NIS2 voor MSP's: wanneer valt een aanbieder van beheerde diensten onder de Cbw?

Wat is een aanbieder van beheerde diensten?

De Cbw geeft een eigen definitie (artikel 1 Cbw). Een aanbieder van beheerde diensten verleent diensten voor de installatie, het beheer, de exploitatie of het onderhoud van ICT-producten, netwerken, infrastructuur, toepassingen of andere netwerk- en informatiesystemen, via bijstand of actieve administratie bij de klant ter plaatse of op afstand.

Dat is breed. Denk aan het beheer van firewalls en routers bij klanten, werkplekbeheer, serverbeheer of het beheren van een telefooncentrale bij een klant. In bijlage 1 van de Cbw staan aanbieders van beheerde diensten en van beheerde beveiligingsdiensten onder "Beheer van ICT-diensten (business-to-business)".

Valt u eronder? Let op de omvang

Anders dan bij openbare telecom geldt voor MSP's de omvangsgrens:

• Klein of micro: in beginsel niet onder de wet voor deze dienst.
• Middelgroot: belangrijke entiteit (artikel 12, eerste lid, onder a, Cbw).
• Groter dan middelgroot: essentiële entiteit (artikel 8, eerste lid, onder f, Cbw).

Omvang volgt uit de Europese mkb-definitie; verbonden ondernemingen tellen mee. Een minister kan een entiteit ook als essentieel aanwijzen op basis van criteria (artikel 9 Cbw). Voor MSP's geldt de wet volgens artikel 4, derde lid, Cbw als zij hun hoofdvestiging of vertegenwoordiger in Nederland hebben.

Levert u ook openbare telecomdiensten? Dan valt u daarvoor hoe dan ook onder de wet. Zie vijf voorbeelden van de indeling.

Andere zorgplichtregels: de Europese uitvoeringsverordening

Voor MSP's gelden de zorgplichtartikelen 6 tot en met 18 van het Cyberbeveiligingsbesluit niet. Dat staat in artikel 4 Cbb. In plaats daarvan geldt Uitvoeringsverordening (EU) 2024/2690 van de Europese Commissie van 17 oktober 2024. Die geldt rechtstreeks, zonder Nederlandse omzetting. Ze geldt ook voor onder meer DNS-dienstverleners, cloud- en datacenteraanbieders en verleners van vertrouwensdiensten.

De verordening bevat twee soorten regels:

• Een bijlage met technische en methodologische eisen voor de tien zorgplichtonderwerpen. Die is gedetailleerder dan het Cbb. Ze gaat onder meer over beleid, risicobeheer, incidentbehandeling, continuïteit en back-ups, toeleveringsketen, kwetsbaarheden, cryptografie, personeel, toegangsbeheer en assets.
• Criteria voor een significant incident, met algemene criteria, een regel voor terugkerende incidenten en een apart artikel voor aanbieders van beheerde diensten en beheerde beveiligingsdiensten.

Lees de officiële tekst op EUR-Lex voor de precieze drempels. Wij noemen ze hier niet, omdat u bij een concrete beoordeling de exacte tekst nodig heeft.

Wat blijft gelijk?

De wet zelf geldt gewoon. Ook als MSP heeft u:

• de registratieplicht via MijnNCSC (artikel 44 Cbw);
• de zorgplicht van artikel 21 Cbw, uitgewerkt in de verordening;
• de meldplicht met 24 uur, 72 uur en een maand (artikelen 25 tot en met 29 Cbw);
• de plichten voor het bestuur: goedkeuring en training met certificaat (artikel 24 Cbw).

Het toezicht ligt volgens de RDI-website ook voor beheerde diensten bij de RDI.

Waarom MSP's extra aandacht krijgen

Een MSP heeft vaak beheertoegang tot de systemen van veel klanten tegelijk. Een inbraak bij de MSP kan zo bij al die klanten binnenkomen. Daarom letten klanten die zelf onder de Cbw vallen ook op u als leverancier. Zij moeten hun rechtstreekse leveranciers toetsen aan hun beveiligingseisen (artikel 10 Cbb). Verwacht dus vragenlijsten en contracteisen, ook als u zelf te klein bent om onder de wet te vallen.

Praktische eerste stappen voor een MSP

1. Bepaal of uw beheerdiensten onder de definitie vallen en wat uw omvang is, inclusief groep.
2. Registreer, als u onder de wet valt.
3. Lees de bijlage van Uitvoeringsverordening 2024/2690 en maak een overzicht van wat u al doet en wat ontbreekt.
4. Pak beheertoegang tot klantomgevingen als eerste aan: persoonlijke accounts, MFA, minimale rechten en logging. Zie MFA en beheertoegang.
5. Bescherm uw beheertools, zoals RMM-software en wachtwoordkluizen, als kritieke systemen.
6. Leg vast hoe u klanten bij een incident snel informeert.

Een eerste indruk van uw positie geeft de gratis zelfscan. Die is gericht op telecom-, VoIP- en internetaanbieders; laat een MSP-situatie bij twijfel apart beoordelen.

Veelgestelde vragen

Valt een kleine MSP onder de Cbw?

Voor de beheerde diensten in beginsel niet: voor MSP's geldt de omvangsgrens van middelgroot. Levert u ook openbare telecomdiensten, dan valt u daarvoor wel onder de wet, ongeacht omvang.

Gelden de artikelen van het Cyberbeveiligingsbesluit voor MSP's?

De zorgplichtartikelen 6 tot en met 18 Cbb niet (artikel 4 Cbb). Daarvoor geldt Uitvoeringsverordening (EU) 2024/2690. De andere plichten uit de wet gelden wel.

Wie houdt toezicht op MSP's?

Volgens de RDI-website valt beheer van ICT-diensten onder toezicht van de RDI.