NIS2 voor datacenters: wanneer een datacenter onder de BSIG valt
Wie datacentrumdiensten aan anderen aanbiedt, zoals colocatie, is een belangrijke entiteit vanaf 50 medewerkers of met meer dan 10 miljoen EUR omzet en balanstotaal elk, en een essentiële entiteit vanaf 250 medewerkers (§ 28 BSIG). Een serverruimte alleen voor uw eigen bedrijf is geen aangeboden dienst. Of een datacenter ook een kritieke installatie is, hangt af van een eigen drempelwaarde.
Wat een datacentrumdienst is
Het gaat om het hele bedrijf: ruimtes, racks en netwerk, plus stroomverdeling en koeling. De gebouwtechniek hoort bij de dienst.
Of u ruimte, stroom en koeling verhuurt voor servers van anderen (colocatie) of de servers zelf beheert, verandert niets aan de vraag of het een datacentrumdienst is.
§ 2 nr. 35 BSIG · Art. 6(31) NIS 2
‘data centre service’ means a service that encompasses structures, or groups of structures, dedicated to the centralised accommodation, interconnection and operation of IT and network equipment providing data storage, processing and transport services together with all the facilities and infrastructures for power distribution and environmental control;
Vanaf welke omvang een aanbieder eronder valt
Belangrijke entiteit: minstens 50 medewerkers, of een jaaromzet en een balanstotaal van elk meer dan 10 miljoen EUR.
Essentiële entiteit: minstens 250 medewerkers, of meer dan 50 miljoen EUR omzet en meer dan 43 miljoen EUR balanstotaal. Dat kan omdat datacenters in bijlage 1 staan.
Anders dan bijvoorbeeld DNS-diensten of gekwalificeerde vertrouwensdiensten vallen datacenters er niet ongeacht hun omvang onder.
Het tellen volgt Aanbeveling 2003/361/EG. Partner- en verbonden ondernemingen kunnen meetellen.
§ 28(1), (2) en (4) BSIG
Uw eigen serverruimte
Beheert uw bedrijf servers alleen voor zichzelf, dan biedt u geen datacentrumdienst aan. Via deze regel van bijlage 1 valt u er dan niet onder.
Uw bedrijf kan er om een andere reden wel onder vallen, bijvoorbeeld als producent, levensmiddelenbedrijf of afvalbedrijf. Dan hoort de serverruimte bij de systemen die u beschermt.
Beheert een bedrijf tegen betaling een datacenter voor andere bedrijven in dezelfde groep, laat dat dan per geval beoordelen.
Wanneer een datacenter een kritieke installatie is
Los van de omvang van het bedrijf kan een datacenter een kritieke installatie zijn. De exploitant is dan een essentiële entiteit.
Of een installatie kritiek is, hangt af van drempelwaarden in een verordening. In de BSI-verordening kritieke infrastructuur (BSI-KritisV) is de waarde voor een datacenter (housing) 3,5 megawatt contractueel overeengekomen vermogen.
Exploitanten van kritieke installaties hebben twee extra plichten: zij gebruiken systemen voor aanvalsdetectie, en zij tonen hun maatregelen elke drie jaar aan bij het BSI.
§ 2 nr. 22, § 28(1) nr. 1, §§ 31 en 39 BSIG
Nadere regels voor digitale aanbieders
Voor aanbieders van datacentrumdiensten geldt ook Uitvoeringsverordening (EU) 2024/2690. Zij beschrijft de technische eisen voor de tien gebieden nauwkeuriger en gaat in zoverre voor de BSIG.
Zij legt ook vast wanneer een incident bij deze aanbieders significant is en gemeld moet worden.
§ 30(3) BSIG · Uitvoeringsverordening (EU) 2024/2690
Een voorbeeld
Een verzonnen bedrijf: een regionale colocatieaanbieder met 60 medewerkers, twee locaties en mkb-klanten. Contractueel is 2 megawatt vermogen overeengekomen.
Colocatie is een datacentrumdienst. Met 60 medewerkers is het bedrijf een belangrijke entiteit.
Met 2 megawatt ligt het onder de waarde van de BSI-KritisV. Op die basis is het datacenter geen kritieke installatie.
Het registreert zich bij het BSI en voert de maatregelen volgens § 30 BSIG in, zo grondig als Uitvoeringsverordening (EU) 2024/2690 vraagt.
De lijst van zijn bedrijfsmiddelen begint bij de gebouwtechniek: netaansluiting, UPS, noodstroom, koeling, brandbeveiliging en toegang. Daarna volgen netwerk, racks en monitoring.
Zo gaat het in de doorloop
In de doorloop op nisd2.eu begint het werk met de lijst van waarmee uw bedrijf werkt.
Eén stap vraagt naar processen, software, apparaten, ruimtes en netwerken, en wie ze levert. Zo ontstaat de lijst van uw bedrijfsmiddelen.
In het bedrijfsprofiel geeft u aan of u een kritieke installatie exploiteert. Alleen dan verschijnt de stap over aanvalsdetectie en het bewijs aan het BSI.
Naast elke stap staat de wet, in eenvoudige woorden uitgelegd.
Aan het eind keurt de directie de documenten goed in de app, ingelogd met een eigen account.
Veelgestelde vragen
Is colocatie een datacentrumdienst onder NIS2?
Ja. Colocatie levert ruimtes, stroom en koeling voor de IT van anderen. Dat valt onder de definitie in § 2 nr. 35 BSIG.
Geldt NIS2 voor onze eigen serverruimte?
Niet als datacentrumdienst, zolang u haar alleen voor uw eigen bedrijf beheert. Valt uw bedrijf er om een andere reden onder, dan beschermt u de serverruimte als onderdeel van uw maatregelen.
Vanaf welke omvang valt een datacenter eronder?
Vanaf 50 medewerkers of met een jaaromzet en een balanstotaal van elk meer dan 10 miljoen EUR (§ 28(2) BSIG). Is het datacenter een kritieke installatie, dan ongeacht de omvang.
Is elk datacenter KRITIS?
Nee. Een datacenter is pas boven een drempelwaarde een kritieke installatie. In de BSI-KritisV is dat 3,5 megawatt contractueel overeengekomen vermogen voor housing.
Bronnen
- BSI-wet (BSIG) § 2 nrs. 22 en 35, §§ 28, 30, 31, 39, bijlage 1, gesetze-im-internet.de/bsig_2025
- Richtlijn (EU) 2022/2555 (NIS 2), art. 6(31) en bijlage I, EUR-Lex
- Uitvoeringsverordening (EU) 2024/2690, EUR-Lex
- BSI-KritisV, bijlage 4, gesetze-im-internet.de/bsi-kritisv
- Aanbeveling 2003/361/EG van de Commissie, EUR-Lex
In de praktijk
Waar dit in de begeleide doorloop terugkomt
De begeleide doorloop maakt hier stappen van die u invult, met de wet bij elke stap uitgelegd. Open een stap om het scherm te zien, ingevuld voor een verzonnen bedrijf.
De doorloop zelf is in het Duits en het Engels.
Risk Management
Write down what your company has
A list of the processes, software and devices you work with.
Registration & Reporting
Register with your authority
Your company registers once with your authority.
Wat de doorloop kost
€ 4.800 netto per jaar, excl. btw
30 dagen geld terugOp factuur, betaling binnen 30 dagen. Opzeggen in de eerste 30 dagen: factuur geannuleerd of geld terug.
Begeleide NIS 2 implementatie, stap voor stap
Een geschiedenis van wijzigingen en goedkeuringen, om aan uw toezichthouder te tonen
Deadlines en herinneringen per vereiste
Beveiligingsvragenlijst voor uw leveranciers
Export naar PDF of CSV, op elk moment
Moet u zich met NIS2 bezighouden?
We begeleiden u stap voor stap. U vult in, wij leggen elk punt in eenvoudige woorden uit, en aan het eind tekent de directie.
