NIS2-richtlijn

Essentiële entiteit

• Actief in een sector genoemd in bijlage I van NIS 2 en
• een “grote” organisatie: 250 personen of meer of een jaaromzet van meer dan EUR 50 miljoen en een balanstotaal boven EUR 43 miljoen

Belangrijke entiteit

•  Actief in een sector genoemd in bijlage I van NIS 2 en
• een “middelgrote” organisatie: 50 - 249 personen met een jaaromzet van EUR 10 - 50 miljoen of een balanstotaal van EUR 10 - 43 miljoen 

of

• Actief in een sector genoemd in bijlage II van NIS 2 en
• een grote of middelgrote organisatie op basis van bovengenoemde criteria

Er zijn een aantal uitzonderingen waarvoor de omvangcriteria niet van toepassing zijn zoals aanbieders van openbare elektronische communicatienetwerken, DNS-dienstverleners, aanbieders die als kritiek worden gezien of systeemrisico’s kennen en centrale overheidsinstanties.

Het voornaamste verschil tussen essentiële entiteiten en belangrijke entiteiten is dat essentiële entiteiten onder een intensiever regime van toezicht vallen. Deze vorm van toezicht op de naleving van verplichtingen kan zowel vooraf als achteraf plaatsvinden. Bij belangrijke entiteiten geldt een lichter regime waarbij er sprake is van toezicht achteraf of als er indicaties zijn van non-compliance met NIS 2 of bijvoorbeeld bij incidenten.

Kleine ondernemingen of micro-ondernemingen zullen niet snel onder het toepassingsgebied van NIS 2 vallen. Dit kan wel anders zijn als hun product of dienst van cruciaal belang is en de onderneming aangewezen wordt door een ministerie, waardoor NIS 2 dus wel van toepassing wordt.