Val ik als onderaannemer onder NIS2?

Bijna iedereen die hier komt, komt met dezelfde vraag. Val ik eronder. Het antwoord is voor de meesten nee, en dat is prettig om te weten, maar het lost je probleem niet op. Want de vragenlijst op je bureau ligt er nog steeds.

Hoe de wet bepaalt wie eronder valt

Er zijn twee ingangen. De eerste is je sector. De wet heeft twee bijlagen met sectoren erin, en sta je daar niet tussen, dan houdt het op. Energie, vervoer, bankwezen, zorg, drinkwater, digitale infrastructuur, overheid, post, afval, chemie, levensmiddelen, en een aantal maakindustrieen. Bouw staat er niet in. Schoonmaak niet. Uitzendwerk niet. Detailhandel niet.

De tweede ingang is je omvang. Sta je wel in een bijlage, dan telt hoe groot je bent. De wet werkt met de Europese mkb-definitie: middelgroot betekent vanaf vijftig medewerkers of tien miljoen omzet. Onder die grens val je er in de meeste sectoren niet onder, met een paar uitzonderingen voor telecom en vertrouwensdiensten die ook als kleine partij meetellen.

Er is nog een derde route, en die kun je zelf niet uitrekenen. De minister kan een organisatie aanwijzen, bijvoorbeeld omdat zij in Nederland de enige aanbieder van iets is, of omdat uitval gevolgen heeft voor de openbare veiligheid. Dat staat in artikel 9. Krijg je zo'n aanwijzing, dan weet je het.

Wat vervoer betreft, en dat is verwarrend

Vervoer staat wel in bijlage 1, en daar struikelen veel mensen over. Het gaat om lucht-, spoor-, water- en wegvervoer, maar dan om de partijen die de infrastructuur beheren of exploiteren: wegbeheerders, verkeerscentrales, havenautoriteiten, luchthavens. Niet om iedere vervoerder die goederen over die weg rijdt.

Rijd je voor een netbeheerder, een ziekenhuis of een gemeente, dan val jij er niet onder maar zij wel. En dan komt de vraag alsnog bij je terecht, via hun contract in plaats van via de wet.

Waarom nee toch niet het einde is

Je opdrachtgever moet zijn toeleveringsketen beoordelen. Dat staat in artikel 21, derde lid, onderdeel d, en het is voor hem geen keuze. Hij moet kunnen laten zien dat hij naar zijn leveranciers heeft gekeken, en jij bent een van die leveranciers.

Er is nog een artikel dat de druk verklaart. Artikel 30 verplicht hem om de afnemers van zijn diensten te informeren over een incident dat hen kan raken. Artikel 26 geeft hem vierentwintig uur voor de eerste melding aan de toezichthouder. Die klok begint op het moment dat het bij jou misgaat, niet op het moment dat hij het hoort. Daarom wil hij van tevoren weten hoe snel jij belt.

Wat je hiermee doet

Twee dingen zijn nu waar tegelijk. Je valt er niet onder, en je moet toch antwoorden. Dat is geen tegenstrijdigheid maar het verschil tussen een wettelijk risico en een contractrisico. Het eerste heb je niet, het tweede wel.

Dat verschil is ook je positie in het gesprek. Je hoeft niet te doen alsof je onder toezicht staat, en je hoeft geen certificaat te halen dat de wet niet vraagt. Wat je wel kunt: laten zien wat je hebt geregeld, waar het nog niet af is, en wanneer je dat oppakt. Dat is wat je opdrachtgever nodig heeft om zijn eigen dossier rond te krijgen.

Twijfel je nog over de eerste vraag, dan is de snelste weg je SBI-code erbij pakken en kijken of je sector in bijlage 1 of 2 staat. Dat kost vijf minuten, en daarna praat je met je opdrachtgever vanuit iets wat je zeker weet.