De Cyberbeveiligingswet maakt onderscheid tussen essentiële en belangrijke entiteiten. Dat onderscheid zegt iets over de maatschappelijke impact en de wijze waarop toezicht wordt gehouden.
Waarom is dit belangrijk?
De classificatie beïnvloedt niet alleen toezicht. Zij helpt ook bepalen hoe zwaar bestuur, klanten en ketenpartners naar de digitale weerbaarheid van de organisatie zullen kijken.
Wat is een essentiële entiteit?
Essentiële entiteiten leveren diensten waarvan verstoring grote maatschappelijke of economische gevolgen kan hebben. Sector, omvang en bijzondere aanwijzing spelen hierbij een rol.
Wat is een belangrijke entiteit?
Belangrijke entiteiten vallen eveneens onder de wettelijke verplichtingen, maar het toezicht kan anders worden ingericht. De zorg-, meld- en registratieplicht blijven wezenlijk.
Waarom is omvang belangrijk?
Voor veel sectoren spelen medewerkers, omzet en balanstotaal een rol. Bij verbonden ondernemingen kan de groepsstructuur invloed hebben op de beoordeling.
Bijzondere gevallen
Sommige organisaties kunnen ongeacht normale omvangsdrempels relevant zijn, bijvoorbeeld vanwege hun specifieke digitale dienstverlening of een formele aanwijzing.
Praktijkvoorbeeld
Een grote organisatie in een NIS2-sector kan als essentiële entiteit worden aangemerkt. Een middelgrote onderneming in een andere aangewezen sector kan als belangrijke entiteit kwalificeren.
Veelgestelde vragen
Is ‘belangrijk’ minder verplicht?
Nee. Ook belangrijke entiteiten moeten aan de wettelijke verplichtingen voldoen. Het verschil zit vooral in classificatie en toezicht.
Kan een kleine organisatie toch onder de wet vallen?
Ja, in bijzondere situaties of bij specifieke diensten kan de normale omvangsdrempel niet doorslaggevend zijn.