NIS2-vereisten voor je interne checklist

Valt je organisatie onder NIS2, dan moet zij volgens de NIS2-vereisten cyberrisico’s beheersen en incidentmelding organiseren. Ook bestuurlijk toezicht en leveranciersbeoordeling horen daarbij. De maatregelen moeten passen bij de risico’s en de toepasselijke Nederlandse wetgeving. Alleen beveiligingssoftware installeren volstaat dus niet. Denk aan een organisatie met goede toegangsbeveiliging, maar zonder afspraken over wie een ernstige storing beoordeelt en meldt.

Organisaties delen gegevens en systemen met leveranciers, terwijl uitval direct gevolgen kan hebben voor klanten en dienstverlening. Daardoor raakt digitale beveiliging ook inkoop, personeelszaken en bestuur. De precieze verplichtingen hangen af van de Nederlandse implementatie, de sector en de rol van je organisatie. Gebruik de onderstaande checklist als werkdocument, niet als bewijs dat je automatisch aan alle wettelijke eisen voldoet.

1. Breng de vereisten van NIS2 in kaart

Verplichtingsgebieden met interne afspraken en bijbehorend bewijs

Verplichtingsgebied	Intern te regelen	Bewijs voor je checklist
Risicobeheer	Risicoanalyse, beleid en maatregelen	Risicoregister en behandelplan
Incidentmelding	Beoordeling, escalatie en meldroute	Incidentprocedure en besluitenlogboek
Bestuur	Goedkeuring, toezicht en scholing	Bestuursbesluiten en opleidingsregistratie
Leveranciersrisico’s	Selectie, contractafspraken en opvolging	Leveranciersbeoordelingen en afspraken
Bedrijfscontinuïteit	Back-ups, herstel en crisisaanpak	Herstelplan en testverslagen
Effectiviteitscontrole	Toetsen en verbeteren van maatregelen	Controleverslagen en verbeteracties

De NIS2-vereisten verbinden beleid, technische bescherming en aantoonbare uitvoering. Begin daarom met je kritieke diensten, systemen en verantwoordelijken. Bepaal vervolgens welke verplichtingen rechtstreeks gelden en welke eisen via klanten of contracten binnenkomen. De bredere samenhang tussen de richtlijn en de Nederlandse Cyberbeveiligingswet helpt om die afbakening te begrijpen.

Een logistiek bedrijf kan bijvoorbeeld afhankelijk zijn van een planningssysteem dat een externe partij beheert. De interne checklist moet dan zowel beschikbaarheid als leveranciersafspraken omvatten. Noteer per verplichtingsgebied een eigenaar, de bestaande maatregel, het bewijs en de openstaande actie. Zo voorkom je dat een beleidsdocument ten onrechte als afgeronde beveiliging telt.

Papier is geen uitvoering: Een vastgesteld herstelplan bewijst nog niet dat je organisatie systemen kan herstellen. Leg ook het resultaat van een hersteltest vast.

2. Hoe vertaal je de NIS2-vereisten naar dagelijks risicobeheer?

De NIS2-vereisten vragen om passende technische, organisatorische en operationele maatregelen, gebaseerd op de risico’s voor je dienstverlening. Breng dreigingen en afhankelijkheden in kaart, zodat je daar beheersmaatregelen aan kunt koppelen. De zwaarte hangt onder meer af van blootstelling, omvang en mogelijke gevolgen. Een openbaar klantportaal vraagt daardoor andere controles dan een afgeschermd intern archief.

Neem de volgende onderwerpen afzonderlijk op in je interne checklist voor de NIS2-vereisten. Geef elk onderwerp een verantwoordelijke en beschrijf hoe je de werking beoordeelt. Daarmee maak je van algemene beveiligingsmaatregelen concrete werkafspraken.

• Beleid voor risicoanalyse en beveiliging van netwerk- en informatiesystemen.
• Incidentafhandeling, bedrijfscontinuïteit, back-ups, herstel en crisisbeheer.
• Beveiliging bij aanschaf, ontwikkeling en onderhoud, inclusief kwetsbaarhedenbeheer.
• Toegangsbeheer, personeelsbeveiliging en beheer van apparaten, software en gegevens.
• Cyberhygiëne, training, cryptografie en versleuteling waar dat passend is.
• Multifactorauthenticatie en beveiligde communicatie waar de risico’s en toepasselijke eisen daarom vragen.
• Procedures om de effectiviteit van beveiligingsmaatregelen te beoordelen.

Maak de NIS2-vereisten voor kwetsbaarhedenbeheer bijvoorbeeld concreet met een inventaris van systemen en een afwegingskader voor updates. Een actief misbruikt lek op een bereikbaar systeem verdient voorrang, omdat aanvallers dat lek al gebruiken. Leg uitstel vast, inclusief tijdelijke bescherming en een actiehouder. Controleer na installatie bovendien of de update daadwerkelijk werkt.

Medewerkers moeten verdachte verzoeken kunnen herkennen én veilig kunnen afhandelen. Oefen bijvoorbeeld een verzoek om buiten de normale procedure betaalgegevens te wijzigen. Training over misleidende voorwendsels en lokmiddelen sluit zo aan op een concreet bedrijfsrisico. Bewaar ook de verbeteracties die uit de oefening volgen, zodat de training tot aangepaste werkafspraken leidt.

3. Hoe organiseer je beoordeling en melding van incidenten?

Je organisatie moet incidenten herkennen, hun gevolgen beoordelen en significante incidenten via de toepasselijke meldroute melden. Richt daarvoor een interne escalatieprocedure in, inclusief vervanging bij afwezigheid. Wacht niet op een volledig technisch onderzoek voordat iemand het meldbesluit beoordeelt. De toepasselijke termijnen en ontvangers horen zichtbaar in de procedure te staan.

Termijnen binnen de vereisten van NIS2

Voor significante incidenten geldt onder NIS2 de volgende hoofdlijn. Meld zonder onnodige vertraging aan de bevoegde autoriteit of het aangewezen CSIRT. Leg voor je Nederlandse sector vast welke instantie en welk meldkanaal van toepassing zijn. De eerste twee termijnen beginnen zodra je organisatie kennis krijgt van het significante incident, niet pas wanneer het onderzoek is afgerond.

• Verstuur binnen 24 uur een vroegtijdige waarschuwing. Vermeld, waar van toepassing, of je een onrechtmatige of kwaadwillige oorzaak vermoedt en of grensoverschrijdende gevolgen mogelijk zijn.
• Verstuur binnen 72 uur de incidentmelding met een eerste beoordeling van ernst en gevolgen. Voeg indicatoren van compromittering toe als die beschikbaar zijn. Werk de vroegtijdige waarschuwing bij. Voor verleners van vertrouwensdiensten geldt een uitzondering wanneer significante incidenten hun vertrouwensdiensten raken. Zij moeten ook deze incidentmelding binnen 24 uur versturen.
• Verstrek op verzoek een tussentijds verslag met relevante voortgangsinformatie aan de bevoegde autoriteit of het CSIRT.
• Verstuur uiterlijk een maand na de incidentmelding een eindverslag. Beschrijf daarin de gevolgen, de waarschijnlijke dreiging of hoofdoorzaak, de getroffen maatregelen en eventuele grensoverschrijdende gevolgen. Loopt het incident dan nog, dien op dat moment een voortgangsverslag in. Verstuur het eindverslag vervolgens binnen een maand na de afhandeling van het incident.

Beoordeling en interne escalatie

Controleer daarnaast of specifieke Europese sectorregels de NIS2-meldplicht voor jouw organisatie vervangen. Neem die afwijkende meldroute dan afzonderlijk op in de procedure.

Niet elke verdachte e-mail vormt een meldplichtig incident. Beoordeel onder meer verstoring van dienstverlening, financiële schade en gevolgen voor andere personen of organisaties. De toepasselijke regels bepalen welke criteria en drempels gelden. Een storing bij een gedeelde dienstverlener kan daardoor onderzoek vragen, ook zonder zichtbare malware op eigen apparaten.

Een incidentprocedure moet onzekerheid kunnen verwerken: wie pas beslist na volledig onderzoek, kan te laat beginnen met melden en schadebeperking.

Gebruik bij een vermoeden van een ernstig incident een vaste route. Leg zowel de feiten als de gemaakte afwegingen vast. Werk technische bestrijding en juridische beoordeling parallel uit, zodat het ene proces het andere niet blokkeert.

1. Registreer het moment van ontdekking, de waarnemingen en de getroffen dienstverlening.
2. Waarschuw de aangewezen incidentverantwoordelijke en diens vervanger via het afgesproken kanaal.
3. Beoordeel de ernst en toepasselijke meldplichten met de betrokken deskundigen.
4. Verstuur vereiste meldingen binnen de toepasselijke termijnen en bewaar het verzendbewijs.
5. Werk de incidentinformatie bij en leg herstelacties, vervolgmeldingen en verbeterpunten vast.

Een cyberincident kan ook andere verplichtingen raken, zoals melding van een persoonsgegevenslek. Houd die beoordelingen gescheiden, maar stem de feitenbasis af. De uitwerking van meldbesluiten, escalatie en vervolgmeldingen helpt bij het inrichten van die procedure.

4. Welke besluiten en controles horen bij het bestuur?

Volgens de NIS2-vereisten moet het bestuur de maatregelen voor cyberrisicobeheer goedkeuren en toezicht houden op de uitvoering. Bestuurders moeten daarnaast scholing volgen om risico’s en maatregelen te kunnen beoordelen. Een IT-verantwoordelijke aanwijzen neemt die bestuurlijke verantwoordelijkheid echter niet weg. De precieze aansprakelijkheidsregels volgen uit de toepasselijke Nederlandse wetgeving.

Laat de bestuursrapportage over de NIS2-vereisten aansluiten op bedrijfsgevolgen, niet uitsluitend op technische aantallen. Rapporteer bijvoorbeeld welke kritieke dienst geen geteste herstelroute heeft en welk risico dat oplevert. Vermeld ook wie het probleem oplost en welk besluit nodig is. Hiermee kan het bestuur gericht prioriteiten en middelen vaststellen.

Stel dat een organisatie het vervangen van een verouderd toegangssysteem uitstelt. Het bestuur moet dan begrijpen welke blootstelling blijft bestaan en welke tijdelijke maatregelen bescherming bieden. Leg de afweging, verantwoordelijke en herbeoordeling vast. Een genoteerde risicoacceptatie vervangt echter geen wettelijke verplichting.

Oefen ook bestuurlijke besluitvorming tijdens een verstoring, want de NIS2-vereisten vragen meer dan vastgelegd beleid. Wie beslist over het stilleggen van dienstverlening, klantcommunicatie of extra herstelcapaciteit? Een noodplan voor uitval door een DDoS-aanval kan zo’n oefenscenario concreet maken. Bespreek na afloop welke bevoegdheden of informatie ontbraken.

5. Hoe werken NIS2-eisen door naar leveranciers en ketenpartners?

De NIS2-vereisten vragen ook aandacht voor risico’s door producten, diensten en toegang van leveranciers. Kijk daarbij naar directe leveranciers en dienstverleners, hun beveiliging en relevante afhankelijkheden. Verwerk de uitkomsten in selectie, contracten en periodieke beoordeling, zodat de beoordeling gevolgen heeft voor je samenwerking. Een leverancier met beheerrechten verdient bijvoorbeeld andere controles dan een leverancier zonder systeemtoegang.

Vraag geen identieke vragenlijst aan iedere partij zonder de antwoorden te gebruiken. Onderzoek eerst welke dienstverlening uitvalt als een leverancier stopt of een incident krijgt. Bepaal vervolgens welke informatie je nodig hebt om dat risico te beoordelen. Een certificaat kan bewijs ondersteunen, mits de reikwijdte past bij de afgenomen dienst.

• Leg beveiligingsverantwoordelijkheden en toegestane toegang vast.
• Spreek af hoe leveranciers incidenten en relevante kwetsbaarheden doorgeven.
• Beschrijf herstelafspraken, beschikbaarheid van gegevens en medewerking bij onderzoek.
• Beoordeel relevante onderaannemers en afhankelijkheid van dezelfde achterliggende dienst.
• Regel beëindiging, gegevensoverdracht en intrekking van accounts.

Een salarisverwerker met gevoelige gegevens vraagt bijvoorbeeld aandacht voor toegangsbeheer en incidentcommunicatie. Een externe beheerpartij vraagt daarnaast controle op beheerdersaccounts en logregistratie. Verbind de afspraken aan bewijs dat de betreffende dienst dekt. Directe wettelijke toepasselijkheid van de NIS2-vereisten op een leverancier blijft een afzonderlijke vraag.

Contract is geen overdracht: Uitbesteding verplaatst werkzaamheden, maar neemt de eigen verantwoordelijkheid voor risicobeheer niet weg.

6. Zet de vereisten uit NIS2 om in toegewezen werk

Je krijgt grip op de NIS2-vereisten wanneer ieder tekort een eigenaar, prioriteit en aantoonbare vervolgactie krijgt. Gebruik je checklist dus als werkvoorraad, niet als verzameling vinkjes. Begin bij maatregelen die ernstige verstoring beperken en bij verplichtingen waarvoor duidelijke procedures ontbreken. Laat afgeronde acties pas sluiten wanneer het bewijs de uitvoering ondersteunt.

Een ontbrekende hersteltest vraagt bijvoorbeeld om een andere actie dan een ontbrekende handtekening onder beleid. Plan bij de hersteltest ook beoordeling van het resultaat en opvolging van fouten. Controleer bij het beleid bovendien of medewerkers de afspraken kunnen uitvoeren. Zo verbind je de NIS2-vereisten aan bescherming die in de praktijk werkt.

We vinden een bespreekbaar tekort waardevoller dan een groen vinkje dat niemand kan uitleggen. Bij een interne bespreking zouden we vooral vragen wie handelt wanneer een kritieke dienst uitvalt. Zo’n gesprek maakt duidelijk waar beleid nog een werkafspraak nodig heeft.

Veelgestelde vragen

Deze antwoorden helpen je de NIS2-vereisten met collega’s te bespreken. Gebruik ze als aanvulling op je checklist, zodat beleid, incidentmelding en leveranciersbeheer in samenhang aan bod komen.

Welke maatregelen vallen onder NIS2-risicobeheer?

De NIS2-vereisten omvatten beleid, incidentafhandeling, continuïteit, ketenbeveiliging, veilige ontwikkeling, effectiviteitscontroles, cyberhygiëne, training, cryptografie en toegangsbeheer. Ook personeelsbeveiliging en beheer van bedrijfsmiddelen horen erbij. Beoordeel de samenhang: versleuteling helpt bijvoorbeeld weinig wanneer medewerkers hun toegang delen. Onderbouw zowel de keuze voor maatregelen als de manier waarop je hun werking controleert.

Wat moet een organisatie regelen rond incidentmelding?

Wijs bevoegde melders aan en zorg dat zij toegang hebben tot actuele contactgegevens en incidentinformatie. Leg ook vervanging, interne escalatie en toestemming voor verzending vast. Bewaar besluiten en meldingen op een plek die tijdens systeemuitval bereikbaar blijft. Test daarna of medewerkers de meldroute kunnen starten zonder eerst een uitgebreide vergadering te organiseren.

Welke rol speelt het management onder NIS2?

Het management moet risico’s kunnen beoordelen, maatregelen goedkeuren en de uitvoering volgen. Maak daarom onderscheid tussen dagelijkse uitvoering en bestuurlijk toezicht. Rapportages over de NIS2-vereisten moeten beslissingen mogelijk maken, zoals het vrijmaken van middelen voor herstelbaarheid. Scholing helpt bestuurders om door te vragen wanneer technische rapportages geen duidelijk beeld geven van bedrijfsrisico’s.

Hoe moet je omgaan met risico’s bij leveranciers?

Beoordeel leveranciers bij selectie en opnieuw wanneer hun dienstverlening of toegang verandert. Een uitbreiding met beheerrechten kan bijvoorbeeld nieuwe risico’s veroorzaken zonder dat het contractbedrag verandert. Stem contractafspraken en controles daarop af. Houd ook rekening met vertrek: je moet gegevens kunnen behouden en toegang kunnen intrekken wanneer de samenwerking eindigt.

Zijn de NIS2-vereisten voor iedere organisatie gelijk?

Nee, toepasselijkheid en uitwerking hangen af van onder meer sector, omvang, activiteiten en de Nederlandse implementatie. Bepaalde organisaties kunnen ongeacht hun omvang binnen het bereik vallen. Ook buiten het directe wettelijke bereik kunnen klanten beveiligingseisen stellen. Maak hierbij onderscheid tussen wettelijke verplichtingen, contractuele afspraken en maatregelen die je vanuit eigen risicobeheer kiest.

Zet je openstaande acties voor de NIS2-vereisten naast de verantwoordelijken voor accounts, apparaten en herstel. Gebruik de routekaart voor dagelijkse digitale veiligheid om die acties naar vaste werkafspraken te vertalen.