NIS2 in Cyprus: bepaal of uw onderneming een essentiële of belangrijke entiteit is

Begin bij de in 2025 gewijzigde Cypriotische wet

Cyprus heeft NIS2 omgezet door de wet inzake de beveiliging van netwerk- en informatiesystemen 89(I)/2020 in 2025 te wijzigen. Beoordeel een Cypriotische onderneming aan de hand van de geconsolideerde nationale tekst, vooral artikelen 2A, 27, 35, 35A en 35B en bijlagen I en II. De EU-richtlijn beschrijft het raamwerk, maar geeft niet op iedere nationale vraag over werkingssfeer, autoriteitsprocedure of meldtermijn een volledig antwoord. De autoriteit voor digitale veiligheid identificeert en wijst essentiële en belangrijke entiteiten aan. Bewaar een gedateerde versie van de toepasselijke wet, de gebruikte bijlagen en correspondentie met de autoriteit in een controleerbaar dossier.

De eerste vraag is niet of de vennootschap een IT-afdeling heeft of persoonsgegevens bewaart. Onderzoek eerst of de feitelijke dienst of activiteit onder een vermelde soort entiteit valt en daarna of omvang of uitzondering haar binnen het bereik brengt. Een gewone winkel die cloudsoftware gebruikt, is hierdoor niet zelf een aanbieder van cloudcomputingdiensten. Een managed service provider die systemen van klanten beheert, moet NIS2 niet enkel wegens weinig eigen werknemers wegstrepen. Beschrijf wat voor anderen wordt gedaan, welke contracten dat regelen en welke rechtspersoon de dienst levert. Een onderneming met verschillende bedrijfslijnen moet de activiteiten afzonderlijk in kaart brengen.

Classificatie is een juridische beoordeling, geen beveiligingscertificaat. Een bedrijf buiten NIS2 kan nog steeds verplichtingen uit AVG, sectorspecifiek recht, overeenkomsten of regels voor productbeveiliging hebben. Een gedekte entiteit heeft omgekeerd werkend risicobeheer en incidentmeldingen nodig, niet alleen een memo waarin het woord „essentieel” staat. Deze gids behandelt de werkingssfeer en eerste stappen. Een fabrikant van verbonden software moet de Cyber Resilience Act daarnaast afzonderlijk beoordelen; de NIS2-status vervangt die producttoets niet. Noteer de grenzen van uw onderzoek uitdrukkelijk, zodat het bestuur een beperkte conclusie niet als algemene goedkeuring voor alle cyberregels beschouwt.

Lees ook: gids over de Cyber Resilience Act.

Grondslag en toelichting: Cypriotische wet inzake de beveiliging van netwerk- en informatiesystemen 89(I)/2020, geconsolideerde Griekse tekst; Autoriteit voor digitale veiligheid: bericht over de Cypriotische NIS2-omzetting; Richtlijn (EU) 2022/2555 (NIS2), artikelen 2, 3, 21 en 23 en bijlagen I en II

Koppel de werkelijke dienst aan de exacte vermelding in een bijlage

Bijlage I omvat zeer kritieke sectoren zoals energie, vervoer, banken, financiëlemarktinfrastructuur, gezondheidszorg, drinkwater, afvalwater, digitale infrastructuur, B2B-beheer van ICT-diensten, overheid en ruimtevaart. Bijlage II bevat andere kritieke sectoren, waaronder post- en koeriersdiensten, afvalbeheer, chemische stoffen, bepaalde voedselproductie en groothandel, specifieke industrie, digitale aanbieders en onderzoek. Achter iedere brede titel staan nauwere definities van soorten entiteiten. Citeer in het classificatiememo de exacte rij en activiteit, niet enkel een algemeen woord als „gezondheid”, „technologie” of „logistiek”. Een marketingomschrijving kan niet de wettelijke afbakening vervangen.

Bijlage I noemt onder meer aanbieders van cloudcomputing en datacentra, DNS-diensten, managed services en managed security services. Toets die begrippen aan wat de rechtspersoon feitelijk aanbiedt, welke systemen zij beheert, aan de contracten en aan de klantenkring. Een softwareleverancier die alleen een app verkoopt, is niet automatisch een managed security provider; een bedrijf dat netwerken van klanten beheert, kan dat wel zijn. De voedselvermelding in bijlage II ziet op bepaalde groothandelsdistributie en industriële productie of verwerking, niet op elk café. De grenzen van de entiteitsoort zijn even belangrijk als de naam van de sector.

Maak per Cypriotische rechtspersoon een dienstenkaart met het aanbod, klanten, contractspartij, infrastructuur, uitbestede operators, locaties en bediende lidstaten. Een groep mag een gedeeld handelsmerk niet verwarren met één juridische entiteit. Een groepsmaatschappij kan zelf een gedekte ICT-dienst leveren, terwijl een zustermaatschappij deze alleen inkoopt. Een hybride bedrijf kan door één kleine dienst binnen het bereik vallen, ook wanneer de meeste omzet elders vandaan komt. Bewaar tevens de redenen waarom andere bijlagerijen niet passen. Bij een overname, nieuwe clouddienst of veranderd exploitatiemodel kunt u dan gericht opnieuw beoordelen.

Lees ook: Data Act-gids over cloudwisseling.

Grondslag en toelichting: Cypriotische wet inzake de beveiliging van netwerk- en informatiesystemen 89(I)/2020, geconsolideerde Griekse tekst; Richtlijn (EU) 2022/2555 (NIS2), artikelen 2, 3, 21 en 23 en bijlagen I en II

Pas de omvangsregel en uitzonderingen afzonderlijk toe

Artikel 2A, lid 1, ziet in beginsel op entiteitsoorten uit bijlage I of II die volgens EU-aanbeveling 2003/361/EG middelgrote ondernemingen zijn of de bovengrens voor middelgrote ondernemingen overschrijden en binnen de Unie actief zijn. Die aanbeveling werkt met werknemers en financiële criteria. De berekening vergt aandacht voor partner- en verbonden ondernemingen; enkel het aantal medewerkers op de Cypriotische loonlijst kan misleidend zijn. Verzamel het recente personeelsbestand, omzet, balanstotaal en eigendomsstructuur en leg de berekening vast. De Cypriotische wet bevat een specifieke regel dat artikel 3, lid 4, van de bijlage bij de aanbeveling niet van toepassing is; controleer deze nuance bij publiek gecontroleerde structuren.

Kleine omvang is geen universele vrijstelling. Artikel 2A, lid 2, noemt routes ongeacht omvang voor bepaalde openbare elektronische communicatie, vertrouwensdiensten, TLD-registers en DNS-aanbieders. Ook een unieke aanbieder van een essentiële dienst of een entiteit waarvan uitval ernstige gevolgen voor openbare veiligheid, orde, gezondheid of systemische en regionale risico’s kan hebben, kan eronder vallen. Andere leden behandelen overheden, als kritiek geïdentificeerde entiteiten en domeinnaamregistratiediensten. Loop iedere relevante route afzonderlijk na en noteer waarom zij wel of niet geldt. Een kleine dienstverlener voor kritieke klanten kan niet uitsluitend naar het aantal eigen werknemers kijken.

Omgekeerd wordt niet iedere leverancier aan een ziekenhuis automatisch een essentiële zorgentiteit. De eigen activiteit van de leverancier moet aan de bijlage worden getoetst; zij kan mogelijk via ICT-beheer of een andere rij kwalificeren. Vertrouw noch op een verkooppraatje „te klein voor NIS2” noch op een buitenlandse online calculator zonder nationale toets. Herzie de beoordeling na een fusie, nieuwe dienstverlening, nieuwe markt of wezenlijke groei. Een gedateerd besluit met cijfers, bewijs en redenen voor afgewezen uitzonderingsroutes is bij latere vragen van de autoriteit waardevoller dan een permanent ja/nee-veld in een CRM.

Lees ook: DSA-gids voor platforms.

Grondslag en toelichting: Cypriotische wet inzake de beveiliging van netwerk- en informatiesystemen 89(I)/2020, geconsolideerde Griekse tekst; Aanbeveling 2003/361/EG van de Commissie over de definitie van kleine en middelgrote ondernemingen; Richtlijn (EU) 2022/2555 (NIS2), artikelen 2, 3, 21 en 23 en bijlagen I en II

Maak onderscheid tussen essentiële en belangrijke entiteiten

Artikel 27 kwalificeert bepaalde entiteiten van bijlage I boven de bovengrens voor middelgrote ondernemingen als essentieel. Het noemt daarnaast bijzondere categorieën, waaronder gekwalificeerde vertrouwensdienstaanbieders, TLD-registers en DNS-aanbieders ongeacht omvang, en bepaalde openbare elektronische communicatie, overheden en kritieke entiteiten. Andere gedekte entiteiten uit bijlage I of II die niet essentieel zijn, worden in beginsel belangrijk. Het onderscheid is dus niet simpelweg bijlage I tegenover bijlage II. Een middelgrote cloudprovider kan een belangrijke entiteit zijn tenzij een bijzondere grond tot essentiële status leidt. Controleer de specifieke criteria in plaats van alleen de sector.

De Cypriotische autoriteit kan entiteiten aanwijzen na een nationale beoordeling van kritikaliteit. Volgens artikel 27 wordt de nationale lijst via een vertrouwelijk besluit van de ministerraad goedgekeurd; de autoriteit betekent de aanwijzingsbeslissing aan de betrokken entiteit. De lijst is geen openbare zoekmachine. Als een bedrijf zijn naam niet op een website vindt, bewijst dat dus geen uitzondering. Bewaar betekende besluiten en correspondentie, vraag de autoriteit om richting waar de indeling onzeker is en publiceer geen officiële status die u niet kunt onderbouwen. Onderscheid een interne voorlopige classificatie van een daadwerkelijk nationaal besluit.

Essentiële en belangrijke entiteiten hebben beide kerntaken voor risicobeheer en melding van significante incidenten; hun toezicht verschilt. De autoriteit beschrijft voor essentiële entiteiten voorafgaand en achteraf toezicht, terwijl belangrijke entiteiten in beginsel achteraf worden gecontroleerd. Het bestuur moet daarom twee vragen beantwoorden: valt de rechtspersoon onder de wet, en welke classificatie volgt uit wet, aanwijzing of onderbouwde voorlopige analyse? Stel basale beveiligingsmaatregelen en meldgereedheid niet uit zolang een grensgeval nog wordt opgehelderd. Geef het memo een eigenaar, datum, bronverwijzingen en concrete gebeurtenissen die een nieuwe beoordeling vereisen.

Grondslag en toelichting: Cypriotische wet inzake de beveiliging van netwerk- en informatiesystemen 89(I)/2020, geconsolideerde Griekse tekst; Richtlijn (EU) 2022/2555 (NIS2), artikelen 2, 3, 21 en 23 en bijlagen I en II

Informeer de autoriteit over nieuwe of eerder gemiste entiteiten

De geconsolideerde Cypriotische wet verlangt dat de autoriteit een lijst van essentiële en belangrijke entiteiten en bepaalde domeinnaamregistratiediensten opstelt en periodiek bijwerkt. Artikel 27, lid 4, betreft gegevens als naam, adres, actuele contactpunten, de toepasselijke sector en subsector van een bijlage en de lidstaten waar de dienst wordt geleverd. Veranderingen in eerder verstrekte gegevens moeten zonder uitstel en in ieder geval binnen twee weken worden gemeld. Houd een beheerd contactregister bij. Een gewijzigd e-mailadres, een nieuwe lidstaat of een reorganisatie mag niet in een algemene inbox verdwijnen terwijl de autoriteit verouderde gegevens heeft.

Artikel 27B bepaalt specifiek dat pas opgerichte en nog niet opgenomen entiteiten die binnen artikel 2A vallen de autoriteit informeren voor beoordeling. Artikel 27A voorziet daarnaast in vroeg contact door nieuwe mogelijk essentiële of belangrijke entiteiten om advies of richting over beveiligingsmaatregelen tijdens de inrichting van hun IT-infrastructuur te vragen. Een startup die een gedekte dienst lanceert, moet niet wachten tot een onverwachte aanwijzingsbrief na voltooiing van het platform binnenkomt. Vind het actuele officiële contactkanaal, beschrijf de dienst nauwkeurig en bewaar verzendbewijs, bijlagen en antwoord. Maak hiervan geen verzonnen universele registratieplicht voor ieder bedrijf.

Verzin geen algemene harde registratietermijn en gebruik geen loket van een andere lidstaat. Controleer de actuele mededelingen en besluiten van de Cypriotische autoriteit op het moment van contact. De landenpagina van de Europese Commissie noemt de Cypriotische autoriteit als aanspreekpunt, maar een algemene voortgangsindicator vervangt de latere geconsolideerde nationale wet niet. Dit is van belang als een oude Europese status nog een procedure rond omzetting beschrijft. Leg in het dossier vast wat u hebt gevraagd, welke informatie is verstrekt en welk antwoord is ontvangen. Intussen blijft eigen proportionele voorbereiding noodzakelijk.

Grondslag en toelichting: Cypriotische wet inzake de beveiliging van netwerk- en informatiesystemen 89(I)/2020, geconsolideerde Griekse tekst; Autoriteit voor digitale veiligheid: bericht over de Cypriotische NIS2-omzetting; Europese Commissie: NIS2-uitvoering op Cyprus en autoriteitscontact

Maak van de classificatie een door het bestuur gedragen programma

Artikel 35 verlangt van gedekte entiteiten passende en evenredige technische, operationele en organisatorische maatregelen tegen risico’s voor netwerk- en informatiesystemen en gevolgen voor afnemers. Het noemt risicoanalyse, incidentbehandeling, continuïteit en herstel, ketenbeveiliging, veilige aanschaf en ontwikkeling, kwetsbaarheidsbeheer, toetsing van doeltreffendheid, cyberhygiëne en opleiding, cryptografie, toegangs- en activabeheer en multifactorauthenticatie of voortdurende authenticatie. Inventariseer eerst de concrete dienst, systemen, leveranciers en uitvalscenario’s. Een generiek pakket met het opschrift „NIS2-compliant” toont niet aan dat de maatregelen bij deze organisatie nodig zijn of daadwerkelijk werken.

Artikel 35A laat het bestuursorgaan de risicobeheersmaatregelen goedkeuren en toezicht houden en verlangt opleiding voor bestuur en regelmatige opleiding voor medewerkers. Zet cyberrisico op de bestuursagenda met een verantwoordelijke, budget, besluitenlogboek en meetbare hersteldata. Vraag of reservekopieën werkelijk zijn teruggezet, kritieke leveranciers incidenten doorgeven, bevoorrechte accounts sterke verificatie hebben en een bereikbaar team juridisch over melding kan beslissen. Een bibliotheek van beleidsdocumenten zonder geteste uitvoering is zwakker bewijs dan aantoonbaar werkende controles. Pas het programma aan risico, dienstverlening en toepasselijke besluiten van de autoriteit aan.

Bij een bedrijf dat ook onder sectorspecifieke regels valt, breng eisen in kaart in plaats van automatische verdringing aan te nemen. Een financiële onderneming kan DORA-verplichtingen hebben, een verwerkingsverantwoordelijke AVG-datalekmeldingen en een fabrikant van verbonden producten afzonderlijke productbeveiligingsplichten. Artikel 2A bevat bovendien een speciale regel voor EU-sectorwetgeving met minstens gelijkwaardig resultaat; toets de voorwaarden ervan. Hetzelfde incident kan meer dan één wettelijke klok activeren. Wijs per regeling een juridisch eigenaar aan en koppel alle toetsen aan één technisch feitenlogboek, zodat teams de overlap niet pas tijdens systeemuitval ontdekken.

Lees ook: AVG-gids voor datalekken.

Grondslag en toelichting: Cypriotische wet inzake de beveiliging van netwerk- en informatiesystemen 89(I)/2020, geconsolideerde Griekse tekst; Richtlijn (EU) 2022/2555 (NIS2), artikelen 2, 3, 21 en 23 en bijlagen I en II

Richt incidenttriage op de Cypriotische meldklok in

Artikel 35B beschouwt een incident onder meer als significant wanneer het ernstige of mogelijke operationele verstoring of financieel verlies veroorzaakt, of aanzienlijke materiële of immateriële schade voor anderen. Essentiële en belangrijke entiteiten moeten de autoriteit zonder onnodige vertraging en in ieder geval binnen zes uur na bewustwording van een significant incident vroegtijdig waarschuwen. Daarna volgt in beginsel een incidentmelding binnen 72 uur met een eerste beoordeling en een eindverslag doorgaans binnen één maand na die melding. Voor relevante incidenten bij gekwalificeerde vertrouwensdienstaanbieders bestaat een bijzondere route van 24 uur. Controleer actuele besluiten over formaat, kanaal en sectorspecifieke instructies.

De nationale termijn van zes uur wordt gemakkelijk gemist omdat Europese NIS2-samenvattingen vaak 24 uur noemen. Een draaiboek voor een Cypriotische entiteit moet de geldende nationale tekst en eventuele speciale regels volgen. Regel bereikbaarheid van technische en juridische verantwoordelijken buiten kantooruren, alternatieve communicatiekanalen en een persoon die de meldingsdrempel kan beslissen. Noteer bewustwordingstijd, getroffen dienst, tot dan bekende gevolgen en onzekerheden. Een volledige forensische oorzakenanalyse is niet nodig voor de eerste waarschuwing. Wie op volledige zekerheid wacht, kan de wettelijke periode verbruiken voordat de melding is verzonden.

Niet ieder malwarealarm is een significant incident in de zin van artikel 35B. Een gebeurtenis met persoonsgegevens kan daarnaast onder de AVG of een contract meldingsplichtig zijn, zelfs als zij de NIS2-drempel niet haalt. Leg de getroffen dienst, daadwerkelijke en mogelijke verstoring, klanten of derden, grensoverschrijdende gevolgen, bewustwordingstijd en reden van het besluit vast. Artikel 35B behandelt ook informatie aan afnemers van diensten waar passend. Oefen een incident ’s nachts: kan het team classificeren, goedkeuren en via het juiste kanaal verzenden zonder op de volgende werkdag te wachten? Een correcte entiteitsclassificatie zonder tijdige gebeurtenisbeoordeling is geen afgerond programma.

Grondslag en toelichting: Cypriotische wet inzake de beveiliging van netwerk- en informatiesystemen 89(I)/2020, geconsolideerde Griekse tekst; Richtlijn (EU) 2022/2555 (NIS2), artikelen 2, 3, 21 en 23 en bijlagen I en II

Sluit de beoordeling af met een navolgbaar beslisdossier

Een verdedigbaar NIS2-memo heeft vijf bijlagen: de exacte bijlagerij en dienstbeschrijving, de omvangsberekening inclusief eigendomsverhoudingen, de toets van iedere relevante route ongeacht omvang, correspondentie of aanwijzing van de autoriteit en een door het bestuur goedgekeurd actieplan. Dateer de bronnen en identificeer de gebruikte versie van de Cypriotische wet. Luidt de conclusie buiten bereik, benoem de feiten die dat kunnen veranderen, zoals starten met managed services, overschrijding van de omvangsgrens of nationale kritieke aanwijzing. Zo wordt een latere toets sneller en hangt zij niet af van het geheugen van één compliancefunctionaris.

Test grensgevallen met echte overeenkomsten. Een bedrijf dat boekhoudsoftware alleen in licentie geeft heeft een ander profiel dan een bedrijf dat klantnetwerken als managed service exploiteert. Een privékliniek kan met de eigen zorgdienst onder bijlage I vallen; de uitbestede cloudleverancier wordt afzonderlijk op eigen activiteit, omvang en uitzonderingen beoordeeld. Een levensmiddelengroothandel kan onder bijlage II vallen, een klein café niet automatisch. Dit zijn onderzoekssituaties en geen categorische antwoorden. De wettelijke definities, dienstverlening, groepsgegevens en eventuele nationale aanwijzing bepalen het resultaat. Leg ook tegenargumenten vast voordat u het dossier ondertekent.

Laat juridische zaken, beveiliging, uitvoering en de zakelijke dienstverantwoordelijke samen de dienstbeschrijving en uitzonderingen kritisch testen. Neem contact op met de autoriteit als identificatie of kennisgevingsplicht onzeker blijft. Plan jaarlijkse en gebeurtenisgestuurde herbeoordeling, met een bestuurlijk eigenaar voor controles als de onderneming binnen bereik valt. Vermijd openbare claims dat een bedrijf „NIS2-gecertificeerd” is: de wet schept verplichtingen en toezicht, geen universeel certificaat. Operationeel telt of de juiste rechtspersoon is geïdentificeerd, de autoriteit waar vereist is geïnformeerd en controles en meldingsproces bij een toets aantoonbaar functioneren.

Lees ook: gids over contracten bij cloudwisseling.

Grondslag en toelichting: Cypriotische wet inzake de beveiliging van netwerk- en informatiesystemen 89(I)/2020, geconsolideerde Griekse tekst; Aanbeveling 2003/361/EG van de Commissie over de definitie van kleine en middelgrote ondernemingen; Europese Commissie: NIS2-uitvoering op Cyprus en autoriteitscontact

Primaire bronnen en toepassingsgebied

Bronnen gecontroleerd: 8 oktober 2026. Deze gids betreft de Republiek Cyprus. Voorbeelden zijn hypothetisch en geen klantendossiers. Controleer de actuele officiële vereisten voordat u een aanvraag indient.

• Cypriotische wet inzake de beveiliging van netwerk- en informatiesystemen 89(I)/2020, geconsolideerde Griekse tekst
• Autoriteit voor digitale veiligheid: Engelse geconsolideerde wet 89(I)/2020 met wijziging 60(I)/2025
• Richtlijn (EU) 2022/2555 (NIS2), artikelen 2, 3, 21 en 23 en bijlagen I en II
• Aanbeveling 2003/361/EG van de Commissie over de definitie van kleine en middelgrote ondernemingen
• Autoriteit voor digitale veiligheid: bericht over de Cypriotische NIS2-omzetting
• Europese Commissie: NIS2-uitvoering op Cyprus en autoriteitscontact

Praktische gidsen over dit onderwerp

• DORA-contracten met ICT-dienstverleners in Cyprus: checklist artikel 30

  Praktische toets van DORA-artikel 30 voor Cypriotische financiële entiteiten: basisclausules, kritieke functies, onderuitbesteding, exit en CySEC-register.