebouwen of ruimtes voor de centrale huisvesting, interconnectie en exploitatie van IT- en netwerkapparatuur, met de faciliteiten voor stroom en klimaatbeheersing. Denk aan colocatie.

Beide staan in bijlage 1 van de wet, in de sector digitale infrastructuur. Beheert u daarnaast systemen voor klanten, dan kan ook de definitie van beheerde diensten gelden; zie NIS2 voor MSP's. Klassieke webhosting kan, afhankelijk van hoe de dienst werkt, onder een van deze begrippen vallen of niet. Beoordeel dat per dienst.

De omvangsgrens

Voor cloud en datacenter geldt, anders dan voor openbare telecom, de omvangsgrens uit de mkb-definitie:

Indeling van cloud- en datacenterdiensten

Omvang (inclusief verbonden ondernemingen)	Gevolg	Grondslag
Micro of klein	In beginsel niet onder de wet voor deze dienst	Geen grond in artikel 8 of 12
Middelgroot	Belangrijke entiteit	Artikel 12, eerste lid, onder a, Cbw
Groter dan middelgroot	Essentiële entiteit	Artikel 8, eerste lid, onder f, Cbw

Een minister kan een organisatie ook als essentieel aanwijzen (artikel 9 Cbw). Voor deze diensten geldt de wet volgens artikel 4, derde lid, Cbw als de hoofdvestiging of vertegenwoordiger in Nederland is. Als hoofdvestiging geldt de plek waar de beslissingen over cyberbeveiligingsmaatregelen hoofdzakelijk worden genomen.

Telecom en hosting in één bedrijf

Een klein telecombedrijf met een hostingtak is voor telecom een belangrijke entiteit. Voor de hostingdienst valt het als klein bedrijf in beginsel niet onder de wet. In de praktijk loopt dat vaak door elkaar:

• de zorgplicht gaat over de netwerk- en informatiesystemen die u gebruikt voor uw werk of diensten (artikel 21 Cbw); gedeelde systemen, zoals uw beheernetwerk en monitoring, vallen er dus toch onder;
• een middelgroot telecombedrijf met hosting is voor beide diensten in scope, met verschillende uitvoeringsregels.

Leg per dienst vast wat geldt. Zie ook vijf voorbeelden uit de telecomsector.

Welke zorgplichtregels gelden voor cloud en datacenter?

Voor aanbieders van cloudcomputingdiensten en datacentrumdiensten gelden de zorgplichtartikelen 6 tot en met 18 van het Cyberbeveiligingsbesluit niet (artikel 4 Cbb). Daarvoor geldt Uitvoeringsverordening (EU) 2024/2690. De bijlage daarvan bevat technische en methodologische eisen voor de tien zorgplichtonderwerpen. De verordening bevat ook eigen criteria voor wanneer een incident bij een cloud- of datacenteraanbieder significant is.

Voor uw telecomdienst blijven het Cbb en de Regeling cyberbeveiliging EZK gelden. Heeft u beide soorten diensten, dan heeft u dus met twee regelsets te maken. Een praktische aanpak is één managementsysteem met per onderwerp een verwijzing naar beide bronnen.

Aandachtspunten voor datacenters

Bij een datacenter speelt fysieke beveiliging een grote rol. De wet vraagt een benadering die alle gevaren omvat, inclusief de fysieke omgeving van uw systemen (artikel 21, derde lid, Cbw). Denk aan:

• toegangsbeheer tot het gebouw en de racks, met registratie van bezoekers;
• stroomvoorziening met noodstroom, en onderhoud en tests daarvan;
• koeling en bewaking van temperatuur;
• brandmelding en blussing;
• meer dan één glasvezelroute naar buiten.

Uw klanten vragen het ook

Valt u zelf niet onder de wet, dan krijgt u er toch mee te maken. Klanten die onder de Cbw vallen, moeten hun leveranciers beoordelen (artikel 10 Cbb). Bereid u voor op vragen over toegangsbeheer, back-ups, incidentmeldingen en certificeringen. Wilt u zien waar u staat? Doe de gratis zelfscan.

Veelgestelde vragen

Valt mijn kleine hostingbedrijf onder de Cbw?

Voor cloud- en datacenterdiensten geldt de omvangsgrens. Als klein bedrijf valt u daarvoor in beginsel niet onder de wet. Levert u ook openbare telecomdiensten, dan geldt de wet daarvoor wel.

Welke regels gelden voor de zorgplicht van een datacenter?

Uitvoeringsverordening (EU) 2024/2690, niet de artikelen 6 tot en met 18 van het Cyberbeveiligingsbesluit (artikel 4 Cbb).

Is colocatie een datacentrumdienst?

Colocatie past bij de definitie: centrale huisvesting en exploitatie van IT- en netwerkapparatuur met stroom en klimaatbeheersing. Beoordeel uw eigen dienst aan de hand van de volledige definitie in artikel 1 Cbw.