← Alle artikelen

NIS2 Frankrijk: valt de bouw eronder?

Gepubliceerd op 21 oktober 2026 · 9 min lezen · CyberNovaLabs.io

De bouwafdelingen 41, 42 en 43 staan in geen enkele NIS2-bijlage, en op 21 oktober 2026 heeft Frankrijk geen omzettingswet. Maar afdeling 33 staat er wel in, uw Franse activiteitencode wijzigt op 1 januari 2027, en overboekingsfraude steeg in 2025 met 93%. Wat echt telt voor een bouwbedrijf.

Het korte antwoord

Nee, in verreweg de meeste gevallen niet. De bouw staat niet in bijlage I en niet in bijlage II van richtlijn (EU) 2022/2555: de afdelingen 41 (algemene burgerlijke en utiliteitsbouw), 42 (grond-, water- en wegenbouw) en 43 (gespecialiseerde bouw) ontbreken daar simpelweg^[1]. Een hoofdaannemer, een metselaar, een dakdekker, een grondverzetbedrijf, een installateur of een elektricien in de bouw is dus geen essentiële of belangrijke entiteit vanwege zijn vak.

Daar komt een Franse kalenderkwestie bij. Op 21 oktober 2026, twee jaar na de Europese deadline van 17 oktober 2024, heeft Frankrijk nog altijd geen NIS2-wet. Het wetgevingsdossier van de Assemblée nationale toont geen plenaire behandeling: de laatste geregistreerde stap is het indienen van de tekst van de bijzondere commissie op 10 september 2025^[2]. Het wetsvoorstel werd op 15 oktober 2024 bij de Sénat ingediend en daar in eerste lezing aangenomen^[3]; de behandeling die voor 7 en 9 oktober 2026 was aangekondigd, ging niet door. Zolang de wet niet is afgekondigd en de uitvoeringsbesluiten niet zijn gepubliceerd, bestaat er in het Franse recht geen lijst van aangewezen entiteiten, geen afdwingbare registratietermijn en geen boetekader^[4].

Drie zaken raken u nu al wel: de activiteitencode die uw positie bepaalt, de beveiligingsvragenlijsten van uw opdrachtgevers, en betalingsfraude op uw maandelijkse termijnstaten. Deze gids over NIS2 in de bouw in Frankrijk behandelt ze in die volgorde.

Valt u eronder? Vier vragen op volgorde

Stel ze in deze volgorde en stop bij het eerste "ja".

1. Hoort uw hoofdactiviteit bij een van de achttien sectoren uit de bijlagen? Energie, vervoer, bankwezen, financiële marktinfrastructuur, gezondheidszorg, drinkwater, afvalwater, digitale infrastructuur, ICT-dienstenbeheer (B2B), overheid, ruimtevaart, en verder post, afvalbeheer, chemie, levensmiddelen, vervaardiging, digitale aanbieders en onderzoek^[1]. "Bouw" staat er niet tussen.
2. Exploiteert u, of bouwt u alleen? Een wegenbouwer die in concessie een afvalwaterzuivering, een warmtenet of een elektriciteitsnet exploiteert, komt binnen via bijlage I: exploiteren is iets anders dan bouwen^[1].
3. Heeft u een digitale dochteronderneming? Een bouwgroep die de IT van andere bedrijven host of beheert, of een managed IT-dienst verkoopt, moet de categorie "ICT-dienstenbeheer (B2B)" uit bijlage I lezen^[1].
4. Haalt u de omvangdrempels? De indeling als essentiële of belangrijke entiteit hangt af van de omvang van de entiteit volgens de Europese mkb-definitie^[1]. Die vraag is pas zinvol als u hierboven "ja" antwoordde.

De valkuil van de code: 43 is geen 33

Dit is de duurste leesfout in de sector. Bijlage II dekt niet "de industrie" als geheel, maar een gesloten lijst afdelingen: 26 computers en elektronische en optische producten; 27 elektrische apparatuur; 28 machines en apparaten; 29 auto's; 30 overige transportmiddelen; 31 meubels; 32 overige vervaardiging; en 33, reparatie en installatie van machines en apparaten — plus de vervaardiging van medische hulpmiddelen^[1].

Lees afdeling 33 goed. Een bedrijf dat industriële machines op locatie installeert en onderhoudt, valt onder bijlage II. Precies hetzelfde werk, gefactureerd door een elektrotechnisch installatiebedrijf (43.21) of een klimaatinstallateur (43.22), valt er niet onder. Twee bedrijven die naast elkaar op dezelfde bouwplaats werken, kunnen dus aan weerszijden van de grens belanden, alleen door hun hoofdactiviteitencode.

Nog een reflex die niet klopt: prefab. Het maken van prefab wanden, kanaalplaatvloeren, betonmortel of bouwmaterialen valt onder afdeling 23, overige niet-metaalhoudende minerale producten, die niet in de lijst van bijlage II staat^[1]. Een prefabfabriek komt langs die weg niet binnen.

Twee activiteiten die vaak in een bouwgroep zitten, brengen u er wél in. Afvalbeheer, bijlage II, voor de dochter die een sorteer- of recyclinglocatie voor bouwafval als zelfstandige activiteit exploiteert. En afvalwater of energie, bijlage I, voor de entiteit met een netconcessie^[1].

Activiteit	Afdeling	In de NIS2-bijlagen?
Utiliteitsbouw, grond- en wegenbouw, gespecialiseerde bouw	41, 42, 43	Nee[1]
Prefab beton, bouwmaterialen	23	Nee[1]
Installatie en onderhoud van industriële machines	33	Ja, bijlage II[1]
Sorteren en recyclen van bouwafval als eigen activiteit	Afvalbeheer	Ja, bijlage II[1]
Exploitatie in concessie van een afvalwater- of warmtenet	Afvalwater, energie	Ja, bijlage I[1]

Uw Franse activiteitencode verandert op 1 januari 2027

Dit hele betoog rust op uw activiteitencode, en Frankrijk wisselt van nomenclatuur. NAF 2025 vervangt de versie van 2008, en de nieuwe APE-code wordt op 1 januari 2027 de officiële referentie; heel 2026 blijft alleen de huidige code officieel^[5]. Actieve rechtspersonen in het Sirene-register en hun vestigingen worden hercodeerd.

Het Franse statistiekbureau laat u uw toekomstige code nu al opzoeken met uw SIREN op sirene.gouv.fr, en sinds januari 2026 is er een online formulier om een herbeoordeling te vragen als de voorgestelde code niet bij uw echte activiteit past^[5][12]. Het bureau benadrukt dat de wijziging op zichzelf geen extra rechten of plichten schept. Toch zal de Franse omzettingswet straks sectoren aanwijzen — en de code die dan op u wordt toegepast, hoeft niet die van vandaag te zijn. Tien minuten controleren is beter dan een indeling ondergaan.

Wat u nu al kan worden tegengeworpen, zonder NIS2

1. De beveiligingsvragenlijst van uw opdrachtgever. Entiteiten die eronder vallen, moeten het risico van hun directe leveranciers beheersen. Dat doen ze via het contract, niet via de wet: meldplicht bij incidenten, tweefactorauthenticatie, een lijst met namen van wie toegang heeft, geteste back-ups. In de bouw landt dat eerst bij onderaannemers van publieke opdrachtgevers en netbeheerders. Niet antwoorden, of vaag antwoorden, kost u een aanbesteding, geen boete. Onze gids over de beveiligingsvragenlijst voor leveranciers geeft het stramien.

2. De AVG op uw bussen en bouwplaatsen. Dit is het meest onderschatte punt in de sector, want de bouw volgt zijn bedrijfswagens en machines met track-and-trace. De Franse toezichthouder stelt scherpe grenzen: voertuigvolgsystemen mogen niet dienen om snelheidsovertredingen te controleren of om een werknemer permanent te volgen, en wie het voertuig privé mag gebruiken, moet de registratie buiten werktijd kunnen uitschakelen, pauzes inbegrepen. De bewaartermijnen zijn becijferd: in beginsel twee maanden, een jaar om ritten te optimaliseren of een interventie te bewijzen, vijf jaar voor alleen de urengegevens wanneer het systeem voor tijdregistratie wordt gebruikt^[8].

3. Betalingsfraude. Over 2025 rangschikt Cybermalveillance.gouv.fr voor bedrijven en verenigingen: accountovername 21% van de hulpaanvragen, een stijging van 52%; phishing 16%, plus 29%; overboekingsfraude 13,5%, plus 93%; ransomware 8,1%; datalekken 6,6%, plus 40%^[6]. De bouw vinkt alle vakjes van die fraude aan: maandelijkse termijnstaten, lange ketens van onderaanneming, bij elk project nieuwe partijen, en bankgegevens die halverwege een werk legitiem veranderen.

4. Verplichte e-facturatie. Sinds 1 september 2026 moet elk Frans bedrijf een elektronische factuur kunnen ontvangen zodra de leverancier verplicht is die te sturen; mkb- en micro-ondernemingen moeten vanaf 1 september 2027 zelf elektronisch factureren^[9]. Het directe gevolg voor de fraude hierboven: het valse rekeningnummer in een e-mail verliest terrein, maar uw account op het platform wordt het doelwit. Het risico verschuift naar hoe u toegang authenticeert.

De eerste vijf acties

1. Controleer uw code, twee keer. De huidige APE-code en daarna uw toekomstige NAF 2025-code op sirene.gouv.fr^[5][12]. Valt een van beide in afdeling 33, in afvalbeheer of in netexploitatie, behandel het dossier dan als een NIS2-dossier.
2. Verplicht tweefactorauthenticatie op e-mail en op het factuurplatform. Dat is de enkele tegenmaatregel tegen de twee grootste dreigingen van 2025: accountovername en overboekingsfraude^[6].
3. Leg de procedure voor wijziging van bankgegevens vast. Eén kanaal, terugbellen op het nummer uit het contract en nooit op dat uit de e-mail, dubbele goedkeuring boven een door u gekozen bedrag. Eén pagina volstaat, en de administratie en de uitvoerders moeten die kennen.
4. Breng voertuigvolgsystemen op orde. Bewaartermijnen, de mogelijkheid om buiten werktijd uit te schakelen, schriftelijke informatie aan medewerkers en opname in het verwerkingsregister^[8].
5. Vraag een gratis diagnose aan. MonAideCyber van de Franse cyberautoriteit biedt een eerstelijnsdiagnose door een cyberhelper^[10]; MesServicesCyber bundelt de publieke hulpmiddelen rond NIS2^[11]. Beide zijn openbaar en kosteloos.

Verder lezen

Dezelfde sector in een land dat de richtlijn al heeft omgezet: NIS2 in Nederland voor de bouw, waar de Cyberbeveiligingswet geldt en de verplichtingen echt zijn. Twee andere Franse sectoren in dezelfde wachtkamer: NIS2 Frankrijk voor transport en logistiek, dat wél in de bijlagen staat, en NIS2 Frankrijk voor advocatenkantoren. U kunt ook de NIS2-check doen, de subsidies voor cyberbeveiliging bekijken en onze pagina B2B-afspraken laten maken in Brussel raadplegen.

Bij CyberNovaLabs.io

CyberNovaLabs.io werkt in Nederland, België, Frankrijk en Luxemburg. Voor een bouwbedrijf doen wij drie dingen: uw werkelijke reikwijdte bepalen door uw activiteitencodes en exploitatiecontracten te lezen, uw antwoorden op de beveiligingsvragenlijsten van opdrachtgevers voorbereiden, en de keten e-mail - facturatie - bankgegevens dichtzetten, want dat is de echte ingang van de sector. Wij verkopen geen NIS2-certificering: de Franse wet is niet afgekondigd, en niemand kan een tekst certificeren die nog niet bestaat.

Benadert u ontwikkelaars, industriële klanten of overheden, dan is onze dienst B2B-afspraken laten maken iets voor u, zonder looptijdverplichting en op offertebasis. Laten we uw situatie in 20 minuten doornemen.

Bronnen

1. EUR-Lex - Directive (UE) 2022/2555 (NIS 2), annexes I et II
2. Assemblee nationale - Dossier legislatif, projet de loi resilience des infrastructures critiques et renforcement de la cybersecurite
3. Senat - Dossier legislatif PJL n 24-033
4. ANSSI - La directive NIS 2
5. INSEE - Nouveau code APE : les entreprises peuvent le consulter (NAF 2025)
6. Cybermalveillance.gouv.fr - Top 10 des cybermalveillances visant les professionnels en 2025
7. FFB - Le batiment en chiffres (donnees 2025)
8. CNIL - La geolocalisation des vehicules des salaries
9. impots.gouv.fr - A partir de quand suis-je concerne par la reforme de la facturation electronique
10. ANSSI - MonAideCyber
11. ANSSI - MesServicesCyber, NIS 2
12. INSEE / Sirene - Consulter son futur code APE

Lees ook