NIS2 afvalsector en postdiensten: wie valt onder de Cbw?

Een afvalinzamelaar in Noord-Brabant met 90 medewerkers draait routeplanning, weegbrug en facturatie op drie gekoppelde systemen. Een koeriersdepot in Venlo is afhankelijk van één sorteerplatform en een cloudportaal voor track-and-trace. Geen van beide eigenaren heeft ooit een cybersecuritymelding gedaan. Beiden vallen nu in een sector die de EU "kritiek" noemt, en hun klanten vragen er al naar.

Dat is de vraag achter NIS2 voor de afvalsector en postdiensten. Beide sectoren staan in Annex II van Richtlijn (EU) 2022/2555, de "andere kritieke sectoren". Sinds 15 augustus 2026 geldt in Nederland de Cyberbeveiligingswet (Cbw). De tekst is smaller dan klanten vrezen en breder dan ze hopen.

Wat Annex II precies dekt

Punt 1 van Annex II betreft post- en koeriersdiensten: aanbieders van postdiensten zoals gedefinieerd in artikel 2, punt 1 bis, van Richtlijn 97/67/EG, "met inbegrip van aanbieders van koeriersdiensten". Koeriers worden dus expliciet genoemd. Pakketnetwerken, last-mile-koeriers en klassieke postoperators vallen onder dezelfde categorie.

Punt 3 betreft afvalbeheer: ondernemingen die afvalbeheer uitvoeren zoals gedefinieerd in artikel 3, punt 9, van Richtlijn 2008/98/EG. Afvalbeheer is daar het inzamelen, vervoeren, nuttig toepassen en verwijderen van afval. Een inzamelaar, een transporteur, een sorteerinstallatie en een stortplaatsexploitant kunnen er allemaal onder vallen.

De uitzondering die de meeste afvalgevallen beslist

De afvalcategorie sluit ondernemingen uit "voor wie afvalbeheer niet de voornaamste economische activiteit is". Dat is de nuttigste zin voor uw klantgesprekken.

Een fabrikant die eigen productieafval verwerkt, valt daar niet onder. Een schroothandelaar die vooral afval inzamelt en verwerkt, mogelijk wel. Stel één vraag: verdient dit bedrijf zijn geld hoofdzakelijk met afvalbeheer? Leg het antwoord vast, inclusief onderbouwing.

Voor postdiensten bestaat zo'n uitzondering niet. Wie postdiensten of koeriersdiensten als bedrijf aanbiedt, toetst direct aan de groottecriteria.

De groottedrempel: middelgroot en groter

NIS2 geldt voor middelgrote en grote entiteiten in de genoemde sectoren. In de praktijk: minimaal 50 medewerkers of meer dan €10 miljoen jaaromzet of balanstotaal. Micro- en kleine bedrijven vallen in principe buiten de basisregel.

Annex II-entiteiten zijn belangrijke entiteiten, geen essentiële. Dat raakt het toezicht: toezichthouders kunnen achteraf ingrijpen, na een incident of klacht, in plaats van routinematig te controleren. De verplichtingen worden er niet lichter van.

Wat een belangrijke entiteit moet doen

Onder de Cbw gelden drie kernplichten: registreren bij het NCSC (via mijn.ncsc.nl), passende beheersmaatregelen nemen en significante incidenten melden. De zorgplicht volgt Artikel 21 van de richtlijn, met tien maatregelen: risicoanalysebeleid, incidentafhandeling, bedrijfscontinuïteit, beveiliging van de toeleveringsketen, veilige acquisitie en onderhoud, effectiviteitsmeting, cyberhygiëne en training, cryptografie, toegangsbeheer en assetmanagement, en multifactorauthenticatie of beveiligde communicatie. Zie onze uitleg over de tien maatregelen van Artikel 21.

Het bestuur moet die maatregelen goedkeuren en is er verantwoordelijk voor. Bestuurders moeten bovendien getraind worden. Voor een familiebedrijf in transport of een regionale postoperator is dit vaak de eerste keer dat een directeur formeel verantwoordelijk is voor IT-risico.

Waar deze sectoren kwetsbaar zijn

Operationele technologie in afvalverwerking wordt snel vergeten. Weegbruggen, perssturingen, stortgasmonitoring en fleettelematica hangen allemaal aan het netwerk. Een ransomware-aanval die de weegbrugfacturatie stillegt, legt dezelfde dag de inkomsten uit inzameling stil.

Bij post en koeriers zit de kwetsbaarheid in het sorteer- en trackingplatform. Veel koeriers draaien op één SaaS-leverancier. Valt die uit, dan valt het depot stil. Dat is een toeleveringsketenvraag onder artikel 21, lid 2, onder d, en het eerste wat een klantvragenlijst toetst.

Beide sectoren leunen ook op onderaannemers: zzp-koeriers, transportpartners, externe routeplanningstools. Een schriftelijke leverancierslijst met beveiligingsafspraken in het contract is goedkoop en bestaat zelden. Ons artikel over NIS2 en toeleveringsketenbeveiliging laat zien hoe u die opbouwt.

Incidentmelding werkt hetzelfde

Een significant incident vraagt om een vroegtijdige waarschuwing binnen 24 uur, een incidentmelding binnen 72 uur en een eindverslag binnen een maand (artikel 23). Klanten hebben meestal geen proces voor het eerste uur, laat staan de eerste dag. Een korte tabletop-oefening rond de meldtermijnen loont hier direct.

Boetes voor belangrijke entiteiten

Artikel 34 van de richtlijn stelt voor belangrijke entiteiten een maximum van ten minste €7 miljoen of ten minste 1,4% van de totale wereldwijde jaaromzet, het hoogste telt. Dit zijn plafonds uit de richtlijn; de nationale wet bepaalt de definitieve bedragen. Het volledige beeld staat in ons artikel over NIS2-boetes.

Per land verschilt de status

De richtlijn is overal gelijk, maar de verplichtingen van uw klant hangen af van de nationale wet en toezichthouder. In Nederland geldt de Cbw sinds 15 augustus 2026. Andere lidstaten lopen achter. Heeft uw klant vestigingen in Duitsland, België of Spanje, toets dan de actuele stand per land. De Europese implementatietijdlijn is een goed startpunt.

Een praktische volgorde voor deze klanten

Begin met de scope. Schrijf een memo van één pagina met de sectorcategorie, de toets op de voornaamste economische activiteit bij afval, de groottecijfers en de conclusie. Toezichthouders én klanten vragen precies dit.

Voer daarna een gap-analyse uit op de tien maatregelen en geef voorrang aan leveranciersoverzicht, incidentcontacten en het testen van back-ups. De meeste afval- en postklanten zijn daar het zwakst. Wilt u snel een nulmeting, dan geeft de quick scan van NIS2Certify een readiness-assessment dat u in één gesprek met de klant doorloopt.

Leg tot slot de incidentklok op papier: wie bepaalt wat significant is, wie belt de toezichthouder en wie schrijft de melding van 72 uur. Een getest plan van één pagina wint het van een beleidsdocument van 40 pagina's dat niemand leest.

Scope hangt af van de entiteit, het land en de feiten. Uw taak is de beslissing verdedigbaar te maken. Wat de chemische sector consultants leerde: Annex II-scopevragen worden gewonnen met documentatie, niet met aannames. Voor een eerste algemene check: geldt NIS2 voor mijn organisatie.