Val ik als onderaannemer onder NIS2?

Bijna iedereen die hier komt, komt met dezelfde vraag. Val ik eronder. Het antwoord is voor de meesten nee, en dat is prettig om te weten, maar het lost je probleem niet op. Want de vragenlijst op je bureau ligt er nog steeds.

Hoe de wet bepaalt wie eronder valt

Er zijn twee ingangen. De eerste is je sector. De wet heeft twee bijlagen met sectoren erin, en sta je daar niet tussen, dan houdt het op. Energie, vervoer, bankwezen, zorg, drinkwater, digitale infrastructuur, overheid, post, afval, chemie, levensmiddelen, en een aantal maakindustrieën. Bouw staat er niet in. Schoonmaak niet. Uitzendwerk niet. Detailhandel niet.

De tweede ingang is je omvang. Sta je wel in een bijlage, dan telt hoe groot je bent. De wet werkt met de Europese mkb-definitie: middelgroot betekent vanaf vijftig medewerkers of tien miljoen omzet. Onder die grens val je er in de meeste sectoren niet onder, met een paar uitzonderingen voor telecom en vertrouwensdiensten die ook als kleine partij meetellen.

Er is nog een derde route, en die kun je zelf niet uitrekenen. De minister kan een organisatie aanwijzen, bijvoorbeeld omdat zij in Nederland de enige aanbieder van iets is, of omdat uitval gevolgen heeft voor de openbare veiligheid. Dat staat in artikel 9. Krijg je zo'n aanwijzing, dan weet je het.

Wat vervoer betreft, en dat is verwarrend

Vervoer staat wel in bijlage 1, en daar struikelen veel mensen over. Het gaat om lucht-, spoor-, water- en wegvervoer, maar dan om de partijen die de infrastructuur beheren of exploiteren: wegbeheerders, verkeerscentrales, havenautoriteiten, luchthavens. Niet om iedere vervoerder die goederen over die weg rijdt.

Rijd je voor een netbeheerder, een ziekenhuis of een gemeente, dan val jij er niet onder maar zij wel. En dan komt de vraag alsnog bij je terecht, via hun contract in plaats van via de wet.

Valt jouw opdrachtgever eronder, en hoe ga je dat na

Dat is de vraag die er voor jou toe doet, en die vrijwel niemand beantwoordt. Je gebruikt er dezelfde twee ingangen voor, alleen dan gericht op hem. Zit zijn sector in bijlage 1 of 2, en haalt hij de omvangsdrempel?

De drempel is de makkelijkste van de twee. Middelgroot begint bij vijftig medewerkers, of bij een jaaromzet en een balanstotaal die allebei boven de tien miljoen euro liggen. Groot begint bij tweehonderdvijftig medewerkers. Een opdrachtgever waar je al jaren komt, schat je daar meestal goed genoeg in.

De sector is lastiger, want de bijlagen gebruiken andere woorden dan de markt. Er is een kortere weg. Kijk welke toezichthouder bij hem hoort. Voor elke sector is een toezichthouder aangewezen bij besluit in de Staatscourant, en die besluiten zijn openbaar.

• Vervoer, drinkwater, afvalwater, afvalstoffenbeheer en chemische stoffen: de Inspectie Leefomgeving en Transport (Stcrt. 2026, 24155)
• Energie: de Rijksinspectie Digitale Infrastructuur (Stcrt. 2026, 22079)
• Digitale infrastructuur, beheer van ICT-diensten tussen bedrijven, post- en koeriersdiensten: de Rijksinspectie Digitale Infrastructuur (Stcrt. 2026, 25628)
• Overheid, centraal en decentraal: de Rijksinspectie Digitale Infrastructuur (Stcrt. 2026, 27674)
• Productie, verwerking en distributie van levensmiddelen: de Nederlandse Voedsel- en Warenautoriteit (Stcrt. 2026, 25479)
• Gezondheidszorg en de vervaardiging van medische hulpmiddelen: de Inspectie Gezondheidszorg en Jeugd (Stcrt. 2026, 28763)

Staat de sector van je opdrachtgever in dat rijtje en is hij groot genoeg, dan valt hij eronder en komt die vragenlijst terug. Voor bankwezen en voor de infrastructuur van de financiële markt is geen aanwijzingsbesluit te vinden, dus daar geeft deze route geen antwoord.

Rijd je voor een ziekenhuis, dan zit je klant in bijlage 1 en houdt de Inspectie Gezondheidszorg en Jeugd toezicht op hem. Rijd je voor een levensmiddelenfabrikant, dan valt hij onder levensmiddelen en kijkt de NVWA mee. In allebei de gevallen val jij er niet onder en hij wel.

Sinds 17 augustus 2026 stemmen de zes toezichthouders dit ook onderling af. AP, BVA-Rijk, IGJ, ILT, NVWA en RDI legden toen vast wie waar controleert, zodat een bedrijf dat in meerdere sectoren actief is niet twee keer dezelfde vraag krijgt.

Aan je eigen positie verandert dat niets. Aan je verwachting wel. Valt hij eronder, dan is dit geen eenmalig verzoek maar iets dat elk jaar terugkomt, en dan is het de moeite om het een keer goed op papier te zetten. Wat is de Cyberbeveiligingswet? legt uit wat hij dan zelf moet doen.

Waarom nee toch niet het einde is

Je opdrachtgever moet zijn toeleveringsketen beoordelen. Dat staat in artikel 21, derde lid, onderdeel d, en het is voor hem geen keuze. Hij moet kunnen laten zien dat hij naar zijn leveranciers heeft gekeken, en jij bent een van die leveranciers.

Er is nog een artikel dat de druk verklaart. Artikel 30 verplicht hem om de afnemers van zijn diensten te informeren over een incident dat hen kan raken. Artikel 26 geeft hem vierentwintig uur voor de eerste melding aan de toezichthouder. Die klok begint op het moment dat het bij jou misgaat, niet op het moment dat hij het hoort. Daarom wil hij van tevoren weten hoe snel jij belt.

Wat je hiermee doet

Twee dingen zijn nu waar tegelijk. Je valt er niet onder, en je moet toch antwoorden. Dat is geen tegenstrijdigheid maar het verschil tussen een wettelijk risico en een contractrisico. Het eerste heb je niet, het tweede wel.

Dat verschil is ook je positie in het gesprek. Je hoeft niet te doen alsof je onder toezicht staat, en je hoeft geen certificaat te halen dat de wet niet vraagt. Wat je wel kunt is opschrijven wat je hebt geregeld en wat nog niet. Dat tweede deel is het deel dat een inkoper gelooft. Dat is wat je opdrachtgever nodig heeft om zijn eigen dossier rond te krijgen.

Twijfel je nog over de eerste vraag, dan is de snelste weg je SBI-code erbij pakken en kijken of je sector in bijlage 1 of 2 staat. Dat kost vijf minuten, en daarna praat je met je opdrachtgever vanuit iets wat je zeker weet.