NIS2 chemische industrie: wie valt onder Annex II en REACH?

Een chemiedistributeur in de Rotterdamse haven met 70 medewerkers beheert zijn tankopslag via een gekoppeld systeem en zijn orders via een webportaal. Een grote afnemer vraagt in zijn leveranciersvragenlijst: "Bevestig uw status onder de Cyberbeveiligingswet." Op de afdeling logistiek weet niemand het antwoord.

Dat gesprek voert u als IT-consultant of MSP binnenkort met veel klanten. Voor NIS2 in de chemische industrie geldt: chemie is een "andere kritieke sector" in Annex II van Richtlijn (EU) 2022/2555, en de formulering is ruimer dan klanten verwachten.

Wat Annex II punt 3 precies dekt

Annex II kent zeven sectoren. Punt 3 is "Vervaardiging, productie en distributie van chemische stoffen". De tekst verwijst naar REACH (Verordening (EG) nr. 1907/2006) en omvat:

• ondernemingen die stoffen vervaardigen (REACH artikel 3, punt 9);
• ondernemingen die stoffen of mengsels distribueren (REACH artikel 3, punt 14);
• ondernemingen die voorwerpen produceren uit stoffen of mengsels (REACH artikel 3, punt 3).

Twee groepen worden niet genoemd: importeurs en downstreamgebruikers als zodanig. Een bedrijf dat alleen een stof importeert valt niet onder dit punt. Een formulator is onder REACH een downstreamgebruiker, maar de Annex II-tekst over distributie van stoffen of mengsels en over de productie van voorwerpen kan zo'n bedrijf alsnog raken. Sluit een menger dus niet uit op basis van REACH-labels alleen.

Het derde punt is waar de scope oprekt. Producenten van kunststof onderdelen of gecoate metalen producten kunnen onder punt 3 vallen én onder de Annex II-sector "Maakindustrie". Toets beide punten voordat u een klant vertelt dat hij buiten scope valt.

De omvang bepaalt of de wet geldt

NIS2 geldt voor middelgrote en grotere entiteiten in de genoemde sectoren (artikel 2, lid 1). Middelgroot betekent minimaal 50 medewerkers, of een omzet én balanstotaal boven € 10 miljoen. Een specialiteitenmenger met 30 medewerkers en € 6 miljoen omzet blijft eronder, tenzij een lidstaat kleinere entiteiten met een sleutelrol heeft aangewezen (artikel 2, lid 2).

Entiteiten uit Annex II zijn standaard belangrijke entiteiten. Ze worden pas essentieel als ze aan een ander criterium van artikel 3 voldoen, bijvoorbeeld doordat ze ook in een Annex I-sector actief zijn.

Waarom chemieklanten lastiger zijn dan ze lijken

Chemische bedrijven zitten op de grens van IT en OT. Dosering, batchprocessen, tankniveaumeting en veiligheidssystemen hangen aan het netwerk. Onze gids over IT/OT-segmentatie voor producenten beschrijft de architectuur. Let in een gap-analyse bij chemie extra op drie punten:

1. Een assetregister inclusief OT. Stopt het register bij laptops en servers, dan voldoet het niet aan artikel 21, lid 2, onder i.
2. Incidentafhandeling inclusief procesimpact. Ransomware die een batchproces stilzet is een significant incident met gevolgen voorbij de data.
3. Toeleveringsketen. Artikel 21, lid 2, onder d vraagt aandacht voor directe leveranciers en dienstverleners. Chemiebedrijven leunen op logistieke platforms, gehoste ERP en leveranciers met remote toegang tot installaties. Zie leverancierscontracten onder artikel 21.

Distributeurs hebben een ander profiel: ERP, orderportalen en magazijnsystemen. Dezelfde tien maatregelen van artikel 21, lid 2 gelden, op een kleiner aanvalsoppervlak.

Wat de sancties zijn

Voor belangrijke entiteiten is het maximum onder artikel 34, lid 5 het hoogste van € 7 miljoen of 1,4% van de wereldwijde jaaromzet. Essentiële entiteiten riskeren tot € 10 miljoen of 2%. Ons artikel over NIS2-boetes en bestuurdersrisico legt uit hoe nationale stelsels die plafonds toepassen.

De Nederlandse Cyberbeveiligingswet (Cbw)

Nederland past NIS2 toe via de Cyberbeveiligingswet (Cbw), die sinds 15 augustus 2026 van kracht is. De verplichtingen gelden direct: zorgplicht voor passende technische en organisatorische maatregelen, meldplicht voor significante incidenten bij het NCSC, bestuurdersverantwoordelijkheid en opleiding van bestuurders. Organisaties die onder de wet vallen, moeten zich registreren in het register van het NCSC. Welke toezichthouder voor uw klant bevoegd is, hangt af van de sector; de Rijksinspectie Digitale Infrastructuur (RDI) houdt toezicht op meerdere sectoren. Controleer dat per klant.

Nederland is, net als Frankrijk, Spanje en Ierland, door de Europese Commissie naar het Hof van Justitie verwezen wegens te late omzetting. Dat verandert niets aan wat de Cbw nu van uw klanten vraagt.

Buiten Nederland ziet het beeld er anders uit:

• Duitsland: de wijziging van het BSIG gold vanaf 6 december 2025, zonder overgangsperiode.
• Italië: decreto legislativo 138/2024 geldt sinds 16 oktober 2024; basismaatregelen moeten in oktober 2026 operationeel zijn.
• Polen: de gewijzigde KSC-wet is op 3 april 2026 in werking getreden en voegt chemische productie toe.
• Frankrijk en Spanje: omzetting is nog niet afgerond.

Voor het volledige overzicht: zie de Europese implementatietijdlijn.

Zo bepaalt u de scope van een chemieklant in een uur

Loop deze vier vragen in volgorde door:

1. Welke REACH-rol heeft de klant per productlijn: fabrikant, distributeur, artikelproducent, alleen importeur of downstreamgebruiker?
2. In welke lidstaten is de klant actief? Elke nationale wet kent eigen registratie- en meldregels.
3. Haalt de klant de grens voor middelgrote bedrijven, of vangt een nationale regel hem toch?
4. Welke OT-systemen sturen productie of veiligheid aan, en wie heeft er remote toegang toe?

Begin bij vraag één. De meeste scopefouten ontstaan door de aanname dat "wij mengen alleen" betekent "wij vallen erbuiten". Toets die aanname aan de Annex II-tekst en de nationale wet voordat u haar accepteert.

Wilt u een gestructureerd startpunt? Laat de klant de gratis NIS2Certify quick scan doorlopen. Die levert een readiness-beoordeling waarmee u het gesprek opent.

De les: ga niet af op de sectornaam. De scope volgt de REACH-rol, de omvang en het land, in die volgorde.