NIS2 voor cloudaanbieders: wanneer een aanbieder van cloudcomputingdiensten eronder valt
Wie een clouddienst aan anderen aanbiedt, of het nu infrastructuur, een platform of software is, is een belangrijke entiteit vanaf 50 medewerkers of met meer dan 10 miljoen EUR omzet en balanstotaal elk, en een essentiële entiteit vanaf 250 medewerkers (§ 28 BSIG). Wie alleen clouddiensten gebruikt, valt via deze regel niet eronder. Voor cloudaanbieders geldt ook Uitvoeringsverordening (EU) 2024/2690.
Wat een cloudcomputingdienst is
Vier kenmerken dragen de definitie: de klant neemt middelen af wanneer hij wil, bereikt ze via het netwerk, de pool groeit en krimpt met de vraag mee, en meerdere klanten delen de middelen.
Dat past op rekenkracht en opslag als dienst (IaaS), platforms zoals databases als dienst (PaaS) en software die veel klanten via het netwerk gebruiken (SaaS).
Eén server met vaste capaciteit die u voor één klant beheert, heeft deze kenmerken meestal niet. Hij kan wel onder een andere regel vallen, zoals datacentrumdienst of beheerde dienst.
§ 2 nr. 4 BSIG · Art. 6(30) NIS 2
‘cloud computing service’ means a digital service that enables on-demand administration and broad remote access to a scalable and elastic pool of shareable computing resources, including where such resources are distributed across several locations;
Vanaf welke omvang een aanbieder eronder valt
Belangrijke entiteit: minstens 50 medewerkers, of een jaaromzet en een balanstotaal van elk meer dan 10 miljoen EUR.
Essentiële entiteit: minstens 250 medewerkers, of meer dan 50 miljoen EUR omzet en meer dan 43 miljoen EUR balanstotaal. Dat kan omdat cloudaanbieders in bijlage 1 staan.
Anders dan bijvoorbeeld DNS-diensten of gekwalificeerde vertrouwensdiensten vallen cloudaanbieders er niet ongeacht hun omvang onder.
Het tellen volgt Aanbeveling 2003/361/EG. Partner- en verbonden ondernemingen kunnen meetellen.
§ 28(1), (2) en (4) BSIG
Wat niet meetelt
Clouddiensten gebruiken, zoals e-mail, boekhouding of opslag van een aanbieder, is geen clouddienst aanbieden. Uw bedrijf valt dan via deze regel van bijlage 1 niet eronder. De aanbieder is een van uw leveranciers, waar u in uw maatregelen rekening mee houdt als uw bedrijf er om een andere reden onder valt.
Een cloud die uw bedrijf alleen voor zichzelf beheert, is evenmin een aangeboden dienst. Beheert een bedrijf haar tegen betaling voor andere bedrijven in dezelfde groep, laat dat dan per geval beoordelen.
Nadere regels voor cloudaanbieders
Voor aanbieders van cloudcomputingdiensten geldt ook Uitvoeringsverordening (EU) 2024/2690. Zij beschrijft de technische eisen voor de tien gebieden nauwkeuriger en gaat in zoverre voor de BSIG. Als verordening geldt zij met dezelfde tekst in elk EU-land.
Zij legt ook vast wanneer een incident bij deze aanbieders significant is en gemeld moet worden.
Voor cloudaanbieders bepaalt de hoofdvestiging in de EU welk land bevoegd is: het land waar de beslissingen over cyberbeveiliging hoofdzakelijk worden genomen. U registreert zich dus in één EU-land, ook als u uw dienst in meerdere aanbiedt.
§ 30(3) BSIG · Uitvoeringsverordening (EU) 2024/2690 · Art. 26 NIS 2
En de C5-catalogus van het BSI?
C5 is een criteriacatalogus van het BSI voor clouddiensten. NIS2 eist geen C5-attest. Veel klanten vragen er wel om, en een bestaand attest kan als bewijs voor uw maatregelen dienen.
Een voorbeeld
Een verzonnen bedrijf: een aanbieder van hr-software die zo'n 900 klanten via het netwerk gebruiken. 60 medewerkers, 12 miljoen EUR omzet.
De software draait voor alle klanten op één gedeeld platform dat met de vraag meegroeit. Dat is een cloudcomputingdienst.
Met 60 medewerkers is het bedrijf een belangrijke entiteit.
Het registreert zich bij het BSI, omdat de beslissingen over cyberbeveiliging in Duitsland worden genomen.
Het voert de maatregelen volgens § 30 BSIG in, zo grondig als Uitvoeringsverordening (EU) 2024/2690 vraagt.
De lijst van zijn bedrijfsmiddelen omvat de applicatie, de databases, de hostingaccounts, het inloggen van klanten en de leveranciers, zoals de exploitant van het datacenter.
Zo gaat het in de doorloop
In de doorloop op nisd2.eu begint het werk met de lijst van waarmee uw bedrijf werkt.
Eén stap vraagt naar processen, software, apparaten, ruimtes en netwerken, en wie ze levert. Zo ontstaat de lijst van uw bedrijfsmiddelen.
Eén stap laat zien in welk EU-land u zich registreert, met de regel voor digitale aanbieders zoals cloud.
Naast elke stap staat de wet, in eenvoudige woorden uitgelegd.
Aan het eind keurt de directie de documenten goed in de app, ingelogd met een eigen account.
Veelgestelde vragen
Is SaaS een cloudcomputingdienst onder NIS2?
Meestal wel, als veel klanten de software via het netwerk gebruiken op een gedeeld, schaalbaar platform. Dat past bij de definitie in art. 6(30) NIS 2 en § 2 nr. 4 BSIG.
We gebruiken alleen clouddiensten. Zijn we een cloudaanbieder?
Nee. Clouddiensten gebruiken is ze niet aanbieden. Uw bedrijf kan er om een andere reden onder vallen; dan is de cloudaanbieder een van uw leveranciers.
Vanaf welke omvang valt een cloudaanbieder eronder?
Vanaf 50 medewerkers of met een jaaromzet en een balanstotaal van elk meer dan 10 miljoen EUR (§ 28(2) BSIG). Vanaf 250 medewerkers, of meer dan 50 miljoen EUR omzet en meer dan 43 miljoen EUR balanstotaal, is hij een essentiële entiteit.
Waar registreert een cloudaanbieder die in meerdere EU-landen actief is zich?
In het EU-land van zijn hoofdvestiging, waar de beslissingen over cyberbeveiliging hoofdzakelijk worden genomen (art. 26 NIS 2).
Bronnen
- BSI-wet (BSIG) § 2 nr. 4, §§ 28 en 30, bijlage 1, gesetze-im-internet.de/bsig_2025
- Richtlijn (EU) 2022/2555 (NIS 2), art. 6(30), art. 26 en bijlage I, EUR-Lex
- Uitvoeringsverordening (EU) 2024/2690, EUR-Lex
- Aanbeveling 2003/361/EG van de Commissie, EUR-Lex
- BSI: C5-criteriacatalogus, bsi.bund.de
In de praktijk
Waar dit in de begeleide doorloop terugkomt
De begeleide doorloop maakt hier stappen van die u invult, met de wet bij elke stap uitgelegd. Open een stap om het scherm te zien, ingevuld voor een verzonnen bedrijf.
De doorloop zelf is in het Duits en het Engels.
Risk Management
Write down what your company has
A list of the processes, software and devices you work with.
Registration & Reporting
Register with your authority
Your company registers once with your authority.
Wat de doorloop kost
€ 4.800 netto per jaar, excl. btw
30 dagen geld terugOp factuur, betaling binnen 30 dagen. Opzeggen in de eerste 30 dagen: factuur geannuleerd of geld terug.
Begeleide NIS 2 implementatie, stap voor stap
Een geschiedenis van wijzigingen en goedkeuringen, om aan uw toezichthouder te tonen
Deadlines en herinneringen per vereiste
Beveiligingsvragenlijst voor uw leveranciers
Export naar PDF of CSV, op elk moment
Moet u zich met NIS2 bezighouden?
We begeleiden u stap voor stap. U vult in, wij leggen elk punt in eenvoudige woorden uit, en aan het eind tekent de directie.
