Besturen van organisaties die onder de Europese NIS2-richtlijn vallen, kunnen toegangsbeheer niet langer uitsluitend als operationele IT-kwestie behandelen. Volgens een analyse van SecurityAffairs brengt artikel 20 van NIS2 met zich mee dat managementorganen cyberrisicobeheersmaatregelen moeten goedkeuren, toezicht moeten houden op de uitvoering en, afhankelijk van nationale wetgeving, aansprakelijk kunnen worden gehouden bij overtredingen. Toegangsbeheer valt onder die maatregelen.
Dat betekent niet dat bestuurders zelf individuele accounts moeten controleren of bepalen welke medewerker administratorrechten krijgt. Wel moeten zij kunnen aantonen dat er zicht is op wie toegang heeft tot kritieke systemen, dat risico’s een eigenaar hebben en dat bekende tekortkomingen worden opgepakt.
Wat NIS2 hierover vastlegt
Artikel 20 van NIS2 verplicht managementorganen van zogeheten essentiële en belangrijke entiteiten om cyberrisicobeheersmaatregelen goed te keuren en de implementatie daarvan te bewaken. Ook moeten leden van die organen cybersecuritytraining volgen en moet vergelijkbare training regelmatig aan werknemers worden aangeboden.
De maatregelen zelf staan in artikel 21. Daarin worden onder meer beleid voor toegangscontrole, assetmanagement en, waar passend, het gebruik van multifactorauthenticatie of continue authenticatie genoemd. Volgens de bron vallen naar schatting 160.000 entiteiten in de Europese Unie binnen de reikwijdte van NIS2.
De kernwijziging zit in de bestuurlijke verantwoordelijkheid. In veel organisaties lagen keuzes rond toegangsrechten, MFA-uitrol en accountbeheer traditioneel bij IT- en securityteams. Onder NIS2 kan het dagelijkse beheer daar nog steeds liggen, maar het bestuur moet wel kunnen beoordelen of de goedgekeurde maatregelen in de praktijk werken.
Van beleidsdocument naar bewijs
Een belangrijk punt in de analyse is dat bestuursrapportages vaak laten zien wat het beleid voorschrijft, maar minder vaak of dat beleid daadwerkelijk wordt nageleefd. Een organisatie kan bijvoorbeeld eisen dat vertrekkende medewerkers direct worden uitgeschreven en dat MFA verplicht is. Voor bestuurlijk toezicht is echter ook relevant waar uitzonderingen bestaan: oude accounts die nog actief zijn, te ruime privileges, nooit opnieuw beoordeelde MFA-uitzonderingen of leveranciersaccounts die na afloop van een contract toegankelijk blijven.
SecurityAffairs verwijst naar een NIS2-rapport over access management van de Europese password- en secretsmanager Passwork. Daarin zouden toezichthouders van twee nationale cybersecurityautoriteiten en onafhankelijke securityleiders beschrijven dat besturen, mede door de veranderde aansprakelijkheid, vaker bewijs vragen dat controles daadwerkelijk functioneren. Dat gaat verder dan een samenvatting van het beleid.
Concreet gaat het om vragen als: wie heeft toegang tot kritieke systemen, waarom is die toegang verleend, wie heeft dat goedgekeurd, hoe lang blijft de toegang geldig en wanneer is toegang gewijzigd of ingetrokken? Voor organisaties is vooral van belang dat die informatie betrouwbaar en beschikbaar is wanneer bestuur, audit of toezichthouder erom vraagt.
Handhaving en mogelijke sancties
De implementatie van NIS2 verloopt niet overal gelijk. Volgens de bron heeft de Europese Commissie in juli 2026 Ierland, Spanje, Frankrijk en Nederland voor het Hof van Justitie van de Europese Unie gedaagd omdat zij geen volledige omzetting van NIS2 in nationaal recht hadden gemeld. De Commissie vroeg daarbij ook om financiële sancties.
In lidstaten waar NIS2 wel is omgezet, moeten toezichthouders over stevige handhavingsmogelijkheden beschikken. Voor essentiële entiteiten moet de maximale boete ten minste 10 miljoen euro of 2 procent van de wereldwijde jaaromzet bedragen, afhankelijk van welk bedrag hoger is. Voor belangrijke entiteiten geldt een lagere drempel: ten minste 7 miljoen euro of 1,4 procent van de wereldwijde jaaromzet.
Daarnaast noemt de bron artikel 32. Dat artikel maakt het in specifieke omstandigheden mogelijk dat bevoegde autoriteiten een tijdelijk verbod nastreven voor iemand op CEO- of wettelijk vertegenwoordigersniveau om managementfuncties uit te oefenen binnen een essentiële entiteit. Dat is volgens de bron geen automatische consequentie van een cyberincident, maar kan aan de orde komen wanneer handhaving niet tot de vereiste reactie leidt.
Analyse: waarom toegangsbeheer bestuurlijker wordt
De relevantie van toegangsbeheer is groot omdat misbruik van inloggegevens een veelvoorkomende factor bij datalekken blijft. SecurityAffairs haalt het Verizon Data Breach Investigations Report 2026 aan, waarin credential abuse ergens in de aanvalsketen voorkomt bij 39 procent van de breaches, meer dan elke andere vector. Ook wijst de bron op een in juni gemelde blootgestelde database met 24 miljard credentialrecords.
Voor bestuurders verschuift de vraag daarmee van “hebben we een beleid?” naar “werkt het beleid aantoonbaar en worden afwijkingen opgelost?”. Dat is een wezenlijk verschil. Een CISO kan verantwoordelijk zijn voor het signaleren van risico’s, maar niet altijd beschikken over het budget, de systemen of de mensen om problemen te verhelpen. Juist dan moet het bestuur inzicht krijgen in belemmeringen en openstaande uitzonderingen.
De bron noemt Griekenland als voorbeeld van een nationale uitwerking die verder gaat in het benoemen van verantwoordelijkheid. De Griekse NIS2-wet verplicht essentiële en belangrijke entiteiten een voldoende gekwalificeerde medewerker aan te wijzen als Information and Communication Systems Security Officer. Die functionaris coördineert compliance, moet over de benodigde middelen beschikken en opereert onafhankelijk van de functionaris voor gegevensbescherming.
Gevolg voor organisaties
Voor organisaties onder NIS2 betekent dit dat toegangsbeheer niet alleen technisch, maar ook bestuurlijk aantoonbaar moet zijn ingericht. Rapportages aan het bestuur zullen moeten laten zien welke belangrijke uitzonderingen bestaan, welke risico’s daaruit voortkomen, wie verantwoordelijk is voor herstel en of maatregelen zoals MFA, accountverwijdering en privilegebeheer daadwerkelijk worden nageleefd.
De bevestigde juridische kern is dat NIS2 managementorganen een formele rol geeft bij goedkeuring en toezicht op cyberrisicobeheersmaatregelen. De bredere analyse is dat bestuurders daardoor vaker meetbaar bewijs zullen vragen over toegangscontrole, omdat persoonlijke en organisatorische aansprakelijkheid de drempel verhoogt om zwakke plekken onopgelost te laten.
Bron en verdere informatie
Bron: SecurityAffairs
