NIS2 onderzoeksorganisaties: welke klanten vallen onder de Cyberbeveiligingswet en welke universiteiten niet

Een spin-off van een Nederlandse universiteit met 80 medewerkers, een commercieel contractonderzoekslab en een universitair instituut noemen zichzelf alle drie "onderzoek". Onder de Cyberbeveiligingswet (Cbw) is er maar één zeker binnen de scope.

Adviseer je klanten in de kennissector, dan is de vraag niet: "doen ze onderzoek?". De vraag is: "zijn ze een onderzoeksorganisatie in de zin van de richtlijn, en wat heeft de Nederlandse wetgever daaraan toegevoegd?"

Wat NIS2 verstaat onder onderzoeksorganisaties

Bijlage II van NIS2 noemt onderzoeksorganisaties als sector. Entiteiten in Bijlage II-sectoren zijn belangrijke entiteiten. Het toezicht is dan reactief: na bewijs of een incident, niet proactief.

De definitie staat in artikel 6, lid 41. Een onderzoeksorganisatie heeft als hoofddoel toegepast onderzoek of experimentele ontwikkeling, met het oog op commerciële exploitatie van de resultaten. Onderwijsinstellingen zijn uitdrukkelijk uitgesloten.

Daaruit volgen drie toetsen:

• Toegepast onderzoek of experimentele ontwikkeling is het hoofddoel, geen bijactiviteit.
• De resultaten zijn bedoeld voor commerciële exploitatie.
• De entiteit is geen onderwijsinstelling.

Een privaat R&D-lab dat bevindingen aan de industrie verkoopt, slaagt voor alle drie. Een universitaire faculteit met enkele opdrachten uit het bedrijfsleven niet, omdat de instelling als geheel onderwijs is.

De groottedrempel geldt altijd

Artikel 2, lid 1 past de Europese groottedrempel toe. Middelgrote ondernemingen en groter vallen eronder: in de praktijk minimaal 50 medewerkers, of omzet en balanstotaal boven € 10 miljoen.

Een start-up met 12 onderzoekers valt dus buiten de scope, tenzij een lidstaat een grootte-onafhankelijke regel toepast. Dit is het eerste filter voor elke onderzoeksklant en het schrapt er meer dan de meeste adviseurs verwachten.

Universiteiten: standaard buiten, binnen via nationale keuze

Artikel 2, lid 5 staat lidstaten toe NIS2 uit te breiden naar onderwijsinstellingen, met name als zij kritisch onderzoek uitvoeren. Dat is een mogelijkheid, geen plicht.

Het resultaat is een lappendeken. Twee universiteiten met hetzelfde onderzoeksprogramma kunnen aan weerszijden van de grens andere verplichtingen hebben. Leid het antwoord nooit af uit de richtlijn alleen.

Nederland: de Cyberbeveiligingswet en onderzoek

De Cyberbeveiligingswet (Stb. 2026, 187) is op 15 augustus 2026 in werking getreden en vervangt de Wet beveiliging netwerk- en informatiesystemen. De wet dekt onderzoek met het oog op commerciële doeleinden en noemt ook onderwijsinstellingen als mogelijk essentiële of belangrijke entiteit.

In welke categorie een instelling valt, hangt af van de sectorminister. Voor onderzoek en onderwijs is dat in de praktijk het ministerie dat de sector beheert. Vraag de indeling schriftelijk op in plaats van aan te nemen.

Sectorministers passen de wet toe in hun eigen sector. De minister van Justitie en Veiligheid is medeverantwoordelijk, het centrale contactpunt en houdt het nationale register van entiteiten bij. Meldplichtige incidenten gaan naar zowel het CSIRT als de bevoegde autoriteit.

Ook buiten Nederland: wat we konden verifiëren

Duitsland. De NIS2UmsuCG geldt sinds 6 december 2025, met het BSI als bevoegde autoriteit. Onderzoeksorganisaties vallen onder belangrijke entiteiten (§ 28 BSIG). Er is volgens secundaire bronnen geen algemene uitbreiding naar universiteiten.

Italië. D.Lgs. 138/2024 gaat verder dan de richtlijn: onderzoeksorganisaties staan in Bijlage II, onderzoeksinstellingen in Bijlage III en onderwijsinstellingen met onderzoek in Bijlage IV. ACN is de bevoegde autoriteit.

Polen. De gewijzigde KSC-wet geldt sinds 2 april 2026 en noemt wetenschappelijk onderzoek als belangrijke sector.

Frankrijk en Spanje. In beide landen is de omzetting nog niet afgerond. Het Franse wetsontwerp wacht op de Assemblée nationale; in Spanje geldt voorlopig nog Real Decreto-ley 12/2018 en heeft de Commissie een zaak aanhangig gemaakt bij het Hof van Justitie.

Wat de status van belangrijke entiteit in de praktijk betekent

Belangrijke entiteiten hebben dezelfde risicobeheermaatregelen uit artikel 21 als essentiële entiteiten. Ze moeten ook significante incidenten melden onder artikel 23: vroegtijdige waarschuwing binnen 24 uur, melding binnen 72 uur en een eindverslag binnen een maand.

Het verschil zit in toezicht en boetes. Voor belangrijke entiteiten bedraagt het maximum € 7 miljoen of 1,4% van de wereldwijde jaaromzet, het hoogste van beide. Het toezicht is ex post.

Bij onderzoeksklanten zijn de kwetsbare plekken voorspelbaar: onderzoeksdata en intellectueel eigendom, toegangsbeheer voor externe samenwerkingspartners en lab- of instrumentnetwerken die niemand als IT heeft ingedeeld. Zie de uitleg over de tien maatregelen van artikel 21.

Zo bepaal je de scope van een onderzoeksklant in vier vragen

1. Is onderzoek het hoofddoel van de entiteit? Is het eerst een onderwijsinstelling, kijk dan naar de Nederlandse uitbreiding en de sectorminister.
2. Is het onderzoek toegepast, met commerciële exploitatie als doel? Zo niet, dan faalt de definitie van artikel 6, lid 41 waarschijnlijk.
3. Haalt de entiteit de groottedrempel? Onder 50 medewerkers en onder € 10 miljoen omzet is meestal geen sprake van scope.
4. Voegt de Cbw iets toe? Leg de indeling vast met bron en datum.

Documenteer de antwoorden en de datum. Mocht de toezichthouder later anders oordelen, dan toont een gedateerde scopenotitie je zorgvuldigheid. Bij groepen in meerdere landen bepalen de jurisdictieregels van artikel 26 welke toezichthouder je tegenover je krijgt.

De conclusie

Bepaal de scope niet op het woord "onderzoek". Doe het op artikel 6, lid 41, de groottedrempel en de nationale wet, in die volgorde.

Een snelle manier om dat om te zetten in bewijs is per klant een gereedheidsbeoordeling uit te voeren en het resultaat te bewaren. Start een quick scan bij NIS2Certify om te zien waar de compliancepositie van een onderzoeksklant staat ten opzichte van artikel 21.

Dit artikel is algemene informatie, geen juridisch advies. Toets de scope aan de nationale wet en de toezichthouder van je klant.