Val ik onder NIS2? Een stappenplan voor telecomaanbieders

Valt uw bedrijf onder de Cyberbeveiligingswet (Cbw), de Nederlandse uitwerking van NIS2? U moet dat zelf bepalen. Voor telecom-, VoIP- en internetaanbieders is het antwoord vaak ja, ook bij een klein bedrijf. Met dit stappenplan komt u tot een onderbouwde conclusie.

U bepaalt het zelf

De NCTV schrijft dat veel organisaties "van rechtswege" onder de wet vallen en dat organisaties zelf verantwoordelijk zijn om te bepalen of dat zo is. U krijgt dus geen brief van de overheid. Er zijn uitzonderingen: een minister kan een organisatie ook aanwijzen, bijvoorbeeld als essentiële entiteit. Maar de hoofdregel is dat u het zelf uitzoekt en vastlegt.

Leg uw beoordeling daarom schriftelijk vast. Noteer welke diensten u levert, welke cijfers u voor de omvang heeft gebruikt en welke conclusie u trekt. Als de toezichthouder vraagt waarom u wel of niet geregistreerd bent, kunt u dat laten zien.

Stap 1: Hoort uw sector erbij?

De Cbw geldt voor de sectoren in bijlage 1 en bijlage 2 van de wet. Telecom valt onder de sector digitale infrastructuur in bijlage 1. Daarin staan onder meer:

• aanbieders van openbare elektronische communicatienetwerken;
• aanbieders van openbare elektronische communicatiediensten;
• aanbieders van internetknooppunten;
• DNS-dienstverleners, cloudcomputingdiensten en datacentrumdiensten.

Het gaat om de sector waarin u zelf actief bent, niet om die van uw klanten. Levert u telefonie aan een ziekenhuis, dan blijft uw sector digitale infrastructuur. Dat schrijft ook het NCSC bij de registratie.

Stap 2: Is uw dienst openbaar?

Voor telecom is dit de belangrijkste vraag. De Cbw gebruikt de begrippen uit de Telecommunicatiewet. Een openbare elektronische communicatiedienst is daar een dienst "die beschikbaar is voor het publiek". Onder elektronische communicatiedienst vallen onder meer internettoegang en interpersoonlijke communicatie, zoals telefonie.

Stel uzelf deze vragen:

• Kan in principe iedere klant uw dienst afnemen, of werkt die alleen voor een vaste, besloten groep?
• Levert u de dienst zelf onder eigen naam en voorwaarden, of verkoopt u alleen de dienst van een ander door?
• Beheert u zelf een netwerk waarover u openbare diensten levert, zoals glasvezel, straalverbindingen of een eigen core?

Een VoIP-aanbieder die SIP-trunks of hosted telefonie aan bedrijven verkoopt, en een ISP die internettoegang levert, zijn meestal openbaar. Het woord "zakelijk" maakt een dienst niet besloten. Bij resellers en wholesale-constructies is het minder eenvoudig. Dan bepalen uw werkelijke rol, uw contracten en uw klanten de uitkomst, niet alleen de techniek of de productnaam. Bij twijfel is het verstandig om juridisch advies te vragen. Meer voorbeelden staan in NIS2 voor VoIP-aanbieders en NIS2 voor internetproviders.

Stap 3: Bepaal uw omvang

Voor de meeste sectoren geldt een omvangsgrens. Volgens het NCSC valt u pas onder de wet bij 50 of meer medewerkers (in fte), of bij minder medewerkers als zowel uw jaaromzet als uw balanstotaal boven € 10 miljoen ligt.

Voor openbare telecom geldt die grens niet. Het NCSC en de NCTV schrijven allebei dat aanbieders van openbare elektronische communicatienetwerken en -diensten altijd onder de wet vallen, ongeacht hun omvang. U heeft de omvang dan nog wel nodig voor stap 4.

Het NCSC beschrijft de categorieën zo:

De wet verwijst voor deze grenzen naar de Europese mkb-definitie (Aanbeveling 2003/361/EG). Die kent meer details dan deze tabel, bijvoorbeeld over hoe u medewerkers telt. Gebruik de tabel als eerste indicatie en controleer bij twijfel de volledige definitie.

Stap 4: Essentieel of belangrijk?

Voor openbare telecomaanbieders volgt de indeling uit de artikelen 8 en 12 van de Cbw:

• Micro of kleine onderneming: belangrijke entiteit (artikel 12, eerste lid, onder c en d).
• Middelgrote onderneming: essentiële entiteit (artikel 8, eerste lid, onder d en e).
• Grote onderneming: essentiële entiteit (artikel 8, eerste lid, onder f).

Een minister kan een organisatie daarnaast aanwijzen als essentiële entiteit, bijvoorbeeld als die de enige aanbieder van een belangrijke dienst is (artikel 9). Een kleine aanbieder is dus "in beginsel" belangrijk, niet altijd.

Wat is het verschil? De plichten zijn in de basis gelijk: registreren, zorgplicht, meldplicht en bestuursplichten. Het verschil zit in het toezicht. Volgens de RDI krijgen essentiële entiteiten proactief toezicht, ook zonder incident. Bij belangrijke entiteiten is het toezicht vooral achteraf. Ook de maximale boetes zijn lager voor belangrijke entiteiten.

Stap 5: Kijk naar uw andere diensten en landen

Veel telecombedrijven doen meer dan alleen telecom. Levert u ook hosting, cloud, een datacenter, DNS of beheerde IT-diensten (MSP)? Dan valt die dienst mogelijk apart onder de wet, met andere regels voor omvang en zorgplicht. Een DNS-dienstverlener valt bijvoorbeeld ook altijd onder de wet, ongeacht de omvang.

Kijk ook naar landen. Aanbieders van openbare telecomnetwerken en -diensten vallen onder de Cbw als zij hun diensten in Nederland aanbieden (artikel 4, tweede lid). Levert u ook in België of Duitsland, dan geldt daar mogelijk de wet van dat land en moet u zich volgens het NCSC ook daar registreren.

Valt u eronder? Dit zijn de eerste stappen

1. Registreer uw organisatie via MijnNCSC. Registratie is volgens de RDI verplicht sinds 15 augustus 2026. Lees hoe de Cbw-registratie werkt.
2. Breng de zorgplicht in kaart met de NIS2-checklist.
3. Zet uw meldprocedure klaar voor significante incidenten.
4. Betrek het bestuur: de directie keurt de maatregelen goed en volgt een training.

Een algemeen overzicht van wat de wet voor telecom betekent, leest u in NIS2 en telecom.

Valt u er niet onder?

Dan hoeft u zich niet te registreren. Toch kunt u met de wet te maken krijgen. Klanten die wel onder de Cbw vallen, moeten hun leveranciers beoordelen. Verwacht dus vragenlijsten en eisen in contracten. Leg ook dan uw beoordeling vast. En controleer die opnieuw als uw diensten, klanten of omvang veranderen.

Volgende stap

Wilt u het snel weten? Doe de gratis zelfscan. In ongeveer 15 minuten ziet u of u waarschijnlijk onder de wet valt, als essentiële of belangrijke entiteit, en waar uw grootste gaten zitten. De uitkomst is een eerste indicatie, geen juridisch oordeel. De RDI biedt daarnaast een eigen NIS2-Zelfevaluatie aan. Heeft u vragen over de uitkomst? Kom naar ons gratis webinar of bekijk de veelgestelde vragen.