NIS2 Artikel 26: welke toezichthouder houdt eigenlijk toezicht op uw klant?

Een managed service provider in Rotterdam voert security operations uit voor een klant met het statutaire hoofdkantoor in Frankfurt, drie productielocaties in Polen en een verkoopkantoor in Milaan.

Vier landen. Vier nationale NIS2-wetten. Vier toezichthouders.

Welke mag ze auditen?

De meeste consultants gokken verkeerd. Ze gaan ervan uit dat NIS2 werkt als het one-stop-shop-principe uit de AVG, of ze denken dat elk land waarin wordt geopereerd een extra toezichthouder oplevert. Geen van beide klopt. NIS2 Artikel 26 legt de regel vast, en splitst entiteiten in twee groepen die zich heel verschillend gedragen.

Voor de meeste sectoren volgt de jurisdictie de vestiging — in elk land waarin u actief bent

Artikel 26(1)(a) is kort: entiteiten vallen onder de jurisdictie van de lidstaat waarin zij zijn gevestigd.

Let op de impliciete meervoudsvorm. Een fabrikant met rechtspersonen in Duitsland, Polen en Italië is drie keer gevestigd. Als elk van die entiteiten de omvangdrempel overschrijdt in een sector uit Bijlage I of Bijlage II, valt elke entiteit afzonderlijk binnen scope, moet elke entiteit zich apart registreren en staat elke entiteit onder toezicht van de autoriteit van dat land.

Dat is de standaardsituatie, en die geldt voor de meeste klanten: energie, transport, bankwezen, gezondheidszorg, drinkwater, afvalwater, productie, levensmiddelen, afvalbeheer, postdiensten, chemie, digitale aanbieders en onderzoek.

Concreet voorbeeld. Een levensmiddelenproducent heeft een fabriek met 60 medewerkers in Polen en een fabriek met 40 medewerkers in België. De Poolse entiteit valt onder de Poolse wet binnen scope en moet zich daar registreren. De Belgische entiteit haalt de omvangdrempel op zichzelf niet. Zelfde groep, andere verplichtingen, andere toezichthouders, twee gescheiden complianceprogramma''s.

Consultants die één centraal NIS2-programma voor een groep opzetten en het daarbij laten, laten elke lokale entiteit onbeschermd achter. Groepsbeleid is nuttig. Het vervangt geen lokale registratie en lokaal toezicht.

Digitale en managed service providers krijgen één toezichthouder — en maar één

Artikel 26(1)(b) zondert een specifieke lijst af en geeft die entiteiten één toezichtpunt, waar in de EU ze ook actief zijn:

• DNS-dienstverleners
• registers voor topleveldomeinnamen
• entiteiten die domeinnaamregistratiediensten aanbieden
• aanbieders van cloudcomputingdiensten
• aanbieders van datacenterdiensten
• aanbieders van content delivery networks
• managed service providers
• managed security service providers
• aanbieders van onlinemarktplaatsen, onlinezoekmachines en socialenetwerkdiensten

Deze entiteiten vallen onder de jurisdictie van de lidstaat waar zij hun hoofdvestiging hebben. Eén toezichthouder. Eén registratie. Eén nationale wet, ook als ze klanten bedienen in alle 27 lidstaten.

Runt u een MSP of MSSP, dan bent u dit zelf — en het geldt voor uw eigen compliancepositie, niet alleen die van uw klanten. Zie onze gids over NIS2 voor MSP''s en MSSP''s voor het probleem van de dubbele verplichting.

"Hoofdvestiging" is niet uw statutaire zetel

Hier gaan de meeste zelfevaluaties de mist in. Artikel 26(2) definieert de hoofdvestiging via een cascade, en het statutaire hoofdkantoor komt daar nergens in voor.

1. De lidstaat waar besluiten over maatregelen voor het beheer van cyberbeveiligingsrisico''s overwegend worden genomen.
2. Als die lidstaat niet kan worden vastgesteld, of die besluiten niet in de Unie worden genomen — de lidstaat waar de cyberbeveiligingsactiviteiten worden uitgevoerd.
3. Als dat nog steeds niet kan worden vastgesteld — de lidstaat waar de entiteit de vestiging heeft met het hoogste aantal werknemers in de Unie.

Lees stap één nog eens. Het gaat om waar de besluiten worden genomen. Niet waar de vennootschap is opgericht, niet waar de CEO zit, niet waar de facturen worden uitgeschreven.

Een MSP die om fiscale redenen in Luxemburg is opgericht, met zijn CISO, zijn security-stuurgroep en zijn risicoregister in Antwerpen, heeft zijn hoofdvestiging in België. Het Belgische recht is van toepassing. Het CCB houdt toezicht. De Luxemburgse inschrijving is irrelevant voor Artikel 26.

Documenteer bij welke cascadestap u uitkwam en waarom. Als een toezichthouder ernaar vraagt, is "onze advocaten zeiden Luxemburg" geen antwoord. Notulen van het bestuur waaruit blijkt waar risicobesluiten worden goedgekeurd, wel.

Aanbieders van buiten de EU moeten een vertegenwoordiger aanwijzen — en die keuze bepaalt de jurisdictie

Artikel 26(3) gaat over aanbieders op de 26(1)(b)-lijst die niet in de Unie zijn gevestigd maar er wel diensten aanbieden. Zij moeten een vertegenwoordiger aanwijzen die gevestigd is in een van de lidstaten waar zij die diensten aanbieden. De entiteit wordt dan geacht onder de jurisdictie te vallen van de lidstaat waar die vertegenwoordiger is gevestigd.

Twee gevolgen die consultants stelselmatig over het hoofd zien.

Het aanwijzen van een vertegenwoordiger schermt de entiteit niet af. Er kan nog steeds juridisch worden opgetreden tegen de aanbieder zelf, ook als er een vertegenwoordiger is aangewezen.

Het niet aanwijzen van een vertegenwoordiger levert geen immuniteit op. Het levert een onvertegenwoordigde aanbieder op die verkoopt in een markt waar autoriteiten hoe dan ook tegen hem kunnen optreden.

Praktische conclusie: verkoopt of integreert u een Amerikaans, Brits of Zwitsers cloudplatform in een essentiële dienst van een klant, vraag dan naar hun EU-vertegenwoordiger en de lidstaat waar die zit. Kunnen ze er geen noemen, dan hebt u een bevinding voor de leveranciersketenbeoordeling van de klant. Precies het soort hiaat dat aan bod komt in NIS2 supply chain security.

Eén toezichthouder betekent niet één regelboek

Artikel 26 bepaalt wie toezicht op u houdt. Het harmoniseert niet waaraan zij toetsen.

NIS2 is een richtlijn, geen verordening. Elke lidstaat heeft haar omgezet in een eigen wet, met een eigen registratieportaal, eigen deadlines, een eigen interpretatie van de omvangdrempels en in meerdere gevallen een eigen controleraamwerk — het Belgische CyFun, de Italiaanse ACN-categorisering, het Duitse BSIG.

En de omzetting is nog steeds niet af. Op 8 juli 2026 heeft de Europese Commissie Ierland, Spanje, Frankrijk en Nederland voor het Hof van Justitie van de EU gedaagd wegens het niet melden van volledige omzettingsmaatregelen, met in elk geval een verzoek om financiële sancties. Wat dat betekent voor leveranciers behandelden we in Frankrijk en Spanje voor het Hof van Justitie.

Voor een aanbieder op de 26(1)(b)-lijst is de hoofdvestiging daarmee een echte strategische variabele. Waar uw securitybesluiten worden genomen bepaalt in welk portaal u registreert, welk CSIRT u meldt, met welke toezichtcultuur u te maken krijgt en aan welk raamwerk uw bewijsmateriaal moet worden gekoppeld. Dat wilt u niet tijdens een audit ontdekken. Bekijk waar elk land staat in onze NIS2-implementatietijdlijn.

Artikel 27 betekent dat u niet stilletjes een gunstige jurisdictie kunt kiezen

Artikel 27 verplicht lidstaten om via hun centrale contactpunten identificerende gegevens te verzamelen van elke entiteit op de 26(1)(b)-lijst en die door te sturen naar ENISA. ENISA houdt een Uniebreed register bij en geeft bevoegde autoriteiten op verzoek toegang.

De aangeleverde gegevens omvatten de naam van de entiteit, de relevante sector en subsector uit de bijlagen, het adres en de contactgegevens, de lidstaten waar diensten worden aangeboden en de IP-reeksen.

Die laatste twee punten wegen zwaarder dan ze lijken. U verklaart zelf in welke landen u actief bent, ENISA beheert het register en elke nationale autoriteit kan toegang vragen.

Een aanbieder die zich registreert in de lidstaat met de mildste toezichtreputatie terwijl zijn feitelijke securitybesluiten elders worden genomen, verstopt zich dus niet. Hij dient een verklaring in die toezichthouders precies het materiaal geeft om de discrepantie op te merken. Registratie is sowieso al de meest gemiste verplichting binnen NIS2 — zie de registratieverplichting.

De jurisdictie verkeerd inschatten stapelt zich op tot drie afzonderlijke tekortkomingen

Het blijft zelden een papieren probleem.

Registratie. Registreert u in de verkeerde lidstaat, dan bent u niet geregistreerd in de juiste. In de meeste nationale wetten is dat een zelfstandige overtreding, volledig los van hoe goed uw feitelijke securitypositie is.

Incidentmelding. De vroegtijdige waarschuwing binnen 24 uur gaat naar het CSIRT van de lidstaat met jurisdictie. Stuurt u die naar de verkeerde, dan blijft de klok lopen terwijl u erachter komt. Een te late melding is een aparte overtreding, los van het incident zelf. De deadlines staan in NIS2 incidentmelding.

Leveranciersketen. Uw klanten zijn verplicht hun leveranciers te beoordelen onder Artikel 21(2)(d). Een leverancier die zijn eigen toezichthouder niet kan noemen, is een leverancier waarvan de compliancestatus niet te verifiëren is — en dat komt rechtstreeks als openstaand risico in de leveranciersdocumentatie van de klant terecht.

Wat u voor elke klant met meerdere landen moet vastleggen

Vier documenten. Geen ervan kost veel tijd. Ze worden allemaal opgevraagd.

1. Een entiteitenoverzicht. Elke rechtspersoon, het land, het personeelsbestand, de omzet en de sector uit Bijlage I of II waarin die valt. Daarmee weet u welke entiteiten afzonderlijk binnen scope vallen onder Artikel 26(1)(a).
2. Een hoofdvestigingsmemo voor elke entiteit op de 26(1)(b)-lijst. Vermeld welke cascadestap van toepassing was, het onderliggende bewijs en de datum. Eén pagina is genoeg.
3. Het registratiedossier. Portaal, indieningsdatum, referentienummer, bevoegde autoriteit en de nationale CSIRT-route voor incidentmeldingen.
4. Gegevens van de vertegenwoordiger voor elke niet-EU-aanbieder in de kritieke leveranciersketen van de klant, inclusief de lidstaat van die vertegenwoordiger.

Herzie het hoofdvestigingsmemo telkens als de securityfunctie verhuist. Een SOC verplaatsen, security operations uitbesteden aan een ander land of een CISO aannemen op een nieuwe locatie kan de jurisdictie onder de cascade verschuiven. Geen enkele toezichthouder stuurt u daar een bericht over.

De meeste organisaties ontdekken dat hun aanname over de jurisdictie fout was op het moment dat hun al gevraagd wordt iets anders aan te tonen. Onze gratis NIS2 quick scan loopt in ongeveer tien minuten door scope, jurisdictie en de Artikel 21-maatregelen heen en levert een gapanalyse op die u direct met de klant kunt bespreken.

Artikel 26 is twee alinea''s juridische tekst. Het verkeerd toepassen maakt alles wat u erbovenop bouwt ongeldig.