← Alle artikelen

NIS2 Frankrijk: vallen advocatenkantoren eronder?

Gepubliceerd op 16 oktober 2026 · 9 min lezen · CyberNovaLabs.io

Juridische dienstverlening staat niet in bijlage I of II van NIS2, en Frankrijk was op 16 oktober 2026 nog niet klaar met de omzetting. Toch komt de richtlijn binnen via de toeleveringsketen van clienten die eronder vallen, via de AVG en via CARPA-fraude. Wat vandaag geldt, en in welke volgorde u handelt.

Het korte antwoord

Nee. Een advocatenkantoor in Frankrijk valt op grond van zijn eigen activiteit niet onder NIS2: de bijlagen I en II van richtlijn (EU) 2022/2555 noemen achttien sectoren, en juridische dienstverlening staat er niet bij^[5]. Daar komt de agenda nog bij. Op 16 oktober 2026 is Frankrijk nog niet klaar met de omzetting. Het wetsvoorstel over de weerbaarheid van kritieke infrastructuur en de versterking van cyberbeveiliging werd op 15 oktober 2024 bij de Senaat ingediend, op 12 maart 2025 in eerste lezing door de Senaat aangenomen, en de tekst van de bijzondere commissie ligt sinds 10 september 2025 bij de Assemblée nationale^[3][4]. De ANSSI zegt zelf dat het wetgevende en regelgevende werk nog moet gebeuren^[1].

Goed nieuws is dat niet. NIS2 komt bij een kantoor binnen via de achterdeur: uw cliënten die er wél onder vallen moeten hun toeleveringsketen op orde brengen, en u bent een leverancier met hun gevoeligste dossiers in huis. Dit artikel scheidt wat u vandaag kunt worden tegengeworpen van wat straks via het contract komt.

Valt u eronder? De toetsen, op volgorde

Drie vragen, in deze volgorde. Is het antwoord drie keer nee, dan richt de directe NIS2-verplichting zich niet op u.

1. Staat uw activiteit in een van de achttien sectoren van bijlage I of II? Energie, vervoer, bankwezen, infrastructuur van de financiële markt, gezondheidszorg, drinkwater, afvalwater, digitale infrastructuur, beheer van ICT-diensten (B2B), openbaar bestuur, ruimtevaart; en verder post en koeriers, afvalbeheer, chemie, levensmiddelen, de maakindustrie, digitale aanbieders en onderzoeksinstellingen^[5]. "Juridische dienstverlening" ontbreekt.
2. Doet u naast de advocatuur iets wat wél op de lijst staat? Een kantoor dat de IT van andere entiteiten zelf host en beheert, of een managed IT-dienst verkoopt, moet naar de categorie "beheer van ICT-diensten (B2B)" van bijlage I kijken^[5]. Dat is de valkuil voor kantoren die hun IT over meerdere entiteiten hebben samengevoegd.
3. Haalt u de omvangdrempels? De richtlijn gaat uit van de omvang van de entiteit volgens de Europese mkb-aanbeveling, en daaruit volgt of u essentieel of belangrijk bent^[5]. Deze vraag komt alleen op als een van de eerste twee antwoorden ja is.

NIS2 Frankrijk en het advocatenkantoor: waar de wet echt staat

"NIS2 geldt al sinds oktober 2024" is voor Frankrijk onjuist. De lidstaten moesten de richtlijn omzetten; Frankrijk zet drie Europese instrumenten in één wet om — de REC-richtlijn over de weerbaarheid van kritieke entiteiten, NIS2, en het DORA-deel voor de financiële sector^[2]. Zolang de wet niet is afgekondigd en de uitvoeringsbesluiten niet zijn gepubliceerd, is er geen entiteitenlijst, geen handhaafbare registratietermijn en geen in Frans recht toepasbaar boetekader^[1].

Wat er wél is, kunt u vandaag gebruiken:

• het Référentiel Cyber France (ReCyF), dat de ANSSI sinds 17 maart 2026 beschikbaar stelt^[1];
• MonEspaceNIS2 met de bereiksimulator, en een vrijwillige voorregistratie voor toekomstige entiteiten^[1][10].

De winst van ReCyF voor een kantoor is niet naleving, maar taal. Uw cliënten die eronder vallen stellen hun vragen in die termen, en een kantoor dat in hetzelfde kader antwoordt, doet een leveranciersvragenlijst in twee uur in plaats van twee weken.

De drie deuren waardoor NIS2 toch binnenkomt

1. De beveiligingsvragenlijst van uw cliënt

NIS2 verplicht entiteiten binnen het bereik om de beveiliging van hun toeleveringsketen en de kwaliteit van hun directe leveranciers aan te pakken^[5]. Een kantoor dat een kliniek, een vervoerder, een fabrikant of een aanbieder van digitale infrastructuur bijstaat, is een directe leverancier met procesdossiers, due diligence, contracten en personeelsgegevens in beheer. De verplichting is niet de uwe; de clausule die hem doorschuift wel. Die komt in de beveiligingsbijlage van uw opdrachtcontract, niet in een brief van de ANSSI.

2. De AVG, die niet op NIS2 wacht

Een kantoor verwerkt persoonsgegevens, soms gevoelige, voor cliënten, dossiers en eigen personeel. Bij een inbreuk is de hoofdregel: melden bij de CNIL binnen 72 uur nadat u ervan kennis hebt genomen, en de betrokkenen informeren als het risico hoog is^[9]. De CNIL en de Conseil national des barreaux verlengden hun samenwerking op 17 juli 2025 voor drie jaar, juist over AVG-naleving, cyberrisicobeheer en de invoering van juridische analysetools met kunstmatige intelligentie^[8].

3. De beroepsgeheimhouding, die geen beveiligingsmaatregel is

Het beroepsgeheim van de Franse advocaat dekt adviezen, correspondentie met de cliënt, gespreksnotities en dossierstukken. Het houdt ook stand bij controle: een organisatie kan het beroepsgeheim niet inroepen om toezichthouders van de CNIL de toegang te weigeren, behalve waar het gaat om correspondentie tussen advocaat en cliënt^[9]. Maar dat regime beschermt informatie; het versleutelt geen back-up en ziet geen exfiltratie. Ransomware die een dossier publiceert, schendt het beroepsgeheim niet — het maakt het zinloos.

Wat een Frans kantoor echt raakt

De Conseil national des barreaux zette op 27 augustus 2026 de dreigingen op een rij die kantoren daadwerkelijk treffen; dat is bruikbaarder dan een algemene audit^[6].

Dreiging	Waar het op mikt in een kantoor	De maatregel van het CNB[6][7]
Phishing	De mailbox van een partner, en daarna de lopende maildraad in een dossier	Afzenderadres controleren, links eerst aanwijzen, bijlagen scannen met bijgewerkte antivirus
Ransomware	Stilstand van het kantoor voor onbepaalde tijd en direct financieel verlies	MFA, regelmatige back-ups waarvan één offline, updates, antivirus en firewall op elk toestel, beperkte beheerdersrechten
Fraude met gewijzigde bankgegevens en CARPA-overboekingen	De cliëntgelden die het kantoor beheert	Elke wijziging van bankgegevens via een tweede kanaal verifiëren, nooit alleen per e-mail; bankgegevens via e-Partage sturen
FOVI ("CEO-fraude")	Een dringende betaalopdracht die van een partner lijkt te komen	Tweede verificatiekanaal en beveiligde zakelijke mail voor gevoelige uitwisselingen

De eerste vijf acties

1. Doe de bereiksimulatie en leg de uitkomst vast. Eén gedateerde pagina, ondertekend door de verantwoordelijke partner: activiteit niet genoemd in bijlage I of II, dus buiten het directe bereik; of ICT-activiteit als nevenactiviteit, dus uitzoeken. Die pagina is het eerste stuk dat een cliënt binnen het bereik opvraagt.
2. Zet MFA aan op mail, dossierkluis en toegang op afstand. Het is de eerste maatregel die het CNB tegen ransomware noemt^[6], en de enige die de keten phishing - account - dossier doorbreekt.
3. Haal één back-up van het netwerk af en test dit kwartaal het terugzetten. Offline, echt teruggezet, met de testdatum op papier^[6].
4. Schrijf de procedure "wijziging bankgegevens" en pas die toe op CARPA-overboekingen. Tweede kanaal verplicht, geen goedkeuring op een e-mail alleen, en een bevestigingsmail is geen verificatie^[6].
5. Maak uw antwoordblad voor leveranciersvragenlijsten. Hosting en locatie van de gegevens, subverwerkers, MFA, back-ups, logging, meldtermijn, contactpersoon bij incidenten. Eén keer geschreven, voor elke cliënt te gebruiken.

De mechaniek van zo'n cliëntvragenlijst is voor een advocatenkantoor dezelfde als voor een accountantskantoor: zie NIS2 Frankrijk: vallen accountantskantoren eronder?. En wilt u het vergelijken met een land dat zijn wet al heeft, lees dan NIS2 Nederland: valt een advocatenkantoor onder de Cbw? — dat verschil in timing verandert het gesprek met een Nederlandse cliënt.

Bij CyberNovaLabs.io

Begin met de gratis tools: de NIS2-check zegt u in een paar vragen of uw organisatie binnen het bereik valt, en de e-mailbeveiligingscheck test SPF, DKIM en DMARC op uw domein — de ingang voor alle vier de dreigingen in de tabel hierboven. De regelgevende deadlines houden we land per land bij, Frankrijk inbegrepen, op onze pagina cyberbeveiliging.

Wij werken ook aan de kant vóór dat alles: wil uw kantoor bedrijfsjuristen en directeuren spreken, dan loopt onze dienst B2B-afspraken laten maken zonder looptijdverplichting, per afspraak of tegen een vast bedrag, met kwalificatiecriteria die vóór de start op papier staan. Tarieven op aanvraag.

Twintig minuten over uw kantoor

Bronnen

1. ANSSI - La directive NIS 2
2. Senat - Projet de loi resilience des infrastructures critiques et renforcement de la cybersecurite (la loi en clair)
3. Senat - Dossier legislatif PJL n 24-033
4. Assemblee nationale - Dossier legislatif (17e legislature)
5. EUR-Lex - Directive (UE) 2022/2555 (NIS 2), annexes I et II
6. Conseil national des barreaux - Menaces cyber : le CNB fait le point (27/08/2026)
7. Conseil national des barreaux - La securite numerique du cabinet d'avocat (guide)
8. CNIL - La CNIL et le Conseil national des barreaux renouvellent leur partenariat (17/07/2025)
9. CNIL - Violations de donnees personnelles : les regles a suivre
10. ANSSI - MesServicesCyber, NIS 2

Lees ook