Checklist

NIS2 checklist: de acht stappen, en het bewijs dat erbij hoort

Een NIS2 checklist loopt in acht stappen van de vraag of je binnen scope valt tot je registratie bij de nationale autoriteit, en per stap hoort er bewijs te liggen dat een toezichthouder kan lezen. Die tweede helft is waar het meestal misgaat. De maatregelen zijn er wel, het dossier niet.

Stap 1: val je onder NIS2?

Zit deze stap fout, dan klopt alles daarna ook niet. Leg de organisatie naast de 18 sectoren uit bijlage I en II, en neem dochters, joint ventures en EU-vestigingen van moederbedrijven buiten de EU mee. Toets daarna de drempels: 50 medewerkers of 10 miljoen euro omzet, en 250 medewerkers of 50 miljoen euro. Gebruik de Europese mkb-definitie en tel verbonden en partnerondernemingen mee.

Een aparte categorie valt eronder ongeacht personeel of omzet: DNS-aanbieders, registers voor topleveldomeinen, cloudaanbieders, datacenters en CDN-aanbieders. Leg je conclusie over de toepasselijkheid schriftelijk vast en onderbouw je redenering. Toezichthouders vragen erom.

Stap 2: ben je essentieel of belangrijk?

Die indeling bepaalt twee dingen: je toezichtregime en je boeteplafond. Essentiële entiteiten vallen onder proactief toezicht en riskeren tot 10 miljoen euro of 2 procent van de wereldwijde omzet. Belangrijke entiteiten vallen onder reactief toezicht en riskeren tot 7 miljoen euro of 1,4 procent. Bepaal dit per rechtspersoon binnen scope, niet voor de groep als geheel.

Stap 3: waar sta je nu?

Beoordeel waar je staat voordat je nieuwe maatregelen invoert. Een gap analyse brengt alle netwerk- en informatiesystemen in kaart met hun afhankelijkheden en datastromen, legt je bestaande beleid naast de tien minimale maatregelen, toetst of je binnen de termijnen kunt detecteren, melden en herstellen, kijkt naar je leverancierscontracten en de manier waarop je die toetst, en controleert of het bestuur toezicht houdt en training heeft gevolgd. Heb je ISO 27001, richt de analyse dan op de punten waar NIS2 verder gaat.

Stap 4: welke maatregelen vraagt artikel 21?

Artikel 21 noemt tien minimale maatregelen voor risicobeheer. Evenredigheid geldt, maar elke maatregel moet je expliciet afdekken. "Dat doen we niet" is geen antwoord.

1. Beleid voor risicoanalyse en beveiliging van informatiesystemen, goedgekeurd, met versienummer, jaarlijks herzien.
2. Incidentafhandeling die werkt: detecteren, indammen, opruimen, herstellen, met draaiboeken voor je vijf belangrijkste scenario's.
3. Bedrijfscontinuïteit, back-upbeheer, herstel na calamiteiten en crisisbeheer, inclusief een geteste terugzetting.
4. Beveiliging van de toeleveringsketen, gericht op je directe leveranciers en dienstverleners.
5. Beveiliging bij aanschaf, ontwikkeling en onderhoud van systemen, inclusief kwetsbaarhedenbeheer en patchtermijnen.
6. Beleid en procedures om de werking van je maatregelen te toetsen.
7. Basishygiëne en training per rol, inclusief phishingsimulaties en training voor gebruikers met hoge rechten.
8. Beleid voor cryptografie en versleuteling, in rust, onderweg, en voor sleutelbeheer.
9. Beveiliging rond personeel, beheer van assets en toegangsbeheer, met processen voor in-, door- en uitstroom.
10. Meervoudige authenticatie en beveiligde communicatie, met phishingbestendige factoren voor beheerders.

Stap 5: haal je de meldtermijnen?

Artikel 23 kent drie momenten en die liggen vast. Wat je nodig hebt is niet alleen de termijn kennen, maar de machinerie erachter: een geschreven definitie van "significant incident" voor jouw entiteit, sjablonen die klaarliggen, een benoemde eigenaar, en een bereikbaarheidslijst die je elk kwartaal test buiten kantooruren.

Stap 6: heb je je keten in beeld?

Artikel 21(2)(d) trekt je verplichtingen door naar leveranciers. Je hebt een volledig leveranciersoverzicht nodig, ingedeeld naar hoe kritiek ze zijn, met in elk geval ICT, cloud, dienstverleners en iedereen met hoge rechten erin. Daarnaast een methodiek om ze te beoordelen met duidelijke eisen aan bewijs, contractclausules over beveiliging, melden van incidenten en auditrecht, doorlopend toezicht met een vaste bevestiging, en een exitplan voor je kritieke leveranciers.

Let op één klassieke bevinding: inkoop en security houden vaak twee lijsten bij met twee definities van kritiek. Dat levert twee verschillende antwoorden op dezelfde toezichtvraag.

Stap 7: staat het bestuur erachter, aantoonbaar?

Artikel 20 maakt het bestuursorgaan persoonlijk verantwoordelijk. Vier dingen horen daarbij: de maatregelen voor risicobeheer goedkeuren, toezicht houden op de uitvoering, training over cybersecurity volgen, en aansprakelijkheid aanvaarden voor schendingen van artikel 21. Wijs formeel een lid van het bestuursorgaan aan als eigenaar, met naam, vastgelegd in de notulen. Bewaar de aanwezigheid en de inhoud van de training: een sessie zonder aanwezigheidslijst wordt behandeld als een sessie die niet heeft plaatsgevonden.

Stap 8: ben je geregistreerd?

Entiteiten binnen scope melden zich bij hun nationale bevoegde autoriteit, met naam en rechtsvorm, adres en contactgegevens, sector en subsector, de lidstaten waar ze actief zijn, IP-reeksen en een contactpersoon. Er is geen EU-breed registratievenster en geen EU-brede datum voor eerste controles: elke lidstaat regelt dat zelf in nationaal recht. In Nederland geldt de registratieplicht vanaf 15 augustus 2026, als de Cyberbeveiligingswet in werking treedt. Controleer de datum bij je eigen nationale autoriteit, want te laat registreren is zelf een overtreding.

Wanneer is een punt echt afgevinkt?

Bij toezicht telt niet wat je doet, maar wat je kunt laten zien. Een goede test kost je een middag: laat iemand die het dossier niet heeft gebouwd om tien willekeurige artefacten vragen en meet hoe lang het duurt om elk te produceren. Alles boven tien minuten krijgt een indexvermelding. Leg daarnaast elk gat vast dat je zelf al kent, met een eigenaar, een datum en een plan. Verklaarde gaten zijn beheerst risico. Ontdekte gaten zijn bevindingen.

Veelgestelde vragen