NIS2 Frankrijk: vallen softwarebedrijven en IT eronder?

Gepubliceerd op 5 november 2026 · 9 min lezen · CyberNovaLabs.io

Software uitgeven brengt u niet onder NIS2; de systemen van een klant beheren, hosten of beveiligen wel. En in Frankrijk vallen gereguleerde digitale entiteiten buiten het nationale kader, onder een rechtstreeks werkende Europese verordening. Stand op 5 november 2026.

Het korte antwoord

Software uitgeven brengt u niet onder NIS2. De systemen van uw klanten beheren, draaien of beveiligen wel. De NIS 2-richtlijn noemt het softwarebedrijf nergens: van de 18 sectoren die Frankrijk aanhoudt, gaat het om beheer van ICT-diensten (business-to-business) — managed service providers (MSP's) en managed security service providers (MSSP's) — om digitale infrastructuur (cloud, datacenters, content delivery networks, DNS, registers voor topleveldomeinen) en om digitale aanbieders (online marktplaatsen, zoekmachines, socialenetwerkplatforms)^[1]. Een IT-dienstverlener die licenties en ontwikkeluren verkoopt, valt erbuiten. Datzelfde bedrijf dat voor veertig klanten het beheer doet, valt erbinnen.

Het tweede punt is typisch Frans: wie op die grond gereguleerd is, valt niet onder de Franse nationale basismaatregelen. Entiteiten uit digitale infrastructuur, B2B-ICT-dienstenbeheer en digitale aanbieders vallen onder uitvoeringsverordening (EU) 2024/2690, die rechtstreeks werkt, en niet onder het Franse maatregelenpakket^[1][3]. U leest dus een Europese tekst, geen Frans referentiekader.

NIS2 Frankrijk: wat verandert voor softwarebedrijven en IT-dienstverleners

Vier vragen volstaan, in deze volgorde.

Wat doet u precies? Niet het commerciele label beslist, maar de geleverde dienst. Systemen en netwerken van een klant installeren, beheren, draaien of onderhouden, op locatie of op afstand, is een managed service. Hosten, een datacenter, cloud of CDN exploiteren is digitale infrastructuur. Een standaardpakket verkopen, maatwerk bouwen, opleiden: dat staat niet in de bijlagen.
Hoe groot bent u? Essentiele entiteit (EE) vanaf 250 medewerkers, of met een omzet boven 50 miljoen euro en een balanstotaal boven 43 miljoen euro. Belangrijke entiteit (EI) in de andere gevallen, vanaf 50 medewerkers, of met omzet en balanstotaal boven 10 miljoen euro^[1]. De telling geldt voor het hele bedrijf, niet alleen voor de gereguleerde activiteit.
Geldt er een uitzondering op de drempel? Ja, voor activiteiten die ongeacht hun grootte onder de richtlijn vallen: DNS-dienstverleners, registers voor topleveldomeinnamen, aanbieders van openbare elektronischecommunicatienetwerken en van openbaar beschikbare elektronischecommunicatiediensten, en vertrouwensdienstverleners^[1]. Een registrar met tien mensen kan gereguleerd zijn; een softwarebedrijf met 300 mensen misschien niet.
Waar bent u gevestigd? Voor de digitale sectoren volgt de bevoegdheid de hoofdvestiging in de Unie, niet de plaats van elke klant.

Hoe Frankrijk er op 5 november 2026 voor staat

De omzetting is niet klaar. Het wetsvoorstel over de weerbaarheid van kritieke infrastructuur en de versterking van cyberbeveiliging zet drie richtlijnen om in drie titels: CER (2022/2557), NIS 2 (2022/2555) en DORA (2022/2556). Ingediend bij de Senaat op 15 oktober 2024, aangenomen door de Senaat op 12 maart 2025; de bijzondere commissie van de Assemblee nationale nam op 10 september 2025 een tekst aan, die bij de vergadering van de bijzondere Senaatscommissie van 26 oktober 2026 nog altijd niet plenair was behandeld. De behandeling die begin oktober 2026 stond gepland, werd van de agenda gehaald; november werd genoemd zonder zekerheid, en de rapporteurs wilden uiterlijk februari 2027 landen^[2].

Die vertraging kost geld. Frankrijk staat voor het Hof van Justitie van de Europese Unie, samen met drie andere achterblijvende lidstaten, en de Commissie kondigde op 8 juli 2026 aan een forfaitair bedrag plus dagelijkse dwangsommen te vorderen tot de volledige omzetting van NIS 2 is gemeld^[2]. Diezelfde dag zei de directeur-generaal van ANSSI voor de Senaatscommissie economische zaken dat NIS 2 basisregels moet vastleggen voor ongeveer 20 000 entiteiten in Frankrijk, tegen ongeveer 300 operatoren van vitaal belang waaraan het agentschap vandaag maatregelen kan opleggen^[2].

Wat u nu al kunt doen. ANSSI heeft de pre-registratie van toekomstige gereguleerde entiteiten geopend en een werkversie gepubliceerd van het Referentiel Cyber France (ReCyF), bedoeld als basis van de Franse cyberregelgeving: 20 beveiligingsdoelstellingen, van het inventariseren van informatiesystemen tot security monitoring, met een online vergelijker tegenover andere kaders. Doelstellingen 16 tot 20 bevatten uitsluitend eisen die voorbehouden zijn aan essentiele entiteiten^[1][5]. Ook als uw sector buiten het Franse pakket valt, blijft ReCyF de beste kaart van wat uw gereguleerde klanten gaan vragen.

De tekst die u echt bindt: verordening (EU) 2024/2690

Deze uitvoeringsverordening van 17 oktober 2024 legt voor MSP's en MSSP's, cloud, datacenters, CDN's, DNS, topleveldomeinregisters, online marktplaatsen, zoekmachines, sociale netwerken en vertrouwensdienstverleners zowel de technische risicobeheersmaatregelen vast als de criteria die een incident belangrijk maken^[3]. De bijlage heeft 13 kopjes: beveiligingsbeleid, risicobeheer, incidentbehandeling, bedrijfscontinuiteit, beveiliging van de toeleveringsketen, beveiliging bij aanschaf en ontwikkeling, effectiviteitsbeoordeling, cyberhygiene en opleiding, cryptografie, personeelsbeveiliging, toegangsbeheer, assetbeheer, en fysieke en omgevingsbeveiliging^[3].

De meldgrenzen zijn in cijfers vastgelegd, en daar ontdekken veel beheerders hun echte probleem.

Bent u...	Dan is een incident belangrijk zodra...
MSP of MSSP	de dienst langer dan 30 minuten volledig onbeschikbaar is; of de beschikbaarheid langer dan een uur beperkt is voor meer dan 5 % van de gebruikers in de Unie of meer dan een miljoen gebruikers, het laagste van beide; of de integriteit, vertrouwelijkheid of authenticiteit van de gegevens van de dienst is aangetast door een vermoedelijk kwaadwillige handeling^[3]
Clouddienstverlener	volledige onbeschikbaarheid langer dan 30 minuten; of beperkte beschikbaarheid voor meer dan 5 % van de gebruikers in de Unie^[3]
Elke entiteit onder de verordening	het directe financiele verlies, geleden of mogelijk, hoger is dan 500 000 euro of 5 % van de jaaromzet van het vorige boekjaar, het laagste van beide; of het incident bedrijfsgeheimen kan doen uitlekken^[3]

Voor een MSP is dertig minuten de duur van een gewoon monitoringincident. Het gevolg is niet juridisch maar operationeel: u moet weten op welk tijdstip een dienst uitviel en hoeveel Uniegebruikers erachter zaten, zonder dat drie dagen later te reconstrueren. Bij overtreding kunnen de boetes oplopen tot 2 % van de wereldwijde omzet voor een essentiele entiteit en 1,4 % voor een belangrijke entiteit^[1].

Buiten het bereik is niet buiten gevaar

Een Frans softwarebedrijf buiten de gereguleerde kring wordt toch door twee gedocumenteerde krachten geraakt.

De eerste is de dreiging zelf. In het Panorama de la cybermenace 2025, gepubliceerd op 11 maart 2026, behandelde ANSSI 3 586 beveiligingsgebeurtenissen, 18 % minder dan het jaar ervoor, waaronder 1 366 incidenten die het agentschap werden gemeld, stabiel tegenover 1 361 in 2024, na 1 112 in 2023 en 831 in 2022^[4]. Het agentschap noemt uitdrukkelijk het risico van snelle verspreiding wanneer een aanval gericht is op een leverancier van breed verspreide software of een lokale of sectorgespecialiseerde digitale dienstverlener, en meldt in 2025 talrijke compromitteringen te hebben gezien waarbij aanvallers van de systemen van dienstverleners naar die van hun klanten bewogen, via bestaande koppelingen en gestolen inloggegevens^[4].

De tweede is contractueel en regelgevend. Beveiliging van de toeleveringsketen zit in de maatregelen die aan uw gereguleerde klanten worden opgelegd: zij moeten hun ecosysteem in kaart brengen en digitale beveiliging in hun contracten opnemen. U krijgt geen aanmaning van ANSSI, u krijgt een beveiligingsvragenlijst bij een aanbesteding. En wie een product met digitale elementen op de markt brengt, valt rechtstreeks onder de Cyber Resilience Act: in werking sinds 10 december 2024, verplicht artikel 14 sinds 11 september 2026 tot het melden van actief misbruikte kwetsbaarheden en ernstige incidenten, ook voor producten die voor de algemene toepassingsdatum van 11 december 2027 op de markt kwamen^[6].

Een parlementaire nuance die van pas komt als u aan beide zijden van de grens werkt: op 26 oktober 2026 merkte de voorzitter van de bijzondere Senaatscommissie op dat in Belgie en diverse andere landen ISO/IEC 27001-certificering een route naar NIS 2-conformiteit is, en dat die route Franse bedrijven niet eens is voorgesteld^[2]. Dat is geen Frans recht, maar een verschil in methode om binnen een internationale groep op te vangen. Ter vergelijking zetten onze gidsen over softwarebedrijven en IT-dienstverleners in Nederland en over softwarebedrijven en IT-dienstverleners in Belgie de twee andere regimes in dezelfde sector uiteen.

De eerste vijf acties

Schrijf uw werkelijke activiteiten uit, dienst per dienst, met het contract erachter. Dat is de eerste ReCyF-doelstelling en precies wat een uitgever van een managed service provider scheidt. Een uur werk, een tabel.
Zet de cijfers op papier: personeelsbestand, omzet en balanstotaal van het laatste boekjaar, op groepsniveau. U weet dan of u EE, EI of onder de drempel bent, en het antwoord ligt klaar voor de volgende klantvragenlijst.
Maak die dertig minuten meetbaar. Zou een activiteit toch een managed service blijken, dan moet u een begintijd van de uitval en een aantal Uniegebruikers kunnen leveren. Controleer vandaag of uw monitoring en logging dat toelaten, voor elke gefactureerde dienst.
Doe de pre-registratie bij ANSSI als de test u aanwijst, en volg de wetgeving: de wet is niet gestemd en de sectorparameters komen bij decreet.
Beantwoord de klantvragenlijst een keer goed. Een enkel bewijsdossier — beveiligingsbeleid, toegangsbeheer, geteste back-ups, incidentprocedure, onderaannemers — maakt van een terugkerende commerciele rem een bijlage. Onze gidsen over de bouw in Frankrijk en de zorg in Frankrijk laten dezelfde reflex aan klantzijde zien.

Bij CyberNovaLabs.io

Begin met de gratis NIS2-check: die plaatst u als essentieel, belangrijk of buiten bereik, en scheidt uitgeefactiviteit van managed services. Stranden uw aanbestedingen op beveiliging, dan geeft onze gids over de beveiligingsvragenlijst voor leveranciers de antwoordstructuur. Voor het vervolg — software op maat die onder de CRA houdbaar blijft, of B2B-afspraken laten maken bij IT-beslissers, ook in Amsterdam — werken wij op aanvraag, zonder looptijdverplichting.

Uw NIS2-positie en uw IT-pijplijn bespreken

Bronnen

CyberNovaLabs.io

Gekwalificeerde afspraken, zonder looptijd.

Criteria vooraf op papier, betalen per afspraak of per maand, stoppen met een simpele e-mail.

→ Afspraken laten inplannen

Lees ook

5 november 2026 · 7 min lezen

Symfony en Laravel samen gepatcht: 9 adviezen (04-11-2026)

Negen Symfony-adviezen en een Laravel-patch op dezelfde dag, beide overgenomen door CERT-FR. Vier van deze lekken repareren een eerdere, onvolledige patch: bijgewerkt in oktober is dus niet genoeg. De exacte versies en de vragen die u stelt.

Lees het artikel →4 november 2026 · 8 min lezen

NIS2 Luxemburg: valt de bouw onder de wet?

In Luxemburg staat de bouw niet op de NIS2-sectorlijst van het ILR. De wet van 5 mei 2026, de omvangdrempel en de registratie van 10 juli 2026 gelden niet louter omdat een firma bouwt.

Lees het artikel →3 november 2026 · 7 min lezen

Cyberaanval FOD Financien: deadline verschoven (28-10-2026)

Vier dagen zonder MyMinfin, Tax-on-Web en Biztax, terwijl de uiterste datum bleef staan. Er zijn geen gegevens gestolen, dus de kosten zitten elders. Wat de cyberaanval op FOD Financien concreet betekent voor een mkb-bedrijf in Belgie, Nederland, Frankrijk en Luxemburg.

Lees het artikel →3 november 2026 · 9 min lezen

AI-verordening 2026: wat het mkb moet weten

De AI-verordening geldt sinds 2 augustus 2026 en komt voor een mkb-bedrijf dat AI inkoopt neer op drie verplichtingen. De zware eisen uit bijlage III wachten tot 2 december 2027. Hier staan de data, de boeteplafonds die echt voor het mkb gelden, en wie handhaaft in Nederland, België, Frankrijk en Luxemburg.

Lees het artikel →