Kernpunt: een toezichthouder kan je maatregelen niet zien. Hij kan alleen je bewijs zien. Het gat tussen "dit doen we" en "hier is het artefact, gedateerd, met een eigenaar en beoordeeld" is waar bijna elke bevinding zit. Voorbereiding is grotendeels het werk om dat gat te dichten, en dat kun je in vier weken doen als je begint bij de governancelaag.
Het woord audit doet veel werk in NIS2-gesprekken en dekt verschillende dingen. Een bevoegde autoriteit die een inspectie ter plaatse uitvoert is niet hetzelfde als een onafhankelijk orgaan dat een gerichte beveiligingsaudit uitvoert in opdracht van die autoriteit, wat weer niet hetzelfde is als een klant die je een leveranciersvragenlijst stuurt omdat hij binnen de reikwijdte valt en jij in zijn toeleveringsketen zit. Alle drie vragen om vergelijkbaar bewijs, en dat is het nuttige deel: bouw het dossier eenmaal en het beantwoordt alle drie.
Dit artikel loopt door de toezichtbevoegdheden achter de audit, de structuur van een dossier dat het contact met een toezichthouder doorstaat, een voorbereidingsplan van vier weken, hoe de dag zelf doorgaans verloopt, en de bevindingen die bij organisaties van elke omvang blijven terugkomen.
Wat de autoriteit daadwerkelijk kan eisen
Artikel 32 zet de toezichtmaatregelen uiteen die beschikbaar zijn tegen essentiële entiteiten. De lijst is breed en de moeite waard om minstens een keer volledig te lezen, want de reikwijdte ervan verrast mensen die een licht regime verwachten.
- Inspecties ter plaatse en toezicht op afstand, inclusief steekproeven, uitgevoerd door opgeleide professionals.
- Reguliere en gerichte beveiligingsaudits uitgevoerd door een onafhankelijk orgaan of door de bevoegde autoriteit zelf.
- Ad-hocaudits, gerechtvaardigd door een significant incident of door een schijnbare inbreuk.
- Beveiligingsscans gebaseerd op objectieve, niet-discriminerende, eerlijke en transparante risicobeoordelingscriteria.
- Verzoeken om informatie die nodig zijn om de cyberbeveiligingsrisicobeheermaatregelen te beoordelen, inclusief gedocumenteerd beveiligingsbeleid.
- Verzoeken om toegang tot gegevens, documenten en informatie die nodig zijn om toezicht uit te voeren, en verzoeken om bewijs van de uitvoering van cyberbeveiligingsbeleid, zoals de resultaten van beveiligingsaudits en het onderliggende bewijs.
Voor belangrijke entiteiten geldt in plaats daarvan artikel 33. De bevoegdheden zijn grotendeels vergelijkbaar, maar ze worden ex post uitgeoefend: de autoriteit treedt op wanneer ze bewijs, een aanwijzing of informatie heeft die erop wijst dat een belangrijke entiteit zijn verplichtingen niet nakomt. Dat verschil is belangrijk voor de planning. Een essentiële entiteit moet ervan uitgaan dat ze op enig moment zonder waarschuwing wordt onderzocht. Een belangrijke entiteit moet ervan uitgaan dat een incident, een klacht, of een toezichtbevinding bij een branchegenoot het bezoek zal triggeren.
Het kostenpunt dat mensen missen: wanneer een autoriteit een gerichte beveiligingsaudit door een onafhankelijk orgaan gelast, bepaalt artikel 32(2) dat de kosten van die audit worden gedragen door de gecontroleerde entiteit, behalve in naar behoren gemotiveerde gevallen waarin de bevoegde autoriteit anders beslist. Begroot voor die mogelijkheid. Een ongeplande externe audit halverwege een boekjaar is een veel lastiger gesprek met het bestuur dan een geplande readinessbeoordeling.
Bouw het dossier in vier lagen
De fout die de meeste organisaties maken is bewijs verzamelen maatregel voor maatregel, in de volgorde van artikel 21(2). Dat levert een stapel documenten op in de verkeerde volgorde, want een toezichthouder begint niet bij 21(2)(a) en werkt niet naar beneden. Hij begint bij governance, want governance vertelt hem hoeveel vertrouwen hij aan al het andere kan geven. Structureer het dossier op de manier waarop het wordt gelezen.
Laag 1: governance en verantwoording
Het beleid voor cyberbeveiligingsrisicobeheer, met de datum en de genotuleerde goedkeuring door het bestuursorgaan. Het trainingsregister van artikel 20 per bestuurder, met trainer, curriculum, datum en aanwezigheid. De reikwijdtebepaling en het classificatiebesluit. Het organogram dat laat zien wie eigenaar is van het cyberbeveiligingsrisico en aan wie diegene rapporteert. Als deze laag zwak is, wordt alles daaronder sceptisch gelezen.
Laag 2: fundament van risico en assets
Het risicoregister met aangewezen eigenaren, beoordelingsdata, behandelbesluiten en restrisico geaccepteerd op het juiste niveau. De aan diensten gekoppelde asset-inventaris, die elke essentiële of belangrijke dienst koppelt aan de systemen en leveranciers die deze ondersteunen. Zonder deze twee hebben de overige maatregelen niets om aan te hangen en kan niet worden aangetoond dat ze evenredig zijn met het werkelijke risico.
Laag 3: de tien maatregelen van artikel 21
Een map per maatregel: risicoanalyse en beleid voor de beveiliging van informatiesystemen, incidentafhandeling, bedrijfscontinuïteit inclusief back-upbeheer, disaster recovery en crisisbeheer, beveiliging van de toeleveringsketen, beveiliging bij de verwerving, ontwikkeling en onderhoud van netwerk- en informatiesystemen inclusief kwetsbaarheidsbeheer en -openbaarmaking, beoordeling van de effectiviteit, cyberhygiëne en training, beleid voor cryptografie en versleuteling, beveiliging van personeel en toegangscontrole en assetbeheer, en meervoudige authenticatie en beveiligde communicatie. Elke map bevat het beleid, het operationele artefact dat aantoont dat het beleid werkt, en het laatste beoordelingsrecord.
Laag 4: incidenten en oefeningen
Het incidentregister, de classificatietoets die wordt gebruikt om te bepalen wat als significant geldt, kopieën van eventuele verzonden meldingen op grond van artikel 23 met hun tijdstempels, en de rapporten van tabletop- of live-oefeningen van de afgelopen twaalf maanden. Dit is de laag die aantoont dat het programma onder druk werkt, en niet alleen op papier.
De vier weken voor een audit
Ga ervan uit dat je vooraf bericht krijgt. Ga ervan uit dat het kort is. Dit is het plan dat we met klanten draaien, samengeperst in vier werkweken en zo ingedeeld dat het werk met de hoogste waarde eerst gebeurt, voor het geval de vooraankondiging korter blijkt dan verwacht.
Voorbereidingsplan van vier weken
- Week 1, governance. Zoek de notulen van de bestuursgoedkeuring en de trainingsregisters op. Ontbreekt een van beide, herstel het nu en dateer het eerlijk, want een laat artefact met een waarheidsgetrouwe datum wint het altijd van een teruggedateerd artefact.
- Week 1, sanity check van de inventaris. Kies de twee belangrijkste diensten en controleer of je binnen een uur de ondersteunende systemen, business owners en technische eigenaren kunt opsommen.
- Week 2, de tien mappen. Een eigenaar per maatregel van artikel 21, een week, elk een eigen map. Lege mappen zijn informatie: ze laten zien waar de echte gaten zitten terwijl er nog tijd is om te handelen.
- Week 2, dekkingsrapporten. Trek het MFA-registratierapport, de patchnalevingscijfers en het EDR-uitrolpercentage op dezelfde datum, zodat de cijfers onderling kloppen.
- Week 3, restoretest en oefening. Is er in twaalf maanden geen gedocumenteerde restoretest of incidentoefening geweest, voer er dan nu een uit en schrijf hem op, inclusief wat er misging. Een eerlijk rapport is sterker bewijs dan een vlekkeloos rapport.
- Week 3, register van bekende gaten. Leg elk gat vast dat je kent, met een eigenaar, een datum en een remediatieplan. Verklaarde gaten zijn beheerst risico. Ontdekte gaten zijn bevindingen.
- Week 4, generale repetitie. Iemand die het dossier niet heeft gebouwd, vraagt om tien willekeurige artefacten en meet hoe lang het kost om elk te produceren. Alles boven tien minuten krijgt een indexvermelding.
- Week 4, bestuursbriefing. Dertig minuten met de bestuurders over wat hen gevraagd zal worden en wat de eerlijke antwoorden zijn. Vragen op grond van artikel 20 gaan rechtstreeks naar hen.
Hoe de dag doorgaans verloopt
Het patroon is consistent genoeg om op te plannen. Een openingssessie over governance en reikwijdte, meestal met bestuurders aanwezig. Een doorloop van de risicobeheeraanpak, waarbij een of twee echte diensten end-to-end worden gevolgd in plaats van het beleid in abstracte zin te beoordelen. Steekproeven: geef me de toegangsreview voor dit systeem, laat me het patchrecord voor die server zien, produceer de melding die je hebt verzonden voor het incident in maart. Daarna een afsluitende sessie die de observaties samenvat.
Drie gedragingen maken de dag beter. Beantwoord de vraag die gesteld wordt, niet de vraag waar je je op had voorbereid. Weet je het niet, zeg dan dat je het niet weet en spreek een moment af waarop je het aanlevert, en houd je daaraan. En laat een persoon elk verzoek, elk overgedragen document en elke toezegging loggen, want de opvolglijst is wat de formele bevindingen wordt.
Geef geen materiaal buiten de vraag om. Een toezichthouder die vraagt naar backuptesten heeft je volledige disaster-recoverystrategie en je cloudmigratieplan niet nodig. Extra materiaal vergroot het aanvalsoppervlak, en elk extra artefact is iets anders dat consistent moet zijn met alles wat je al hebt gezegd.
De bevindingen die steeds terugkomen
- Beleid goedgekeurd door het verkeerde orgaan. Artikel 20 vereist dat het bestuursorgaan de risicobeheermaatregelen goedkeurt. Beleid dat alleen door de IT-directeur is afgetekend, is een governancebevinding, hoe goed het beleid ook is.
- Training die heeft plaatsgevonden maar niet kan worden aangetoond. Een sessie zonder aanwezigheidslijst, zonder trainercredentials en zonder notulen wordt behandeld als een sessie die niet heeft plaatsgevonden.
- Risicoregister zonder restrisico. Registers die risico's en maatregelen opsommen maar nooit vermelden welk restrisico is geaccepteerd, en door wie, zakken voor de verantwoordingstoets.
- MFA met een ongedocumenteerde uitzonderingslijst. Uitzonderingen zijn acceptabel. Uitzonderingen zonder aangewezen eigenaar, compenserende maatregel en beoordelingsdatum zijn dat niet.
- Back-ups nooit hersteld. Een back-uptaak die succesvol voltooit is geen bewijs van herstelbaarheid. Een gedateerde restoretest met een gemeten hersteltijd wel.
- Geen schriftelijke classificatietoets voor significante incidenten. Als niemand vooraf heeft afgesproken wat de vroegtijdige waarschuwing van 24 uur triggert, wordt de beslissing onder druk genomen door wie er toevallig dienst heeft.
- Leveranciersregister dat inkoop en security niet delen. Twee lijsten met twee definities van kritiek leveren twee verschillende antwoorden op op dezelfde toezichtvraag.
- Effectiviteit nooit beoordeeld. Artikel 21(2)(f) vereist beleid en procedures om de effectiviteit van de maatregelen te beoordelen. Veel programma's voeren maatregelen in en evalueren nooit of ze werken.
Wat er gebeurt na een bevinding
Artikel 32(4) geeft autoriteiten een gestaffelde reeks handhavingsbevoegdheden. Waarschuwingen. Bindende aanwijzingen. Bevelen om gedrag te staken dat de richtlijn schendt. Bevelen om maatregelen op een bepaalde manier en binnen een bepaalde termijn in overeenstemming te brengen. Bevelen om de aanbevelingen van een beveiligingsaudit uit te voeren. Bevelen om de natuurlijke of rechtspersonen te informeren die getroffen zijn door een significante dreiging. De aanwijzing van een toezichthoudend functionaris met vastgestelde taken. Bevelen om aspecten van een inbreuk openbaar te maken. En bestuurlijke boetes.
Voor essentiële entiteiten is er een verdere stap in artikel 32(5). Wanneer andere handhavingsmaatregelen niet effectief zijn gebleken, kan een lidstaat een certificering of vergunning met betrekking tot de door de entiteit geleverde diensten tijdelijk schorsen, en een natuurlijke persoon met managementverantwoordelijkheden op het niveau van CEO of wettelijk vertegenwoordiger tijdelijk verbieden die functies uit te oefenen. Dat is de bepaling die besturen moeten begrijpen, want die raakt individuen in plaats van balansen.
De praktische lezing is dat de meeste eerste contacten eindigen in aanwijzingen en termijnen, niet in sancties. Wat een zaak doet escaleren is niet het oorspronkelijke gat. Het is dat je het niet dicht binnen de gestelde datum.
Veelgestelde vragen
Vereist NIS2 een externe audit?
De richtlijn legt geen permanente certificeringsverplichting op. Ze geeft bevoegde autoriteiten de bevoegdheid om gerichte beveiligingsaudits te eisen, uitgevoerd door een onafhankelijk orgaan of door de autoriteit zelf, en om ad-hocaudits te eisen waar dat gerechtvaardigd is. Een audit is dus niet automatisch, maar de bevoegdheid om er een te gelasten, en de kosten bij de entiteit neer te leggen, bestaat wel.
Wat is het verschil tussen toezicht op essentiële en belangrijke entiteiten?
Essentiële entiteiten staan onder ex ante toezicht op grond van artikel 32, wat inspecties, steekproeven, reguliere en gerichte audits, beveiligingsscans en informatieverzoeken toestaat zonder voorafgaande aanwijzing van een probleem. Belangrijke entiteiten staan onder ex post toezicht op grond van artikel 33, wat betekent dat de autoriteit optreedt zodra ze bewijs of een aanwijzing heeft dat verplichtingen niet worden nagekomen.
Om welk bewijs vraagt een NIS2-auditor als eerste?
In de praktijk zijn de eerste verzoeken governance-artefacten: het goedgekeurde risicobeheerbeleid met de datum en het record van goedkeuring door het bestuursorgaan, het trainingsregister van het bestuur op grond van artikel 20, het risicoregister met aangewezen eigenaren, en het incidentregister. Technisch bewijs zoals MFA-dekking en patchmetrieken volgt nadat de governancelaag is onderzocht.
Hoe ver terug kijkt een NIS2-audit?
De richtlijn kent geen vaste terugkijkperiode. Een praktische planningsaanname is twaalf maanden, want dat is de natuurlijke cyclus voor beleidsherziening, bestuurstraining, restoretesten en incident-response-oefeningen. Bewijs dat een maatregel alleen bestond in de twee weken voor de audit wordt als zwak beschouwd.
Kan een NIS2-audit direct tot een boete leiden?
Dat kan, maar een boete is een van de meerdere opties. Artikel 32(4) noemt waarschuwingen, bindende aanwijzingen, bevelen om gedrag te staken, bevelen om maatregelen in overeenstemming te brengen, bevelen om auditaanbevelingen uit te voeren, bevelen om getroffen ontvangers te informeren, de aanwijzing van een toezichthoudend functionaris, bevelen om aspecten van de inbreuk openbaar te maken, en bestuurlijke boetes. Autoriteiten escaleren doorgaans in plaats van te beginnen met het maximum.
Voldoet een ISO 27001-certificering aan een NIS2-audit?
Nee, maar het helpt aanzienlijk. Een gecertificeerd ISMS dekt een groot deel van de maatregelen van artikel 21 en geeft je een bewijsdiscipline die auditors herkennen. De gaten die overblijven zijn doorgaans de NIS2-specifieke: de verplichtingen van het bestuursorgaan uit artikel 20, de meldtermijnen van artikel 23, en de aan diensten gekoppelde reikwijdte, aangezien een ISO-scopeverklaring legitiem systemen kan uitsluiten die NIS2 wel binnen de reikwijdte beschouwt.
Wie hoort er in de ruimte te zijn tijdens een NIS2-audit?
Een aangewezen lead die het gesprek in handen heeft, een vakspecialist per maatregel van artikel 21 die oproepbaar is, en een persoon die het bewijslog beheert. Bestuurders moeten beschikbaar zijn voor de governancesessie, want vragen op grond van artikel 20 worden beantwoord door het bestuursorgaan, niet namens hen door het securityteam.
Wil je weten hoe je het zou doen onder toezicht?
Wij voeren readinessbeoordelingen uit zoals een autoriteit dat zou doen: eerst governance, dan steekproeven, dan een schriftelijk bevindingenrapport met eigenaren en data. Jij krijgt de bevindingen voordat de toezichthouder ze krijgt.
Boek een audit-readinessbeoordeling