NIS2 ruimtevaart: welke grondinfrastructuur valt onder de Cbw

Een controlecentrum voor satellieten staat op een bedrijventerrein in Nederland. Veertig medewerkers, een gehuurd antenneveld en een IT-beheerder die al zes jaar domeinbeheerder is. De satelliet draait in een baan om de aarde en valt buiten NIS2. De ruimte waar hij wordt aangestuurd niet.

Daar struikelen adviseurs over. De NIS2 ruimtevaartsector is smal, en het meeste wat mensen "ruimtevaart" noemen valt er niet onder.

Wat de NIS2 ruimtevaartsector echt dekt

Bijlage I, punt 11 van Richtlijn (EU) 2022/2555 noemt één type entiteit: exploitanten van grondinfrastructuur, in eigendom van, beheerd en geëxploiteerd door lidstaten of particuliere partijen, die de verlening van ruimtegebaseerde diensten ondersteunen. Aanbieders van openbare elektronische-communicatienetwerken zijn uitgezonderd. Zij vallen onder de sector digitale infrastructuur.

Overweging 37 geeft de logica. De richtlijn dekt ruimtevaart alleen voor zover diensten afhangen van grondinfrastructuur. De ruimtevaartuigen zelf worden niet gereguleerd.

In de praktijk gaat het om het grondsegment:

• grondstations en antennelocaties
• missiecontrole en satellietbedieningscentra
• telemetrie-, volg- en commandofaciliteiten (TT&C)
• gateway-locaties en specifieke centra voor payloaddataverwerking

Satellietbouwers, lanceerbedrijven en objecten in een baan vallen niet onder dit entiteitstype. Een fabrikant kan via een andere sector uit Bijlage II wel binnen scope vallen, maar dat is een aparte vraag.

Omvang en indeling: essentieel of belangrijk

De algemene omvangsregel van artikel 2, lid 1 geldt. Middelgrote ondernemingen en groter vallen binnen scope. Kleine en micro-ondernemingen niet, tenzij nationale wetgeving of artikel 2, lid 2 hen alsnog binnenhaalt.

Ruimtevaart staat in Bijlage I. Een grote exploitant is een essentiële entiteit (artikel 3, lid 1). Een middelgrote exploitant is een belangrijke entiteit. Dat verschil bepaalt het toezicht: essentiële entiteiten krijgen proactief toezicht, belangrijke entiteiten vooral reactief na een incident of melding.

Veel ruimtevaartbedrijven zijn klein. Een grondstation met 30 medewerkers valt meestal buiten de richtlijn. Hoort datzelfde bedrijf bij een groep die de drempels overschrijdt en deelt het een netwerk, dan kan dat anders zijn. Controleer de groepsstructuur voordat je een klant vrijpleit.

De verplichtingen zijn de standaard NIS2-set

NIS2 kent geen aparte regels voor ruimtevaart. Een exploitant binnen scope voldoet aan dezelfde maatregelen uit artikel 21 als iedereen: risicoanalyse, incidentafhandeling, bedrijfscontinuïteit, ketenbeveiliging, veilige ontwikkeling, toegangsbeheer, cryptografie en MFA.

Drie punten verdienen extra aandacht bij dit type klant:

• Toegangsbeheer op commandolinks. TT&C-uplinks zijn het meest waardevolle doelwit. Bevoorrechte toegang tot commandosystemen vraagt phishingbestendige MFA en sessielogging.
• Leveranciersconcentratie. Antennetijd, cloudverwerking en beheerde IT komen vaak van twee of drie partijen. Artikel 21, lid 2, onder d vereist dat je elk daarvan beoordeelt.
• OT-achtige systemen. Antennebesturing en planningssystemen draaien op oude software. Segmentatie telt zwaarder dan patchsnelheid.

Incidentmelding volgt artikel 23: een vroegtijdige waarschuwing binnen 24 uur, een incidentmelding binnen 72 uur en een eindverslag binnen een maand. Onze uitleg over de meldtermijnen behandelt de uitvoering.

Welke toezichthouder houdt toezicht op een ruimtevaartexploitant

Elke lidstaat wijst eigen bevoegde autoriteiten aan. Nationale ruimtevaartorganisaties zoals het Netherlands Space Office zijn beleidspartners, geen NIS2-toezichthouders. ESA is een intergouvernementele organisatie zonder NIS2-toezichtrol.

Op grond van artikel 26, lid 1 valt een ruimtevaartexploitant onder de lidstaat waar hij is gevestigd. Heeft een exploitant grondlocaties in meerdere landen, dan kan hij dus met meerdere toezichthouders te maken krijgen. Ons artikel over welke toezichthouder jouw klant controleert legt de regels uit. Registratie is in de meeste landen een aparte plicht; lees ook het overzicht van registratiedeadlines.

Nederland: de Cyberbeveiligingswet sinds 15 augustus 2026

In Nederland is NIS2 omgezet in de Cyberbeveiligingswet (Cbw), die sinds 15 augustus 2026 geldt. Entiteiten registreren zich via MijnNCSC; het NCSC is de centrale meldpunt- en informatiepartij voor incidenten. Wie de sectorale toezichthouder voor ruimtevaart is, controleer je bij de registratie en in de wettekst. Neem dat niet over uit een algemeen overzicht.

Voor Nederlandse klanten met locaties elders: Duitsland past de NIS2UmsuCG toe sinds 6 december 2025, Polen de gewijzigde KSC-wet sinds 3 april 2026 (registratiedeadline 3 oktober 2026) en Italië het D.Lgs. 138/2024 sinds oktober 2024. Frankrijk en Spanje hebben de omzetting niet afgerond. De Commissie kondigde op 8 juli 2026 aan beide landen voor het Hof van Justitie te dagen.

De EU Space Act kan de cyberregels voor ruimtevaart herschrijven

De Commissie stelde de EU Space Act voor op 25 juni 2025 (COM(2025) 335 final). Het is een voorstel, geen wet. De drie instellingen verschillen van mening over de verhouding tot NIS2.

De Commissie wil dat de Space Act lex specialis wordt. Voor NIS2-entiteiten zou het cybersecurityhoofdstuk de algemene verplichtingen van artikel 21 vervangen, inclusief threat-led penetration testing vóór de lancering en minstens elke drie jaar, en een vroegtijdige waarschuwing binnen 12 uur voor activa van de Unie.

De compromistekst van de Raad kiest de andere kant op. NIS2-entiteiten blijven NIS2 volgen; de Space Act-verplichtingen gelden vooral voor exploitanten buiten NIS2, zoals kleine en niet-EU-exploitanten. Het ontwerpverslag van de ITRE-commissie van het Europees Parlement (maart 2026) verwerpt een apart regime en wil ruimtevaartactiviteiten aan NIS2 zelf toevoegen.

De trilogen zijn nog niet gestart. Een juridische analyse verwacht aanname niet voor eind 2027 en toepassing rond 2030. Bouw geen klantprogramma op een voorstel. Bouw het op NIS2 en volg de Space Act als aandachtspunt.

Wat doe je met een klant in de ruimtevaartketen

Begin met scoping, niet met maatregelen. Stel drie vragen: beheert de klant grondinfrastructuur die ruimtegebaseerde diensten ondersteunt, haalt hij de omvangsdrempel inclusief de groep, en is hij aanbieder van elektronische communicatie?

Is het antwoord ja, ja, nee, dan valt de klant binnen scope. Breng het grondsegment in kaart als assetinventaris en doe daarna een gap-analyse tegen artikel 21, met TT&C en commandotoegang als eerste. Wil je een nulmeting vóór het eerste klantgesprek, doe dan de NIS2Certify quick scan.

De Space Act duurt jaren. De registratie-, meld- en auditplichten onder de Cbw gelden nu.