Kern: Artikel 21 is het operationele hart van NIS2. Het noemt tien verplichte maatregelen die elke essentiële en belangrijke entiteit moet treffen en aantoonbaar moet laten draaien. De maatregelen staan er bewust op hoofdlijnen: evenredigheid zit erin ingebouwd, bewijs niet. Kun je een toezichthouder niet laten zien wat je per maatregel doet, dan voldoe je niet.
De meeste mensen bladeren meteen door naar artikel 23 (melding van incidenten), omdat die termijnen indruk maken. Maar artikel 21 is waar de toezichthouder op controleert. Het is de lijst waar je programma op moet aansluiten. In de eerste handhavingszaken van 2026 verwees elke boete naar tekortkomingen die op een of meer maatregelen uit artikel 21 terug te voeren waren.
Dit artikel loopt de tien maatregelen uit artikel 21(2)(a) tot en met (j) langs in normale taal. Per maatregel zie je: wat de richtlijn werkelijk vraagt, hoe evenredige uitvoering eruitziet, welk bewijs je klaarlegt voor een toezichthouder, en waar ook goed gefinancierde organisaties struikelen.
Eerst: het beginsel van evenredigheid
Artikel 21(1) zet het kader voor alle tien maatregelen. Het vraagt maatregelen die "passend en evenredig" zijn ten opzichte van:
- De risico's waaraan de entiteit blootstaat
- De omvang van de entiteit
- De kans op incidenten en hun ernst
- De maatschappelijke en economische gevolgen van incidenten
Wat evenredigheid niet betekent: Evenredigheid betekent niet "minder doen". Het betekent "doen wat past bij je risico". Ook een kleine belangrijke entiteit moet alle tien maatregelen afdekken, alleen op een diepte die past bij haar schaal. Een maatregel helemaal overslaan omdat je klein bent, is geen evenredigheid maar niet voldoen.
1 Beleid voor risicoanalyse en beveiliging van informatiesystemen
Artikel 21(2)(a) vraagt beleid voor risicoanalyse en beveiliging van informatiesystemen. Dat is het fundament onder al het andere. Zonder een vastgelegd raamwerk voor risicobeheer kun je van geen van de negen andere maatregelen onderbouwen dat ze evenredig zijn.
Hoe de uitvoering eruitziet
Een geschreven informatiebeveiligingsbeleid, goedgekeurd door het bestuursorgaan, met de risicobereidheid, de governance en de verantwoordelijkheden. Een methodiek voor risicobeoordeling (ISO 27005 of NIST SP 800-30 zijn allebei een prima startpunt). Een actueel risicoregister met de gevonden risico's, de behandeling en het geaccepteerde restrisico.
Bewijs om te verzamelen
- Ondertekend en gedateerd beveiligingsbeleid met goedkeuring van de directie
- Document met de methodiek voor risicobeoordeling
- Actueel risicoregister met behandelbesluiten en eigenaren
- Bewijs van periodieke herziening van het beleid (minstens jaarlijks)
Waar het meestal misgaat
Beleid bestaat op papier, maar is algemeen, niet ondertekend, of ouder dan twee jaar. Toezichthouders behandelen verouderd of niet ondertekend beleid als afwezig beleid. Beleid dat sinds NIS2 niet is herzien, schiet vrijwel zeker tekort.
2 Incidentafhandeling
Artikel 21(2)(b) vraagt incidentafhandeling. Dus een vastgelegd en beoefend proces om incidenten te detecteren, te wegen, af te handelen, in te dammen en te herstellen. Artikel 23 (melding) staat daar los van, maar hangt er wel aan vast: je kunt een incident niet goed melden als je het niet goed hebt afgehandeld.
Hoe de uitvoering eruitziet
Een responsplan met classificatie naar ernst, benoemde rollen (leiding, techniek, communicatie, juridisch), draaiboeken voor de meest waarschijnlijke scenario's (ransomware, gestolen inloggegevens, datalek, incident bij een leverancier), en een geteste escalatieroute naar het meldpunt dat de 24-uursmelding van artikel 23 ontvangt.
Bewijs om te verzamelen
- Het incidentresponsplan
- Verslagen van tafeloefeningen (minstens jaarlijks)
- Incidentregister met classificatie en genomen acties
- Bewijs dat detectietooling en het responsproces op elkaar aansluiten
Waar het meestal misgaat
Een uitgebreid plan dat nooit is geoefend. Incidentrespons toon je aan door gebruik, niet door de lengte van het document. Toezichthouders vragen wanneer het plan voor het laatst is getest en wat daaruit kwam.
3 Bedrijfscontinuïteit en crisisbeheer
Artikel 21(2)(c) vraagt bedrijfscontinuïteit, met back-upbeheer en herstel na calamiteiten, plus crisisbeheer. NIS2 legt de nadruk op continuïteit van de diensten waarop de richtlijn ziet, niet op continuïteit in het algemeen. Ben je cloudaanbieder, dan gaat het om je clouddienst. Ben je ziekenhuis, dan om de zorg.
Hoe de uitvoering eruitziet
Een continuïteitsplan dat aanhaakt op een impactanalyse. Vastgestelde hersteltijden en maximaal aanvaardbaar dataverlies per kritieke dienst. Een back-upstrategie met offline of onveranderlijke kopieën, want alleen online back-ups overleven ransomware niet. Een crisisstructuur die vanaf een vastgestelde ernst in werking treedt, met directie, juridisch en communicatie aan tafel.
Bewijs om te verzamelen
- Impactanalyse voor de kritieke diensten
- Continuïteits- en herstelplannen
- Documentatie van de back-uparchitectuur, inclusief offline of onveranderlijke kopieën
- Resultaten van hersteltests (minstens jaarlijks, voor kritieke systemen liefst per kwartaal)
Waar het meestal misgaat
Back-ups die nooit in een test zijn teruggezet. De ransomwaregolf van 2024 tot 2026 liet keer op keer organisaties midden in een incident ontdekken dat hun back-ups onvolledig of beschadigd waren, of zo aan productie hingen dat de aanvaller erbij kon.
4 Beveiliging van de toeleveringsketen
Artikel 21(2)(d) vraagt beveiliging in de toeleveringsketen, specifiek de beveiligingsaspecten van de relatie tussen de entiteit en haar directe leveranciers en dienstverleners. Dit is de maatregel die het vaakst te licht is ingevuld, en een thema waar het toezicht in 2026 op inzoomt.
Hoe de uitvoering eruitziet
Een leveranciersoverzicht, ingedeeld naar hoe kritiek ze zijn en welke toegang ze hebben. Beveiligingsclausules in contracten met kritieke leveranciers (melding van incidenten, auditrecht, minimumeisen). Een onderzoeksproces voor nieuwe kritieke leveranciers. Doorlopend zicht op hun beveiliging (vragenlijsten, certificeringen of externe beoordelingen). En zicht op concentratierisico bij enkelvoudige afhankelijkheden.
Bewijs om te verzamelen
- Leveranciersoverzicht met de gebruikte indeling
- Voorbeeldclausules en voorbeelden van getekende contracten
- Onderzoeksdossier voor de belangrijkste leveranciers
- Jaarlijkse rapportage over ketenrisico
Waar het meestal misgaat
Inkoop en security zitten los van elkaar. Inkoop tekent contracten zonder inbreng van security. Security weet niet welk contract welke datastroom draagt. Begin met één leveranciersregister waar beide bij kunnen.
5 Beveiliging bij aanschaf, ontwikkeling en onderhoud van systemen
Artikel 21(2)(e) vraagt beveiliging bij aanschaf, ontwikkeling en onderhoud van netwerk- en informatiesystemen, inclusief het omgaan met en melden van kwetsbaarheden. Dit is de eis om veilig te ontwerpen. Die geldt zowel voor wat je zelf bouwt als voor wat je koopt.
Hoe de uitvoering eruitziet
Beveiligingseisen in je inkoop. Beveiligingsmomenten in het ontwikkelproces voor code die je zelf schrijft. Een programma voor kwetsbaarhedenbeheer met heldere patchtermijnen per ernst. Een gepubliceerd beleid voor gecoördineerde melding van kwetsbaarheden, met een securitycontact op je site. En pentests of een onafhankelijke beoordeling voor systemen met grote impact.
Bewijs om te verzamelen
- Documentatie van het ontwikkelproces en voorbeelden van beveiligingsreviews
- Beleid voor kwetsbaarhedenbeheer met patchtermijnen
- Scanrapporten en het volgen van herstelacties
- Gepubliceerd meldbeleid en een logboek van afgehandelde meldingen
- Recente pentestrapporten
Waar het meestal misgaat
Er wordt wel gescand, maar patchtermijnen zijn niet vastgesteld of worden structureel niet gehaald. Toezichthouders begrijpen dat 100 procent patchen niet kan, maar verwachten wel dat je tegen een norm meet, afwijking rapporteert, en een vastgelegd proces hebt om uitzonderingen te accepteren.
6 Beleid om de effectiviteit te toetsen
Artikel 21(2)(f) vraagt beleid en procedures om de effectiviteit van je maatregelen te beoordelen. Dat is de controlelus. Je moet de andere maatregelen niet alleen treffen, maar ook systematisch nagaan of ze werken, en die bevindingen terugvoeren in je risicobeoordeling.
Hoe de uitvoering eruitziet
Een auditkalender voor het beveiligingsprogramma. Vastgestelde prestatie- en risico-indicatoren. Periodieke directiebeoordelingen. Een onafhankelijke toets (interne audit, externe auditor, of een verklaring van een derde zoals ISO 27001 of SOC 2). En vastgelegde bevindingen met eigenaren en hersteltermijnen.
Bewijs om te verzamelen
- Auditplan en de rapporten van de afgelopen twaalf maanden
- Overzicht van indicatoren met verloop over de tijd
- Notulen van de directiebeoordeling
- Overzicht van openstaande bevindingen
Waar het meestal misgaat
Er wordt wel gemeten, maar er verandert niets. Een toezichthouder kijkt naar herhaalde bevindingen: punten die in twee opeenvolgende audits terugkomen zonder oplossing verraden dat je effectiviteitstoets cosmetisch is.
7 Basishygiëne en training
Artikel 21(2)(g) vraagt basismaatregelen voor cyberhygiëne en training. Die gelden voor iedereen, maar de richtlijn licht training van de directie apart uit in artikel 20(2). Bestuur en directie moeten regelmatig training krijgen, zodat ze risico's kunnen herkennen en kunnen beoordelen of de maatregelen volstaan.
Hoe de uitvoering eruitziet
Jaarlijkse bewustwordingstraining voor alle medewerkers, met registratie van deelname. Training op maat voor rollen met meer risico (ontwikkelaars, beheerders, financiën, inkoop). Specifieke NIS2-training voor het bestuursorgaan. Een phishingsimulatie met zichtbare verbetering over de tijd. En een gepubliceerde set gedragsregels (wachtwoorden, apparaten, omgaan met gegevens, thuiswerken) die iedereen kan vinden.
Bewijs om te verzamelen
- Het trainingsprogramma, met de NIS2-onderwerpen erin
- Deelnameregistratie over de afgelopen twaalf maanden
- Aanwezigheidslijst van de training voor het bestuursorgaan
- Resultaten van phishingsimulaties, met het verloop
- Gepubliceerde gedragsregels voor medewerkers
Waar het meestal misgaat
Training van de directie overslaan omdat het bestuur het druk heeft. Artikel 20(2) maakt die training een persoonlijke verplichting van de leden van het bestuursorgaan. Ontbreekt het bewijs, dan is dat een bevinding op naam.
8 Beleid voor cryptografie en versleuteling
Artikel 21(2)(h) vraagt beleid en procedures voor het gebruik van cryptografie en, waar passend, versleuteling. Daarmee erkent de richtlijn dat versleuteling een basismaatregel is en geen extraatje, en dat onbeheerde of verouderde cryptografie zelf een risico vormt.
Hoe de uitvoering eruitziet
Een cryptografiebeleid met de toegestane algoritmen, sleutellengtes, sleutelbeheer (aanmaken, bewaren, roteren, vernietigen), versleuteling van gevoelige gegevens in rust, versleuteling onderweg (TLS 1.2 of hoger met sterke cipher suites), en een pad richting post-kwantumcryptografie zodra de door NIST goedgekeurde algoritmen volwassen worden.
Bewijs om te verzamelen
- Het cryptografiebeleid
- De procedure voor sleutelbeheer
- Overzicht van waar cryptografie in kritieke systemen wordt gebruikt
- Vastlegging van je voorbereiding op post-kwantumcryptografie
Waar het meestal misgaat
Cryptografie zit impliciet in de systemen, maar staat nergens. De meeste organisaties versleutelen in de praktijk prima, maar kunnen geen beleid laten zien met de toegestane algoritmen, waar versleuteling wordt toegepast, en wie de sleutels beheert. Daar vraagt een toezichthouder als eerste om.
9 Personeel, toegangsbeheer en beheer van assets
Artikel 21(2)(i) vraagt beveiliging rond personeel, beleid voor toegangsbeheer, en beheer van assets. Die drie staan bij elkaar omdat ze hetzelfde doel dienen: de juiste mensen toegang geven tot de juiste assets, en niet langer dan nodig.
Hoe de uitvoering eruitziet
Processen voor in-, door- en uitstroom die toegang betrouwbaar toekennen en weer intrekken. Toegang op basis van rollen met zo min mogelijk rechten, periodiek getoetst. Apart beheer van beheerdersrechten. Een overzicht van assets: hardware, software, gegevens en cloudresources. Screening die past bij het risico van de rol. En een procedure bij overtredingen.
Bewijs om te verzamelen
- Vastlegging van het in-, door- en uitstroomproces
- Resultaten van toegangsreviews (minstens jaarlijks)
- Assetoverzicht en bewijs hoe vaak het wordt bijgewerkt
- Bewijs van beheerd beheerdersgebruik (kluis, sessieregistratie, noodtoegang)
- Screeningbeleid voor gevoelige rollen
Waar het meestal misgaat
Toegang van vertrekkers blijft nog lang bestaan. Weesaccounts, gedeelde serviceaccounts met stokoude wachtwoorden en oud-inhuur die nog in groepen zit, zijn de meest voorkomende bevindingen bij deze maatregel. Een toegangsreview die de directory naast de uitdienstlijst van HR legt, vangt dit snel af.
10 Meervoudige authenticatie en beveiligde communicatie
Artikel 21(2)(j) vraagt om meervoudige of doorlopende authenticatie, beveiligde spraak-, video- en tekstcommunicatie, en beveiligde noodcommunicatie binnen de entiteit, waar passend. Dit is de meest concrete technische maatregel uit artikel 21, en de maatregel die een toezichthouder het makkelijkst met ja-neevragen toetst.
Hoe de uitvoering eruitziet
Meervoudige authenticatie op alles wat van buiten bereikbaar is (mail, VPN, toegang op afstand, SaaS, beheerconsoles). Phishingbestendige factoren (FIDO2, smartcards of gelijkwaardig) voor beheerdersaccounts waar dat kan. Versleutelde communicatie voor gevoelig overleg. En een afgesproken noodkanaal dat werkt terwijl je primaire systemen besmet zijn.
Bewijs om te verzamelen
- Rapport over de dekking van meervoudige authenticatie
- Bewijs van phishingbestendige factoren voor beheerdersaccounts
- Beleid voor versleutelde communicatie
- Plan voor noodcommunicatie buiten de eigen systemen om
Waar het meestal misgaat
Meervoudige authenticatie staat aan, maar een handvol oude accounts of serviceaccounts is uitgezonderd. Aanvallers zoeken precies die uitzonderingen. Toezichthouders vragen om de lijst uitzonderingen, de onderbouwing, en wanneer ze verdwijnen. "Dat houden we niet bij" is het verkeerde antwoord.
Het dossier bij artikel 21: wat je klaar hebt liggen
Het nuttigste document dat je voor toezicht kunt maken, is één dossier dat elk van de tien maatregelen koppelt aan concrete stukken, eigenaren en de datum van de laatste herziening. Toezichthouders die met een checklist bij artikel 21 langskomen, werken sneller en komen tot gunstiger conclusies als ze een geordende index krijgen in plaats van een losse verzameling documenten.
Zo bouw je dat dossier op
- Een voorblad dat elke maatregel (a tot en met j) koppelt aan de bijbehorende stukken.
- Het informatiebeveiligingsbeleid, ondertekend en gedateerd door een lid van het bestuursorgaan.
- De methodiek voor risicobeoordeling plus het actuele risicoregister.
- Het incidentresponsplan plus het verslag van de laatste tafeloefening.
- Het continuïteitsplan, de impactanalyse en het bewijs van de laatste hersteltest.
- Het leveranciersregister, de indeling en voorbeeldclausules.
- Het beleid voor kwetsbaarhedenbeheer, scanresultaten en patchcijfers.
- De auditkalender, de rapporten en het overzicht van herstelacties.
- Trainingsregistratie voor alle medewerkers en apart voor het bestuursorgaan.
- Het cryptografiebeleid en de procedure voor sleutelbeheer.
- Het beleid voor toegangsbeheer en het laatste reviewrapport.
- Het dekkingsrapport voor meervoudige authenticatie, inclusief beheerdersaccounts en vastgelegde uitzonderingen.
Artikel 21 naast raamwerken die je al gebruikt
Ben je al ISO 27001 gecertificeerd, dan ben je een heel eind. De tien maatregelen sluiten dicht aan op de beheersmaatregelen uit bijlage A, en je verklaring van toepasselijkheid dekt het meeste van artikel 21, met wat aanvulling rond de keten, training van het bestuursorgaan, en melding van incidenten.
Andere raamwerken die goed aansluiten: NIST Cybersecurity Framework 2.0 (uitstekende functionele koppeling), SOC 2 Type II (sterk bewijs voor maatregel 2, 3, 5, 6 en 9), en nationale kaders zoals het Duitse BSI IT-Grundschutz of de Nederlandse BIO. Gebruik wat je al hebt. Toezichthouders accepteren bewijs uit een raamwerk zolang de koppeling expliciet is.
Veelgestelde vragen
Wat vraagt artikel 21 van NIS2?
Artikel 21 verplicht essentiële en belangrijke entiteiten om passende en evenredige technische, operationele en organisatorische maatregelen te nemen om cyberrisico's te beheersen. Het noemt tien verplichte onderwerpen: risicoanalyse, incidentafhandeling, bedrijfscontinuïteit, beveiliging in de keten, veilige ontwikkeling, toetsing van effectiviteit, hygiëne en training, cryptografie, toegangsbeheer en assets, en meervoudige authenticatie met beveiligde communicatie.
Gelden alle tien maatregelen ook voor kleine belangrijke entiteiten?
Ja. Elke entiteit binnen scope moet elke maatregel afdekken. Evenredigheid gaat over de diepte van de uitvoering, niet over welke maatregelen je oppakt. Een kleine belangrijke entiteit kan een cryptografiebeleid van twee pagina's hebben waar een grote essentiële entiteit er tien heeft met uitgewerkte normen voor sleutelbeheer, maar beide moeten bestaan.
Vereist artikel 21 een ISO 27001 certificering?
Nee. ISO 27001 is niet verplicht onder NIS2. Certificering is één manier om naleving aan te tonen, maar de richtlijn is neutraal in raamwerken. Organisaties zonder ISO 27001 kunnen artikel 21 aantonen met hun eigen vastgelegde programma, zolang de tien maatregelen zijn afgedekt en het bewijs gedateerd is en een eigenaar heeft.
Is meervoudige authenticatie verplicht onder artikel 21?
In de praktijk wel. Maatregel tien vraagt meervoudige of doorlopende authenticatie waar passend. Gezien het dreigingsbeeld van 2024 tot 2026 dekt "waar passend" in feite alle accounts die van buiten bereikbaar zijn, alle beheerdersaccounts, en alle accounts met toegang tot gevoelige gegevens. Ontbreekt het daar, dan is dat een bevinding.
Waar houdt artikel 21 op en begint artikel 23?
Artikel 21 gaat over maatregelen die voorkomen en detecteren. Artikel 23 gaat over wat je aan de autoriteiten meldt als er een significant incident is. Ze hangen samen: een zwakke invulling van artikel 21 leidt vaak tot een fout onder artikel 23, omdat je het incident te laat zag of verkeerd classificeerde. Toezichthouders toetsen beide in hetzelfde bezoek.
Wie is binnen de organisatie verantwoordelijk voor artikel 21?
Artikel 20 legt de verantwoordelijkheid bij het bestuursorgaan. Het bestuur keurt de maatregelen goed, houdt toezicht op de uitvoering, en toont met training aan dat het de materie begrijpt. De dagelijkse uitvoering ligt meestal bij een CISO of vergelijkbare rol, maar de handtekening staat bij de statutair bestuurders. Toezichthouders controleren dat spoor tijdens een inspectie.
Hoe vaak moet je de maatregelen herzien en testen?
Minstens jaarlijks, met extra herziening na een groot incident, een ingrijpende systeemwijziging of een duidelijke verandering in het dreigingsbeeld. De toets uit maatregel (f) is geen eenmalige oefening. De meeste toezichthouders verwachten een vastgelegde testkalender met hersteltests, incidentoefeningen, toegangsreviews en pentests.
Hulp nodig bij je dossier voor artikel 21?
We bouwen dossiers bij artikel 21 die een controle doorstaan, gekoppeld aan de maatregelen die je al hebt, met een routekaart op volgorde van handhavingsrisico. In weken, niet in kwartalen.
Plan een gap analyseGerelateerde artikelen
Meervoudige authenticatie onder artikel 21
Maatregel tien van dichtbij: waar authenticatie verplicht is, welke factoren je kiest, en hoe je een schoon dekkingsrapport maakt.
Training voor het bestuur onder artikel 20
De trainingsplicht voor bestuursorganen en de persoonlijke aansprakelijkheid die eronder ligt.
Overzicht van kritieke assets
De eerste praktische stap onder risicoanalyse, incidentafhandeling en het in kaart brengen van de keten.
NIS2 checklist 2026
Volledige gids langs scopebepaling, classificatie en alle tien maatregelen.