NIS2 voor VoIP- en telefonieaanbieders

Levert u telefonie via VoIP aan bedrijven of consumenten? Dan heeft de Cyberbeveiligingswet (Cbw) gevolgen voor u, ook als u een klein bedrijf bent. In dit artikel leest u wanneer uw dienst onder de wet valt en wat de regels betekenen voor 112, uw SBC's, telefoniefraude en uw carriers.

Wanneer valt een VoIP-dienst onder de wet?

De Cbw geldt voor aanbieders van openbare elektronische communicatiediensten. Wat een elektronische communicatiedienst is, staat in artikel 1.1 van de Telecommunicatiewet. Daaronder vallen onder meer interpersoonlijke communicatiediensten: diensten waarmee mensen rechtstreeks en interactief met elkaar communiceren.

De Telecommunicatiewet maakt twee soorten:

• Nummergebaseerde interpersoonlijke communicatiedienst: de dienst maakt verbinding met openbaar toegewezen nummers uit nationale of internationale nummerplannen, of maakt communicatie met zulke nummers mogelijk. Gewone VoIP-telefonie met vaste of mobiele nummers valt hieronder.
• Nummeronafhankelijke interpersoonlijke communicatiedienst: de dienst werkt niet met zulke nummers. Denk aan een chat- of belapp die alleen eigen accounts gebruikt.

Het woord "openbaar" is belangrijk. Kan in principe iedere klant uw dienst afnemen? Dan is hij openbaar. Een telefooncentrale die alleen voor uw eigen medewerkers werkt, maakt u niet vanzelf tot openbare aanbieder. Ook het gebruik van SIP zegt op zichzelf niets. Kijk naar de werkelijke dienst, uw klanten en uw contracten. Bent u reseller van een andere aanbieder? Beoordeel dan uw eigen rol. Dat u "reseller" heet, beslist de vraag niet.

Voor openbare telecom geldt geen ondergrens in omvang. Een middelgrote of grotere aanbieder is een essentiële entiteit (artikel 8 Cbw). Een kleine of micro-aanbieder is een belangrijke entiteit (artikel 12 Cbw). De wet geldt als u uw diensten in Nederland aanbiedt. Toezicht ligt bij de Rijksinspectie Digitale Infrastructuur (RDI). Twijfelt u? Doe de gratis zelfscan of lees Val ik onder NIS2?

112: de zwaarste eis voor telefonie

Voor telefonie is 112 het belangrijkste punt. Volgens artikel 8 van de Regeling cyberbeveiliging EZK is een incident altijd significant als het alarmnummer niet beschikbaar is. Dat geldt ongeacht de aard en omvang van de storing. Ook als maar een paar klanten 112 niet kunnen bellen, moet u dus melden.

De toelichting bij de regeling legt uit welk deel van de 112-keten meetelt. De keten loopt van de telefoonaanbieder van de beller, via het netwerk dat 112-verkeer doorstuurt, naar de landelijke meldkamer. Alleen het deel tot aan de landelijke meldkamer valt onder deze meldplicht. U bent alleen meldplichtig als de storing zit in het deel waarvoor u verantwoordelijk bent.

Wat betekent dit in de praktijk?

• Weet precies hoe 112-gesprekken bij u lopen: via welke SBC, welke routeringsregels en welke carrier.
• Laat 112-routering niet afhangen van één apparaat of één carrier als dat te vermijden is.
• Controleer na iedere wijziging in nummer- of routeringsregels of 112 nog werkt. Test alleen volgens de afspraken die daarvoor gelden; bel 112 niet zomaar voor een test.
• Zorg dat fraudefilters of bestemmingsblokkades nooit 112 kunnen blokkeren.

Naast de Cbw blijven de bestaande 112-verplichtingen uit de Telecommunicatiewet gelden. Controleer die apart.

Andere drempels voor een significant incident

Naast 112 noemt de regeling voor telecom nog twee criteria. Een incident is ook significant als:

• minstens 50.000 gebruikers vier uur of langer geen dienst hebben; of
• de integriteit, vertrouwelijkheid of echtheid van gegevens is aangetast voor minstens 1% van de gebruikers, met een minimum van 10.000 gebruikers.

Twee voorbeelden uit de toelichting zijn voor VoIP interessant. Bij gegevens gaat het onder meer om verkeersgegevens, zoals herkomst, tijd en duur van gesprekken. En bij echtheid noemt de toelichting spoofing: het vervalsen van het nummer dat de ontvanger te zien krijgt. Ook incidenten door een menselijke fout tellen mee. Meer over de meldregels leest u in Meldplicht incident NIS2.

SBC's en beheer van uw platform

Een Session Border Controller (SBC) beveiligt de grens van uw telefonienetwerk. Hij is daardoor ook een aantrekkelijk doelwit. De Regeling cyberbeveiliging EZK vraagt een beleid voor beheeraccounts met sterke authenticatie, persoonlijke en beperkte rechten, en beheerrechten alleen voor beheerwerk (artikel 6). Daarnaast vraagt de regeling dat u uw netwerk opdeelt in zones (artikel 5).

Voor een VoIP-platform betekent dat bijvoorbeeld:

• de beheerinterface van SBC's, centrales en registrars alleen bereikbaar vanaf een beheernetwerk;
• persoonlijke beheeraccounts met een tweede factor, geen gedeelde admin-login;
• patches en firmware-updates binnen een redelijke termijn, en een vastgelegde reden als u een update uitstelt;
• configuratieback-ups van SBC's en centrales, en een geteste manier om ze terug te zetten.

Toll fraud

Bij toll fraud (telefoniefraude) misbruikt iemand een SIP-account of centrale om dure gesprekken te voeren, vaak naar betaalde of buitenlandse nummers. De wet noemt toll fraud niet bij naam. Het hoort wel bij uw risicoanalyse en incidentbehandeling (artikel 21 Cbw). Gaat het om een gestolen account of een gekraakte centrale, dan kan het ook gaan om aantasting van gegevens of van de echtheid van de dienst.

Maatregelen die veel aanbieders nemen:

• sterke, unieke SIP-wachtwoorden en het beperken van registraties tot bekende IP-adressen waar dat kan;
• limieten op kosten, aantal gelijktijdige gesprekken en dure bestemmingen;
• bewaking van ongewone belpatronen, ook 's nachts en in het weekend;
• een vaste werkwijze: wie mag een account blokkeren, en hoe informeert u de klant?

Test bij elke limiet of normale gesprekken en noodcommunicatie gewoon blijven werken.

Carriers en andere leveranciers

Uw dienst hangt af van carriers, datacenters, hardware- en softwareleveranciers. De RDI meldde op 3 juli 2026 dat bij 76% van de telecomincidenten uit het afgelopen jaar een leverancier betrokken was. De RDI schrijft ook dat de aanbieder zelf verantwoordelijk blijft, ook als de oorzaak buiten de eigen organisatie ligt.

De Cbw vraagt dat u de beveiliging van uw toeleveringsketen meeneemt (artikel 21, derde lid, onderdeel d). Stel uzelf deze vragen:

• Heeft u een tweede carrier, en loopt die echt over een andere route?
• Wat gebeurt er met 112 als uw belangrijkste carrier uitvalt?
• Wie waarschuwt u als een leverancier een storing of beveiligingsprobleem heeft?
• Welke afspraken heeft u over toegang van leveranciers tot uw systemen?

Een certificaat van een leverancier bewijst niet dat uw eigen dienst veilig is. Meer leest u in Leveranciers en ketenbeveiliging.

Wat moet u nu doen?

1. Bepaal per dienst of hij openbaar is en welke rol u heeft. Leg de conclusie vast.
2. Registreer uw organisatie via MijnNCSC. Zie Registratie onder de Cbw.
3. Breng uw 112-route in kaart en controleer waar één storing alles kan stilleggen.
4. Beveilig SBC's en beheer: beheernetwerk, persoonlijke accounts, tweede factor, patches, back-ups.
5. Richt fraudedetectie in met limieten en een vaste blokkeerprocedure.
6. Bespreek met uw carriers hoe u elkaar waarschuwt en hoe uitwijk werkt.
7. Oefen een incident, bijvoorbeeld een SIP-storing waarbij 112 uitvalt. Wie beslist, wie meldt, wie informeert klanten?
8. Laat het bestuur besluiten en zorg dat bestuurders een training volgen (artikel 24 Cbw).

Een volledig overzicht van de onderwerpen staat in de NIS2-checklist. Meer over telecom in het algemeen leest u in NIS2 voor telecom.

Volgende stap

Doe de gratis zelfscan om te zien waar u staat. In de cursus werken wij deze telecomvoorbeelden uit, met een eigen spoor en certificaat voor bestuurders. Wilt u meteen aan de slag met uw maatregelen en een meldklok voor incidenten? Probeer het NIS2-portaal 30 dagen gratis.