Een DORA-gap-analyse is een systematische vergelijking tussen de huidige ICT-situatie van jouw organisatie en de vereisten uit de Digital Operational Resilience Act. Door deze analyse breng je tekortkomingen in kaart op het gebied van ICT-risicomanagement, incidentbeheer, weerbaarheidstesten en het beheer van externe ICT-dienstverleners. Met de inzichten uit een gap-analyse kun je gericht werken aan compliance vóór de deadline en aantoonbaar in control zijn richting toezichthouders.

Wat is een DORA-gap-analyse en waarom is deze essentieel?

Een DORA-gap-analyse is een nulmeting die de afstand bepaalt tussen jouw huidige ICT-inrichting en de wettelijke vereisten uit DORA. Het doel is helder: identificeren waar jouw organisatie nog niet voldoet aan de eisen voor digitale operationele weerbaarheid. Dit omvat tekortkomingen in ICT-risicomanagement, incidentrapportage, periodieke weerbaarheidstesten en het beheer van risico’s bij uitbesteding aan derden.

Voor financiële instellingen en hun toeleveranciers is deze analyse geen luxe, maar noodzaak. DORA is sinds januari 2023 van kracht en organisaties moeten per januari 2025 volledig compliant zijn. Een gap-analyse vormt het logische startpunt om vast te stellen of DORA daadwerkelijk is geïmplementeerd. Zonder deze nulmeting weet je simpelweg niet waar je staat en welke acties prioriteit verdienen.

Belangrijk om te beseffen: DORA vraagt om aantoonbaarheid, niet alleen om beleid op papier. Een gap-analyse helpt je te bepalen hoe je kunt laten zien dat je in control bent richting toezichthouders zoals DNB.

Welke DORA-vereisten moet je meenemen in je gap-analyse?

DORA kent vijf kernpijlers die je systematisch moet analyseren. Elke pijler bevat specifieke controlepunten en documentatievereisten die in jouw gap-analyse thuishoren.

• ICT-risicomanagementframework: Beoordeel of je een gedocumenteerd ICT-risicobeheerkader hebt dat digitale dreigingen beheerst en klantgegevens beschermt. Controleer of regelmatige risicobeoordelingen worden uitgevoerd.
• ICT-gerelateerde incidentrapportage: Analyseer of er procedures bestaan voor snelle opsporing en melding van ICT-incidenten. Denk aan datalekken en cyberaanvallen die gemeld moeten worden bij de toezichthouder.
• Digitale operationele weerbaarheidstesten: Controleer of er een structureel testprogramma bestaat, inclusief penetratietests en vulnerability assessments.
• ICT-third-party-risicobeheer: Inventariseer alle ICT-dienstverleners en beoordeel of contracten voldoen aan DORA-vereisten. Dit omvat cloudproviders, softwareleveranciers en datacentra.
• Informatie-uitwisseling: Bepaal of er mechanismen bestaan voor het delen van cyberdreigingsinformatie binnen de sector.

Per pijler documenteer je de huidige situatie, de vereiste situatie en het verschil daartussen. Dit vormt de basis voor je remediëringsplan.

Hoe bereid je een DORA-gap-analyse stap voor stap voor?

Een gedegen voorbereiding bepaalt het succes van je gap-analyse. Begin met het samenstellen van een multidisciplinair projectteam met vertegenwoordigers van IT, compliance en riskmanagement. Bestuurlijke betrokkenheid is cruciaal, omdat DORA primair een governance- en organisatievraagstuk is.

Verzamel vervolgens alle relevante documentatie:

• Bestaand ICT-beleid en informatieveiligheidsbeleid
• Incidentresponsprocedures en escalatieprotocollen
• Contracten met ICT-leveranciers en uitbestedingsovereenkomsten
• Rapportages van eerdere penetratietests en security-assessments
• Risicoanalyses en business impact assessments

Bepaal de scope door kritieke functies en systemen te prioriteren. Niet alle processen hebben dezelfde impact op de bedrijfscontinuïteit. Focus op systemen die essentieel zijn voor de dienstverlening aan klanten.

Selecteer een geschikt assessmentframework. Een normenkader helpt bij het gestructureerd doorlopen van alle DORA-vereisten en zorgt voor vergelijkbare resultaten.

Welke tools en frameworks kun je gebruiken voor een DORA-gap-analyse?

Diverse hulpmiddelen ondersteunen je bij het uitvoeren van een DORA-gap-analyse. DORA-compliancechecklists bieden een overzicht van alle vereisten en helpen voorkomen dat je iets over het hoofd ziet. Maturity-assessmentframeworks geven inzicht in het volwassenheidsniveau van je huidige maatregelen.

Het NOREA DORA in Control Framework integreert vragen van DNB voor zowel banken als pensioenfondsen en verzekeraars. Deze toezichthoudervragen geven praktisch inzicht in waar de focus van regelgevers ligt. Let op: vragen kunnen wijzigen en de volledige DORA-verordening blijft van toepassing.

Mappingtools koppelen DORA-artikelen aan bestaande frameworks zoals ISO 27001 of ISAE 3402. Dit is waardevol wanneer je organisatie al werkt met deze standaarden. Je kunt dan bestaande beheersmaatregelen hergebruiken en hoeft niet alles opnieuw op te bouwen.

Houd bij het kiezen van tools rekening met de omvang en complexiteit van je organisatie. Een middelgrote organisatie heeft andere behoeften dan een grote financiële instelling. Kies voor pragmatische tools die passen bij jouw situatie.

Wat zijn de meest voorkomende gaps bij DORA-implementatie?

Uit de praktijk blijken bepaalde tekortkomingen regelmatig voor te komen. Veel organisaties denken DORA wel op orde te hebben, maar worstelen juist met details en aantoonbaarheid.

Ontbrekende of verouderde ICT-risicobeoordeling: Risicoanalyses zijn vaak eenmalig uitgevoerd en niet geactualiseerd. DORA vereist regelmatige ICT-risicobeoordelingen om systemen en data veilig te houden.

Onvoldoende documentatie van incidentresponsprocedures: Procedures bestaan soms wel in de hoofden van medewerkers, maar zijn niet vastgelegd. Bij een incident moet je kunnen aantonen hoe je hebt gehandeld.

Geen structureel testprogramma: Penetratietests worden ad hoc uitgevoerd in plaats van periodiek. DORA vereist regelmatige weerbaarheidstesten om te voldoen aan toezichthouder- en klanteisen.

Incomplete inventarisatie van ICT-dienstverleners: Organisaties hebben vaak geen volledig overzicht van alle partijen aan wie ICT-diensten zijn uitbesteed, inclusief onderaannemers.

Contractuele tekortkomingen bij uitbesteding: Bestaande contracten bevatten niet alle DORA-vereiste bepalingen over beveiliging, audits en exitregelingen.

Hoe prioriteer je de gevonden gaps en stel je een actieplan op?

Na het identificeren van gaps is prioritering essentieel. Classificeer elke gap op basis van twee criteria: risico-impact (wat is het gevolg als dit niet wordt opgelost?) en urgentie (hoe snel moet dit worden aangepakt?).

Gaps met hoge impact én hoge urgentie verdienen directe aandacht. Denk aan ontbrekende incidentrapportageprocedures of kritieke contractuele tekortkomingen bij belangrijke leveranciers.

Stel een realistisch implementatieplan op met:

• Concrete acties per gap
• Verantwoordelijke personen of teams
• Realistische tijdlijnen
• Benodigde resources en budget

Stem het plan af op budgetcycli en andere compliance-initiatieven. Wellicht lopen er al projecten voor ISO 27001 of SOC 2 waar je synergie kunt behalen.

Creëer een mix van quick wins en langetermijnverbeteringen. Quick wins (zoals het documenteren van bestaande procedures) tonen voortgang en creëren draagvlak. Langetermijnverbeteringen (zoals het implementeren van een nieuw testprogramma) vragen meer tijd, maar zijn essentieel voor duurzame compliance.

Hoe helpt Hoek en Blok IT bij je DORA-gap-analyse?

Hoek en Blok IT ondersteunt organisaties bij het uitvoeren van onafhankelijke DORA-gap-analyses met een pragmatische aanpak die past bij middelgrote organisaties.

• Uitvoeren van nulmetingen door NOREA-gecertificeerde EDP-auditors met meer dan 30 jaar praktijkervaring in de financiële sector
• Gestructureerde assessmentaanpak via interviews, documentreview en inspectie van configuraties
• Heldere rapportage die zowel verbeterpunten als sterke punten identificeert
• Ondersteuning bij het opstellen van concrete remediëringsplannen
• Doorlopende begeleiding via IT Security Officer as-a-Service
• Mogelijkheid tot assurancerapportages (zoals ISAE 3000) om naleving aantoonbaar te maken

Wil je weten waar jouw organisatie staat ten opzichte van de DORA-vereisten? Neem contact op voor een vrijblijvend gesprek over een DORA-gap-analyse op maat.

NIS2 is de nieuwe Europese cybersecurityrichtlijn die organisaties in essentiële en belangrijke sectoren verplicht om hun digitale weerbaarheid structureel te versterken. De richtlijn treedt in Nederland per 1 juli 2026 in werking via de Cyberbeveiligingswet. Organisaties die onder de scope vallen, moeten vóór deze datum hun cyberbeveiligingsmaatregelen op orde hebben. In dit artikel beantwoorden we de belangrijkste vragen over NIS2, van verplichtingen en deadlines tot praktische voorbereidingsstappen.

Wat is de NIS2-richtlijn en waarom is deze belangrijk?

De NIS2-richtlijn is de opvolger van de oorspronkelijke NIS-richtlijn uit 2016 en vormt het nieuwe Europese kader voor cybersecurity. De Europese Unie heeft deze richtlijn ontwikkeld om lidstaten digitaal en economisch weerbaarder te maken tegen de toenemende dreiging van cyberaanvallen. NIS2 stelt strengere eisen aan organisaties en heeft een aanzienlijk bredere reikwijdte dan zijn voorganger.

Het belang van NIS2 ligt in de geharmoniseerde aanpak van cybersecurity binnen Europa. Waar de eerste NIS-richtlijn nog veel ruimte liet voor nationale interpretatie, zorgt NIS2 voor een consistenter beschermingsniveau. De richtlijn richt zich op het versterken van de digitale weerbaarheid van essentiële en belangrijke sectoren, omdat verstoringen in deze sectoren grote maatschappelijke en economische gevolgen kunnen hebben.

Voor organisaties betekent dit dat cybersecurity niet langer vrijblijvend is. Het bestuur draagt directe verantwoordelijkheid voor de naleving van de richtlijn, wat de urgentie voor adequate implementatie vergroot.

Welke organisaties vallen onder de NIS2-richtlijn?

NIS2 is van toepassing op organisaties die voldoen aan specifieke criteria rond omvang en sector. De richtlijn maakt onderscheid tussen essentiële sectoren (Annex 1) en belangrijke sectoren (Annex 2), elk met een eigen toezichtregime.

Essentiële sectoren onder Annex 1 omvatten:

• Energie (elektriciteit, olie, gas, waterstof)
• Transport (lucht, spoor, water, weg)
• Gezondheidszorg
• Drinkwater en afvalwater
• Digitale infrastructuur
• Bankwezen en financiële marktinfrastructuur
• Overheidsdiensten

Belangrijke sectoren onder Annex 2 betreffen:

• Post- en koeriersdiensten
• Afvalstoffenbeheer
• Voedselproductie en -distributie
• Chemische stoffen
• Digitale aanbieders
• Onderzoeksinstellingen
• Fabrieken (bepaalde categorieën)

Qua omvang geldt NIS2 voor middelgrote organisaties (50 of meer medewerkers, of een omzet of balanstotaal boven 10 miljoen euro) en grote organisaties (meer dan 250 medewerkers, of een omzet boven 50 miljoen euro en een balanstotaal boven 43 miljoen euro). Kleine mkb-organisaties met minder dan 50 werknemers en een omzet en balanstotaal onder 10 miljoen euro vallen niet onder de scope.

Wat zijn de belangrijkste verplichtingen onder NIS2?

Organisaties die onder NIS2 vallen, moeten voldoen aan tien kernverplichtingen die samen de zorgplicht vormen. Deze maatregelen richten zich op drie pijlers: techniek, mensen en processen.

De belangrijkste verplichtingen omvatten:

• Risicoanalyse en beveiliging van informatiesystemen
• Incidentbehandeling met meldplicht binnen 24 uur (vroegtijdige waarschuwing) en 72 uur (volledig rapport)
• Bedrijfscontinuïteit en crisismanagement
• Beveiliging van de toeleveringsketen (supply chain security)
• Beveiliging bij verwerving, ontwikkeling en onderhoud van netwerk- en informatiesystemen
• Beoordeling van de effectiviteit van cyberbeveiligingsmaatregelen
• Basispraktijken voor cyberhygiëne en cybersecuritytraining
• Beleid voor cryptografie en encryptie
• Toegangsbeleid en beheer van activa, inclusief multi-factorauthenticatie waar gepast
• Beveiligde communicatiesystemen binnen de organisatie

Het bestuur moet dit beleid vaststellen en periodiek herzien. Bestuurders zijn verplicht om cybersecuritytrainingen te volgen en kunnen persoonlijk aansprakelijk worden gesteld bij nalatigheid.

Wanneer moet mijn organisatie NIS2-compliant zijn?

In Nederland treedt NIS2 per 1 juli 2026 in werking via de Cyberbeveiligingswet. Dit betekent dat organisaties die onder de scope vallen, vóór deze datum hun cyberbeveiligingsmaatregelen volledig geïmplementeerd moeten hebben. De deadline valt aan het einde van Q2 2026, wat een duidelijk tijdsframe geeft voor het compliancetraject.

De urgentie neemt toe naarmate de deadline nadert. Een gedegen NIS2-implementatie kost doorgaans 12 tot 18 maanden, afhankelijk van de huidige volwassenheid van je cybersecurity. Organisaties die nu nog niet gestart zijn, moeten dus snel in actie komen.

Praktische stappen die je nu al kunt nemen:

• Bepaal of je organisatie onder de scope valt op basis van sector en omvang
• Voer een nulmeting uit om je huidige situatie in kaart te brengen
• Stel een projectteam samen met vertegenwoordiging van IT, compliance en bestuur
• Maak een realistisch implementatieplan met duidelijke mijlpalen

Wat zijn de gevolgen van non-compliance met NIS2?

De sancties bij niet-naleving van NIS2 zijn aanzienlijk en kunnen organisaties hard raken. Administratieve boetes kunnen oplopen tot 10 miljoen euro of 2% van de wereldwijde jaaromzet, afhankelijk van welk bedrag hoger is. Voor essentiële entiteiten onder Annex 1 geldt proactief toezicht, wat betekent dat toezichthouders actief controleren op naleving.

Naast financiële sancties is er sprake van persoonlijke aansprakelijkheid van bestuurders. Het topmanagement kan verantwoordelijk worden gehouden voor tekortkomingen in cybersecurityrisicomanagement. Dit maakt NIS2-compliance tot een bestuurlijke prioriteit die niet uitsluitend bij de IT-afdeling kan worden belegd.

De indirecte gevolgen zijn minstens zo ingrijpend. Reputatieschade na een cyberincident of publiekelijk bekendgemaakte non-compliance kan het vertrouwen van klanten en partners ernstig schaden. Daarnaast kunnen zakelijke relaties onder druk komen te staan, omdat steeds meer organisaties cybersecurity-eisen stellen aan hun leveranciers.

Hoe bereid ik mijn organisatie voor op NIS2-compliance?

Een pragmatische aanpak voor NIS2-implementatie bestaat uit vijf fasen die je helpen om gestructureerd toe te werken naar compliance.

Fase 1: Analyseren van cyberrisico’s
Voer een business impact assessment uit om te bepalen voor welke systemen en applicaties maatregelen nodig zijn. Een gap-analyse toont het verschil tussen je huidige en gewenste situatie.

Fase 3: Opstellen en uitvoeren van actieplan
Integreer de maatregelen structureel in dagelijkse werkzaamheden, cultuur en strategie. Zorg voor adequate training van medewerkers.

Fase 5: Controleren en verbeteren
Analyseer incidenten, controleer maatregelen periodiek en documenteer resultaten. Beoordeel regelmatig de effectiviteit van je cyberbeveiligingsmaatregelen.

Hoe helpt Hoek en Blok IT bij NIS2-compliance?

Hoek en Blok IT ondersteunt organisaties bij het volledige NIS2-compliancetraject met een pragmatische en betaalbare aanpak. De NOREA-gecertificeerde EDP-auditors combineren technische expertise met auditervaring om je organisatie doelgericht naar compliance te begeleiden.

Concrete diensten voor NIS2-compliance:

• NIS2-nulmeting en gap-analyse: inzicht in je huidige situatie, kroonjuwelen en risicogebieden
• IT-securityassessments en penetratietests: identificatie van kwetsbaarheden in netwerk en systemen
• Opstellen informatiebeveiligingsbeleid: helder beleid als kapstok voor maatregelimplementatie
• Securityawarenesstrainingen: verhoog het beveiligingsbewustzijn van medewerkers
• IT Security Officer as-a-Service: structurele ondersteuning zonder fulltime aanstelling
• ISAE 3000/3402-verklaringen en SOC 2-rapportages: aantoonbare compliance richting stakeholders

Na een nulmeting ontvang je concrete deliverables: een risicoregister, een overzicht van geïmplementeerde en ontbrekende maatregelen, een informatiebeveiligingsbeleid en een adviesrapport met verbetervoorstellen.

Wil je weten hoe jouw organisatie ervoor staat richting de NIS2-deadline van 1 juli 2026? Neem contact op met Hoek en Blok IT voor een vrijblijvend gesprek over de mogelijkheden voor jouw NIS2-traject.

Bedrijven die onder de NIS2-richtlijn vallen, zijn organisaties in achttien aangewezen sectoren die voldoen aan specifieke omvangscriteria. Dit betreft middelgrote en grote ondernemingen in essentiële sectoren zoals energie, gezondheidszorg en digitale infrastructuur, maar ook in belangrijke sectoren zoals levensmiddelen en chemie. De Nederlandse Cyberbeveiligingswet, die NIS2 implementeert, treedt op 1 juli 2026 in werking. Hieronder vind je antwoord op de belangrijkste vragen over NIS2-compliance.

Wat is de NIS2-richtlijn en waarom is deze belangrijk voor Nederlandse bedrijven?

De NIS2-richtlijn is Europese cybersecuritywetgeving die organisaties verplicht om passende maatregelen te nemen tegen cyberaanvallen. Deze richtlijn vervangt de oorspronkelijke NIS-richtlijn uit 2016 en heeft een aanzienlijk bredere reikwijdte. Waar NIS1 zich beperkte tot een select aantal sectoren, omvat NIS2 nu achttien sectoren en treft daarmee veel meer Nederlandse organisaties.

De achtergrond van NIS2 ligt in de toenemende digitalisering en de groeiende dreiging van cyberaanvallen op kritieke infrastructuur. De Europese Unie wil met deze wetgeving een uniform hoog niveau van cyberbeveiliging realiseren binnen alle lidstaten. Voor Nederlandse bedrijven betekent dit dat zij moeten voldoen aan drie kernverplichtingen: de zorgplicht (risicobeoordeling en passende maatregelen), de meldplicht (incidenten binnen 24 uur melden) en het toezicht door een onafhankelijke autoriteit.

Een belangrijk aspect is dat NIS2 expliciet verantwoordelijkheid legt bij het bestuur van organisaties. Bestuurders moeten aantonen dat zij voldoende kennis en vaardigheden hebben om cyberbeveiligingsrisico’s te beoordelen. Dit maakt NIS2 niet alleen een technisch vraagstuk, maar vooral een organisatorisch vraagstuk dat aandacht van de directie vereist.

Welke sectoren vallen onder de NIS2-richtlijn?

De NIS2-richtlijn onderscheidt achttien sectoren, verdeeld in twee categorieën: essentiële sectoren (Annex 1) en belangrijke sectoren (Annex 2). Organisaties in essentiële sectoren worden als cruciaal beschouwd voor het functioneren van de maatschappij en economie, waardoor zij onder strenger toezicht vallen.

Essentiële sectoren (Annex 1):

• Energie (elektriciteit, olie, gas, waterstof)
• Transport (lucht, spoor, water, weg)
• Bankwezen en financiële marktinfrastructuren
• Gezondheidszorg
• Drinkwater en afvalwater
• Digitale infrastructuur
• ICT-dienstverlening (B2B)
• Overheidsdiensten
• Ruimtevaart

Belangrijke sectoren (Annex 2):

• Post- en koeriersdiensten
• Afvalbeheer
• Chemische industrie
• Levensmiddelen (productie, verwerking, distributie)
• Vervaardiging van medische hulpmiddelen, computers en transportmiddelen
• Digitale aanbieders (online marktplaatsen, zoekmachines, sociale netwerken)
• Onderzoeksorganisaties

Aan welke criteria moet een bedrijf voldoen om onder NIS2 te vallen?

Een organisatie valt onder NIS2 wanneer zij actief is in een van de achttien sectoren én voldoet aan de omvangscriteria. De richtlijn hanteert twee categorieën op basis van bedrijfsgrootte: middelgrote ondernemingen en grote ondernemingen.

Middelgrote ondernemingen zijn organisaties met minimaal 50 werknemers óf een jaaromzet van meer dan 10 miljoen euro. Grote ondernemingen hebben minimaal 250 werknemers óf een jaaromzet van meer dan 50 miljoen euro. De combinatie van sector én omvang bepaalt of een organisatie onder de reikwijdte valt.

Er gelden echter uitzonderingen waarbij ook kleinere organisaties onder NIS2 kunnen vallen:

• Aanbieders van openbare elektronische communicatienetwerken
• Verleners van vertrouwensdiensten
• Registers voor topleveldomeinnamen en DNS-dienstverleners
• Organisaties die als enige bepaalde diensten in een lidstaat leveren
• Organisaties waarvan verstoring significante impact zou hebben op de openbare orde of veiligheid

Wat is het verschil tussen essentiële en belangrijke entiteiten onder NIS2?

Het onderscheid tussen essentiële en belangrijke entiteiten bepaalt de intensiteit van toezicht en de hoogte van mogelijke sancties. Essentiële entiteiten zijn grote organisaties in Annex 1-sectoren en vallen onder proactief toezicht. Dit betekent dat toezichthouders hen actief benaderen en controleren, ook zonder aanleiding.

Belangrijke entiteiten, doorgaans middelgrote organisaties of organisaties in Annex 2-sectoren, vallen onder reactief toezicht. De toezichthouder wordt pas actief na een incident of melding. De verplichtingen qua zorgplicht en meldplicht zijn voor beide categorieën gelijk, maar de sancties verschillen.

Voor essentiële entiteiten kunnen boetes oplopen tot 10 miljoen euro of 2% van de wereldwijde jaaromzet. Voor belangrijke entiteiten geldt een maximum van 7 miljoen euro of 1,4% van de jaaromzet. Dit onderscheid is relevant voor de praktische implementatie: organisaties die als essentieel worden aangemerkt, moeten rekening houden met intensievere controles en hogere compliance-inspanningen.

Wanneer moet mijn organisatie NIS2-compliant zijn en wat zijn de deadlines?

De NIS2-richtlijn wordt in Nederland geïmplementeerd via de Cyberbeveiligingswet, die op 1 juli 2026 in werking treedt. Dit is de datum waarop organisaties moeten voldoen aan alle verplichtingen uit de wet. De tijd tot die deadline is beperkt, zeker gezien de omvang van de vereiste aanpassingen.

Een pragmatische aanpak voor NIS2-implementatie bestaat uit vijf fasen: analyseren van cyberrisico’s, bepalen van maatregelen via een gap-analyse, opstellen van een actieplan en controls framework, uitvoeren van maatregelen, en tot slot controleren en verbeteren. Organisaties die nu starten, hebben voldoende tijd om deze fasen zorgvuldig te doorlopen.

Wacht niet tot het laatste moment. Een nulmeting geeft inzicht in de huidige status van cybersecuritymaatregelen en identificeert potentiële kwetsbaarheden. Zo weet je precies welke stappen nodig zijn en kun je een realistisch implementatieplan opstellen. Organisaties die de voorbereiding uitstellen, lopen het risico om niet tijdig compliant te zijn en geconfronteerd te worden met sancties.

Hoe helpt Hoek en Blok IT bij NIS2-compliance?

Hoek en Blok IT ondersteunt organisaties bij alle aspecten van NIS2-voorbereiding met een pragmatische en betaalbare aanpak. De NOREA-gecertificeerde auditors combineren technische expertise met auditervaring om zowel compliance als praktische veiligheidsverbetering te realiseren.

Concrete dienstverlening voor NIS2:

• NIS2-nulmeting en gap-analyse om de huidige situatie in kaart te brengen
• IT-securityassessments en penetratietests voor het identificeren van kwetsbaarheden
• Ondersteuning bij het opstellen van beveiligingsbeleid en controls framework
• IT Security Officer as a Service voor organisaties zonder eigen security officer
• Securityawarenesstraining voor medewerkers en bestuurders
• ISAE 3000- en ISAE 3402-verklaringen voor het aantonen van adequate procesbeheersing

Wil je weten hoe jouw organisatie ervoor staat op het gebied van NIS2? Neem contact op met Hoek en Blok IT voor een vrijblijvend gesprek over de mogelijkheden voor een nulmeting of gap-analyse.

De NIS2-richtlijn schrijft geen vaste auditfrequentie voor, maar vereist dat organisaties regelmatig de effectiviteit van hun cyberbeveiligingsmaatregelen beoordelen. In de praktijk betekent dit voor de meeste organisaties minimaal jaarlijks een audit, met tussentijdse controles bij significante wijzigingen in de IT-infrastructuur of na incidenten. De exacte frequentie hangt af van je classificatie als essentiële of belangrijke entiteit, je risicoprofiel en de eisen van nationale toezichthouders.

Wat is een NIS2-audit en waarom is deze verplicht?

Een NIS2-audit is een systematische beoordeling van de cyberbeveiligingsmaatregelen die je organisatie heeft geïmplementeerd om te voldoen aan de Europese NIS2-richtlijn. Deze audit toetst of je beleid, processen en technische maatregelen adequaat zijn om cyberrisico’s te beheersen en of je voldoet aan de wettelijke verplichtingen.

De wettelijke basis voor NIS2-audits ligt in de Europese cyberbeveiligingsrichtlijn die per 1 juli 2026 in Nederland van kracht wordt. Deze richtlijn verplicht organisaties in kritieke sectoren om passende technische en organisatorische maatregelen te nemen. Het doel is drieledig: de cyberweerbaarheid verhogen, de regels in Europa gelijktrekken en de samenwerking tussen lidstaten versterken.

Onder de auditverplichtingen vallen zowel essentiële als belangrijke entiteiten. Dit zijn organisaties die belangrijk zijn voor de economie en samenleving, inclusief mkb’s die werkzaam zijn in sectoren binnen de scope. Regelmatige controle is essentieel omdat:

• cyberdreigingen voortdurend evolueren en maatregelen up-to-date moeten blijven
• het bestuur persoonlijk aansprakelijk kan worden gesteld bij non-compliance
• toezichthouders strenger controleren en handhaven onder NIS2
• je moet kunnen aantonen dat je risico’s adequaat beheert

Hoe vaak moet je een NIS2-audit uitvoeren volgens de richtlijn?

De NIS2-richtlijn specificeert geen exacte auditfrequentie, maar vereist wel dat organisaties periodiek de effectiviteit van hun cyberbeveiligingsmaatregelen beoordelen. De praktische invulling verschilt tussen essentiële en belangrijke entiteiten, waarbij essentiële entiteiten aan strenger toezicht onderworpen zijn.

Voor essentiële entiteiten geldt een proactief toezichtregime. Dit betekent dat toezichthouders uit eigen beweging audits kunnen uitvoeren of eisen. In de praktijk resulteert dit vaak in een jaarlijkse externe audit, aangevuld met interne controles. Belangrijke entiteiten vallen onder reactief toezicht, waarbij audits plaatsvinden na incidenten of meldingen, maar ook zij moeten periodiek hun maatregelen evalueren.

Een risicogebaseerde benadering is leidend bij het bepalen van de auditcyclus. Factoren die de frequentie beïnvloeden zijn:

• de criticaliteit van je dienstverlening voor de samenleving
• je historie met beveiligingsincidenten
• de dynamiek van je IT-omgeving
• specifieke eisen vanuit je sector

Het beleid moet door het bestuur worden vastgesteld en periodiek worden herzien. Een jaarlijkse auditcyclus vormt voor de meeste organisaties een verantwoorde basis, mits aangevuld met continue monitoring.

Welke factoren bepalen de frequentie van je NIS2-audits?

De auditfrequentie wordt bepaald door een combinatie van organisatiekenmerken, externe eisen en operationele omstandigheden. Een grotere organisatie met complexere IT-systemen zal vaker moeten auditen dan een kleinere entiteit met een overzichtelijke infrastructuur.

Je risicoprofiel speelt een centrale rol. Organisaties in sectoren met een hoog dreigingsniveau, zoals energie of gezondheidszorg, moeten intensiever controleren. Eerdere incidenten vergroten eveneens de noodzaak voor frequentere audits, zowel vanuit eigen risicobeheer als vanwege verscherpt toezicht.

Veranderingen in je IT-infrastructuur of bedrijfsprocessen kunnen aanleiding zijn voor tussentijdse audits:

• implementatie van nieuwe systemen of applicaties
• migratie naar cloudoplossingen
• fusies, overnames of organisatorische herstructureringen
• significante uitbreiding van dienstverlening
• wijzigingen in leveranciersrelaties

Nationale toezichthouders kunnen aanvullende eisen stellen aan auditintervallen. Zij beoordelen of je auditfrequentie past bij je risicoprofiel en kunnen bij twijfel extra controles opleggen. Het is verstandig om proactief contact te onderhouden met de relevante toezichthouder voor je sector.

Wat is het verschil tussen interne en externe NIS2-audits?

Interne audits zijn zelfbeoordelingen die je organisatie uitvoert om de eigen cyberbeveiligingsmaatregelen te toetsen. Externe audits worden uitgevoerd door onafhankelijke partijen en bieden objectieve zekerheid over je compliance-status. Beide vormen zijn complementair binnen een effectief NIS2-complianceprogramma.

Bij interne audits beoordeel je zelf of processen en maatregelen werken zoals bedoeld. Dit is geschikt voor continue monitoring en het identificeren van verbeterpunten. Interne audits zijn flexibeler en goedkoper, maar missen de onafhankelijkheid die toezichthouders en stakeholders vaak verlangen.

Externe audits door gecertificeerde auditors bieden die onafhankelijkheid wel. Een externe audit resulteert in een objectief oordeel dat je kunt delen met toezichthouders, klanten of partners. Verklaringen zoals SOC 2 of ISAE 3402 kunnen helpen bij het aantonen van NIS2-compliance richting stakeholders.

Wanneer welk type audit aanbevolen is:

• Interne audit: kwartaal- of halfjaarlijks voor continue monitoring
• Externe audit: jaarlijks voor formele compliancebevestiging
• Combinatie: bij significante wijzigingen of na incidenten

Een effectief complianceprogramma combineert regelmatige interne controles met periodieke externe validatie. Zo houd je grip op je beveiligingsniveau én kun je dit aantoonbaar maken.

Hoe bereid je je organisatie voor op een NIS2-audit?

Een goede auditvoorbereiding begint met het op orde brengen van je documentatie. Zorg dat je beleidsdocumenten, procedures en registraties actueel en toegankelijk zijn. Auditors willen zien dat je niet alleen maatregelen hebt geïmplementeerd, maar ook dat je kunt aantonen hoe deze werken.

Voer voorafgaand aan de formele audit een gapanalyse uit. Hiermee identificeer je waar je organisatie nog niet voldoet aan de NIS2-eisen en kun je gericht verbeteringen doorvoeren. Een cybersecurityscan helpt je om het IT-landschap in kaart te brengen, kritieke factoren te identificeren en risico’s te lokaliseren.

Praktische stappen voor auditvoorbereiding:

• inventariseer alle relevante documentatie en breng deze up-to-date
• controleer of technische maatregelen correct zijn geconfigureerd
• informeer betrokken medewerkers over de audit en hun rol
• bereid bewijsmateriaal voor van uitgevoerde controles en tests
• review eerdere auditbevindingen en toon aan dat deze zijn opgelost

Veelvoorkomende aandachtspunten zijn onvolledige incidentregistraties, ontbrekende trainingsbewijzen en verouderde risicoanalyses. Pak deze proactief aan. Richt een continue compliancecyclus in waarbij je gedurende het jaar verzamelt en documenteert, in plaats van alles vlak voor de audit bij elkaar te zoeken.

Wat zijn de gevolgen als je NIS2-audits niet tijdig uitvoert?

Het niet tijdig uitvoeren van NIS2-audits kan leiden tot aanzienlijke consequenties. De richtlijn voorziet in bestuurlijke boetes die kunnen oplopen tot miljoenen euro’s, afhankelijk van de ernst van de overtreding en de omvang van je organisatie.

Bijzonder aan NIS2 is de persoonlijke aansprakelijkheid van het management. Bestuurders kunnen persoonlijk verantwoordelijk worden gehouden voor non-compliance met cybersecurityrisicomanagementmaatregelen. Dit maakt NIS2 nadrukkelijk een bestuurszaak en niet alleen een IT-aangelegenheid.

Het handhavingsregime onder NIS2 geeft nationale toezichthouders ruime bevoegdheden:

• uitvoeren van inspecties en audits
• opvragen van informatie en documentatie
• opleggen van bindende instructies
• publiceren van overtredingen
• tijdelijk verbieden van managementfuncties bij herhaalde overtredingen

Naast formele sancties is er het risico van reputatieschade. Klanten, partners en investeerders verwachten dat je cybersecurity serieus neemt. Het niet kunnen aantonen van compliance kan leiden tot verlies van vertrouwen en zakelijke kansen. Bij escalatie kunnen toezichthouders corrigerende maatregelen afdwingen, inclusief verplichte externe audits op kosten van de organisatie.

Hoe helpt Hoek en Blok IT bij NIS2-auditplanning en -uitvoering?

Hoek en Blok IT ondersteunt organisaties bij het gehele NIS2-compliancetraject, van initiële gapanalyse tot periodieke audits. Met NOREA-gecertificeerde EDP-auditors combineren we technische expertise met praktische auditervaring voor een pragmatische aanpak.

Concrete diensten voor NIS2-audits:

• Gapanalyse en nulmeting: identificeer waar je organisatie staat ten opzichte van NIS2-eisen
• Auditplanning: stel een risicogebaseerd auditprogramma op dat past bij je organisatie
• Security-assessments en penetratietests: toets de effectiviteit van technische maatregelen
• ISAE 3000- en ISAE 3402-verklaringen: onafhankelijke assurance voor aantoonbare compliance
• IT Security Officer as a Service: continue ondersteuning bij compliancebeheer

De aanpak is betaalbaar en resultaatgericht, met focus op zowel compliance als praktische veiligheidsverbetering. NIS2 is primair een organisatorisch vraagstuk dat niet volledig kan worden uitbesteed aan een IT-leverancier. Hoek en Blok IT helpt je het totaalplaatje te overzien en de juiste maatregelen te implementeren.

Wil je weten hoe je organisatie ervoor staat richting de NIS2-deadline van 2026? Neem contact op voor een vrijblijvend adviesgesprek over je auditplanning en complianceaanpak.

Een DORA-nulmeting is een gestructureerde beoordeling die vaststelt in hoeverre jouw organisatie voldoet aan de vereisten van de Digital Operational Resilience Act. Deze DORA-compliancecheck brengt de kloof tussen je huidige situatie en de wettelijke eisen in kaart, zodat je gericht kunt werken aan DORA-implementatie vóór de deadline van 17 januari 2025. Zonder zo’n assessment loop je het risico op schijncompliance: je denkt compliant te zijn, maar bent het niet.

Wat is een DORA-nulmeting en waarom is deze essentieel voor je organisatie?

Een DORA-nulmeting is een startpunt voor compliance, waarbij je huidige ICT-risicomanagement, processen en documentatie worden getoetst aan de DORA-vereisten. Het verschil met een volledige audit is wezenlijk: een nulmeting identificeert gaps en prioriteiten, terwijl een audit formeel vaststelt of je compliant bent. De nulmeting is dus een diagnose, geen eindoordeel.

De rol van een DORA-gap-analyse is cruciaal bij het identificeren van tekortkomingen tussen je huidige situatie en wat de Digital Operational Resilience Act voorschrijft. Organisaties zonder nulmeting lopen het risico op schijncompliance. Dit betekent dat je op papier procedures hebt, maar in de praktijk niet kunt aantonen dat je daadwerkelijk in control bent. DORA vraagt namelijk om aantoonbaarheid, niet alleen om beleid.

Veel organisaties denken DORA wel op orde te hebben, maar worstelen juist met details en aantoonbaarheid. Een nulmeting voorkomt dat je voor verrassingen komt te staan bij toezichthouders of in je keten.

Welke onderdelen worden getoetst tijdens een DORA-nulmeting?

Tijdens een DORA-assessment worden de vijf pijlers van de wetgeving beoordeeld. Per pijler wordt gekeken naar documentatie, processen en technische maatregelen. Dit geeft een compleet beeld van je operationele weerbaarheid in de financiële sector.

• ICT-risicomanagement onder DORA: Is er een gedocumenteerd risicobeheerkader? Worden risicoanalyses regelmatig uitgevoerd en geactualiseerd?
• ICT-incidentenbeheer: Zijn er procedures voor detectie, escalatie en melding van incidenten, zoals datalekken of cyberaanvallen? Weet je hoe je een incident rapporteert aan de toezichthouder?
• Digitale operationele weerbaarheidstesten: Voer je structureel penetratietesten uit? Zijn testresultaten gedocumenteerd en worden bevindingen opgepakt?
• Third-party-risicobeheer: Heb je inzicht in de risico’s van je ICT-leveranciers? Zijn contractuele afspraken over digitale weerbaarheid vastgelegd?
• Informatie-uitwisseling: Deel je actief informatie over cyberdreigingen met relevante partijen?

Per onderdeel wordt geëvalueerd of je niet alleen beleid hebt, maar ook kunt aantonen dat dit beleid in de praktijk werkt.

Hoe herken je dat je organisatie denkt compliant te zijn, maar het niet is?

Schijncompliance is een veelvoorkomend probleem bij DORA-implementatie. Je organisatie heeft wellicht documenten en procedures, maar de praktijk wijkt af van wat op papier staat. Dit is het verschil tussen checkbox-compliance en daadwerkelijke operationele weerbaarheid.

Veelvoorkomende signalen van schijncompliance zijn:

• Papieren procedures die niet worden nageleefd of getest
• Verouderde risicoanalyses die niet meer aansluiten bij de huidige ICT-omgeving
• Ontbrekende of gedateerde testresultaten van penetratietesten of disaster recovery
• Onduidelijke verantwoordelijkheden: wie is eigenaar van welk risico?
• Geen structureel proces voor incidentrapportage aan toezichthouders

Organisaties zien vaak gaps over het hoofd omdat ze focussen op het hebben van beleid, niet op het aantonen van naleving. DORA is primair een governance- en organisatievraagstuk, niet alleen een IT-thema. Bestuurlijke verantwoordelijkheid en de inrichting van de second line zijn cruciaal.

Wanneer moet je een DORA-nulmeting uitvoeren om de deadline van januari 2025 te halen?

De DORA-deadline van 17 januari 2025 nadert snel. Organisaties die nog geen nulmeting hebben uitgevoerd, moeten nu actie ondernemen. Na een DORA-nulmeting heb je gemiddeld drie tot zes maanden nodig voor remediatie, afhankelijk van de omvang van de geïdentificeerde gaps.

Een realistische tijdlijn ziet er als volgt uit:

• Nulmeting uitvoeren: twee tot vier weken
• Prioriteren en een remediatieplan opstellen: twee weken
• Implementatie van verbetermaatregelen: twee tot vijf maanden
• Herbeoordeling en finetuning: twee tot vier weken

Te laat starten met je compliance-traject brengt risico’s met zich mee. Je kunt niet tijdig aantonen dat je voldoet aan de DORA-vereisten, wat gevolgen kan hebben bij toezichthouders. Bovendien raakt DORA vaak organisaties indirect via ketens, moedermaatschappijen of dienstverlening. Dit leidt tot twijfel over de scope en extra druk om snel duidelijkheid te krijgen.

Wat zijn de meest voorkomende gaps die uit een DORA-nulmeting naar voren komen?

Uit DORA-nulmetingen komen regelmatig dezelfde tekortkomingen naar voren. Deze gaps vormen vaak de grootste uitdaging bij DORA-implementatie.

• Onvoldoende gedocumenteerd ICT-risicomanagement: Risicoanalyses ontbreken of zijn niet actueel. Het risicobeheerkader is niet formeel vastgesteld.
• Ontbrekende of verouderde disaster-recoveryplannen: Plannen zijn niet getest of sluiten niet aan bij de huidige ICT-infrastructuur.
• Geen structureel penetratietestbeleid: Ethische hacktests worden niet regelmatig uitgevoerd of resultaten worden niet opgevolgd.
• Onduidelijke afspraken met ICT-leveranciers: Contracten bevatten geen bepalingen over digitale weerbaarheid of incidentmelding.
• Gebrek aan incidentrapportageprocessen: Er is geen duidelijk proces voor het melden van een IT-incident bij de toezichthouder.

Deze gaps zijn vaak niet zichtbaar zonder een grondige DORA-audit. Organisaties onderschatten hoe specifiek de eisen zijn en hoeveel aantoonbaarheid wordt verwacht.

Hoe pak je de vervolgstappen aan na een DORA-nulmeting?

Na een DORA-nulmeting is het zaak om gestructureerd aan de slag te gaan met de geïdentificeerde gaps. Een helder stappenplan helpt je om binnen de beschikbare tijd resultaat te boeken.

De vervolgstappen zijn:

1. Prioriteren: Bepaal welke gaps het grootste risico vormen en welke snel opgelost kunnen worden.
2. Remediatieplan opstellen: Stel een plan op met realistische tijdlijnen, verantwoordelijken en benodigde middelen.
3. Rolverdeling: Wijs taken toe aan interne teams en bepaal waar externe expertise nodig is. DORA vraagt om bestuurlijke betrokkenheid, niet alleen uitvoering door IT.
4. Implementeren: Voer verbetermaatregelen door, documenteer wijzigingen en zorg voor aantoonbaarheid.
5. Periodieke herbeoordeling: Plan tussentijdse evaluaties om voortgang te monitoren en bij te sturen.

Continue verbetering is essentieel voor duurzame DORA-compliance. Assurance, bijvoorbeeld via een ISAE 3000-verklaring, kan een manier zijn om naleving aantoonbaar te maken richting toezichthouders en ketenpartners.

Hoe helpt Hoek en Blok IT bij je DORA-nulmeting en compliance-traject?

Hoek en Blok IT ondersteunt organisaties bij elke stap van de DORA-implementatie, van nulmeting tot aantoonbare compliance. De aanpak is pragmatisch, betaalbaar en gericht op resultaat.

Concrete dienstverlening omvat:

• DORA-gap-analyse en nulmeting door NOREA-gecertificeerde EDP-auditors
• Ondersteuning bij ICT-risicomanagement onder DORA en het opstellen van een risicobeheerkader
• Penetratietesten en ethical hacking om digitale weerbaarheid te toetsen
• IT Security Officer as a Service voor continue begeleiding en aantoonbaarheid
• Begeleiding bij remediatie en voorbereiding op assurancerapportages

Hoek en Blok IT combineert technische expertise met auditervaring, zodat je niet alleen compliant bent op papier, maar dit ook kunt aantonen. Neem contact op voor een vrijblijvend gesprek of vraag direct een DORA-nulmeting aan via www.hoekenblok.it.