Hier lees je meer over onze blogs en whitepapers.

Welke incidenten moet je melden onder DORA?

in

Onder DORA moet je ernstige ICT-incidenten melden bij de toezichthouder wanneer deze voldoen aan specifieke classificatiecriteria. Dit geldt voor cyberaanvallen, systeemstoringen en datalekken die een significante impact hebben op je dienstverlening of klanten. De meldplicht kent strikte termijnen: een initiële melding binnen 24 uur, gevolgd door tussentijdse en eindrapportages. In dit artikel beantwoorden we de belangrijkste vragen over de DORA-incidentmelding.

Wat is de DORA-meldplicht voor ICT-incidenten?

De DORA-meldplicht verplicht financiële instellingen om ernstige ICT-incidenten te rapporteren aan de bevoegde toezichthouder. Deze verplichting vloeit voort uit de Digital Operational Resilience Act, die sinds januari 2023 van kracht is en per 17 januari 2025 volledig moet worden nageleefd. Het doel is om toezichthouders snel inzicht te geven in cyberdreigingen en operationele verstoringen binnen de financiële sector.

De meldplicht geldt voor een breed scala aan organisaties: banken, verzekeraars, beleggingsondernemingen, betalingsinstellingen en beheerders van beleggingsfondsen. Ook kritieke derde dienstverleners, zoals cloudproviders en datacenters die IT-diensten leveren aan financiële instellingen, vallen onder bepaalde DORA-vereisten.

Het verschil met de AVG/GDPR-meldplicht is wezenlijk. Waar de AVG zich richt op de bescherming van persoonsgegevens, focust DORA op de operationele weerbaarheid van de financiële sector. Een datalek kan dus onder beide regelgevingen meldplichtig zijn, maar met verschillende toezichthouders, termijnen en rapportage-eisen. DORA kijkt breder naar ICT-verstoringen die de bedrijfscontinuïteit raken, ongeacht of er persoonsgegevens bij betrokken zijn.

Welke ICT-incidenten zijn meldplichtig onder DORA?

Een ICT-incident is meldplichtig onder DORA wanneer het als ‘ernstig’ wordt geclassificeerd op basis van zes vastgestelde criteria. Niet elk incident hoeft gemeld te worden; alleen incidenten die een bepaalde drempelwaarde overschrijden op een of meer criteria.

De zes classificatiecriteria zijn:

  • Aantal getroffen klanten of financiële tegenpartijen
  • Duur van het incident en de tijd tot herstel
  • Geografische spreiding van de impact
  • Dataverlies met betrekking tot beschikbaarheid, authenticiteit, integriteit of vertrouwelijkheid
  • Kritieke diensten die worden geraakt
  • Economische impact in directe en indirecte kosten

Voorbeelden van typisch meldplichtige incidenten zijn grootschalige ransomwareaanvallen die systemen platleggen, DDoS-aanvallen op kritieke betaalsystemen en datalekken waarbij gevoelige klantgegevens zijn gecompromitteerd. Ook langdurige systeemstoringen die klanten verhinderen om financiële transacties uit te voeren, vallen hier vaak onder.

Binnen welke termijn moet je een DORA-incident melden?

DORA hanteert een driefasig meldingsproces met strikte termijnen. De klok begint te tikken zodra je het incident als ernstig hebt geclassificeerd, niet pas wanneer je alle details kent. Dit vraagt om snelle besluitvorming en heldere interne procedures.

Het meldingsproces verloopt als volgt:

  • Initiële melding binnen 24 uur: basisinformatie over het incident, de eerste inschatting van de impact en de genomen noodmaatregelen.
  • Tussentijdse rapportage binnen 72 uur: gedetailleerder overzicht van de oorzaak, de voortgang van het herstel en eventuele aanvullende maatregelen.
  • Eindrapportage binnen één maand: volledige analyse van het incident, de root cause, de totale impact en de structurele verbetermaatregelen om herhaling te voorkomen.

Bij voortdurende incidenten of nieuwe ontwikkelingen kunnen tussentijdse updates nodig zijn. De toezichthouder kan ook om aanvullende informatie vragen gedurende het proces.

Bij welke toezichthouder meld je een ICT-incident onder DORA?

In Nederland zijn De Nederlandsche Bank (DNB) en de Autoriteit Financiële Markten (AFM) de relevante toezichthouders voor DORA. Welke toezichthouder bevoegd is, hangt af van het type financiële instelling en de vergunning waaronder je opereert.

DNB houdt toezicht op onder meer banken, verzekeraars en pensioenfondsen. De AFM is toezichthouder voor beleggingsondernemingen, beheerders van beleggingsfondsen en bepaalde financiële dienstverleners. Bij twijfel over de juiste toezichthouder is het raadzaam om vooraf duidelijkheid te verkrijgen.

De meldingsprocedure verloopt via een centraal meldpunt dat de toezichthouders inrichten. Op Europees niveau werken nationale toezichthouders samen met de Europese toezichthoudende autoriteiten (EBA, EIOPA, ESMA) om een gecoördineerd beeld van cyberdreigingen in de financiële sector te krijgen. Dit draagt bij aan het uniforme beschermingsniveau dat DORA binnen de EU beoogt.

Hoe classificeer je een ICT-incident volgens DORA-criteria?

De classificatie van een ICT-incident vereist een systematische beoordeling aan de hand van de zes criteria. Elk criterium kent drempelwaarden die bepalen of het incident als ernstig kwalificeert. Wanneer een incident op minimaal één criterium de drempel overschrijdt, is melding verplicht.

Praktische stappen voor classificatie:

  • Breng direct de scope van het incident in kaart: welke systemen, diensten en klanten zijn geraakt?
  • Schat de duur in: hoe lang duurt de verstoring en wat is de verwachte hersteltijd?
  • Beoordeel de geografische impact: zijn meerdere landen of regio’s betrokken?
  • Analyseer mogelijk dataverlies: is de integriteit, beschikbaarheid of vertrouwelijkheid van data aangetast?
  • Bepaal de economische gevolgen: wat zijn de directe kosten en de potentiële vervolgschade?

Het opzetten van een intern classificatieproces is essentieel. Documenteer de beoordelingscriteria, wijs verantwoordelijkheden toe en zorg dat medewerkers getraind zijn om snel en consistent te classificeren. Dit voorkomt discussies onder tijdsdruk en zorgt voor aantoonbare compliance.

Wat zijn de gevolgen van het niet melden van een DORA-incident?

Het niet of te laat melden van een meldplichtig incident kan leiden tot handhavingsmaatregelen door de toezichthouder. Deze variëren van formele waarschuwingen tot boetes en aanvullende toezichtmaatregelen. De exacte sancties zijn afhankelijk van de ernst van de overtreding en de omstandigheden.

Naast formele sancties zijn er operationele en reputatierisico’s. Een organisatie die incidenten niet tijdig meldt, verliest het vertrouwen van de toezichthouder. Dit kan leiden tot intensiever toezicht en meer rapportageverplichtingen. Bovendien kan het nalaten van melding bij een later bekend wordend incident de reputatieschade vergroten.

Een proactieve meldcultuur is daarom waardevol. Organisaties die transparant communiceren over incidenten en actief werken aan verbetering, bouwen een constructieve relatie met de toezichthouder op. DORA vraagt niet alleen om beleid, maar om aantoonbaarheid: hoe laat je zien dat je in control bent?

Hoe bereid je je organisatie voor op DORA-incidentmelding?

Een effectief incidentmeldingsproces begint met duidelijke procedures en getrainde medewerkers. De voorbereiding vraagt om een combinatie van organisatorische, technische en menselijke maatregelen.

Praktische voorbereidingsstappen:

  • Stel een incidentresponsplan op met duidelijke escalatielijnen en verantwoordelijkheden.
  • Implementeer detectiesystemen die afwijkingen en potentiële incidenten tijdig signaleren.
  • Richt een classificatieproces in met heldere criteria en beslisbomen.
  • Train medewerkers in het herkennen, melden en afhandelen van incidenten.
  • Oefen regelmatig met incidentscenario’s om de procedures te testen.
  • Documenteer alle processen, zodat je aantoonbaar kunt maken dat je aan DORA voldoet.

Een nulmeting is een logisch startpunt om vast te stellen waar je organisatie staat. Veel organisaties denken DORA wel op orde te hebben, maar worstelen juist met details en aantoonbaarheid. Bestuurlijke verantwoordelijkheid en een goed ingerichte second line zijn cruciaal voor een succesvolle implementatie.

Hoe helpt Hoek en Blok IT bij DORA-incidentmelding?

Hoek en Blok IT ondersteunt organisaties bij het inrichten van een effectief, DORA-compliant incidentmeldingsproces. Met een pragmatische aanpak en ervaring in IT-audits en securityassessments helpen zij bij zowel de technische als de organisatorische aspecten van DORA-compliance.

Specifieke dienstverlening omvat:

  • Ondersteuning bij het opzetten van incidentmeldingsprocedures en classificatieprocessen
  • IT-securityassessments om kwetsbaarheden te identificeren voordat ze tot incidenten leiden
  • Penetratietests conform DORA-vereisten voor regelmatige weerbaarheidstesten
  • IT Security Officer as a Service voor organisaties die geen fulltime specialist in dienst hebben
  • Begeleiding bij ISAE 3000-verklaringen om DORA-naleving aantoonbaar te maken
  • Nulmetingen om vast te stellen of DORA daadwerkelijk is geïmplementeerd

Wil je weten hoe jouw organisatie ervoor staat op het gebied van DORA-incidentmelding? Neem contact op met Hoek en Blok IT voor een vrijblijvend adviesgesprek over de mogelijkheden.

Wat zijn de security vereisten voor cloud services onder NIS2?

in

De NIS2-richtlijn stelt organisaties die cloudservices gebruiken voor concrete securityvereisten op het gebied van toegangscontrole, encryptie, leveranciersbeheer en incident response. Vanaf 1 juli 2026 moeten organisaties aantonen dat zij passende maatregelen hebben getroffen om hun clouddata en clouddiensten te beschermen tegen cyberaanvallen. Dit artikel beantwoordt de belangrijkste vragen over cloudsecurity onder NIS2 en biedt praktische handvatten voor implementatie.

Welke cloudsecurity-eisen stelt de NIS2-richtlijn aan organisaties?

NIS2 verplicht organisaties om een risicobeoordeling uit te voeren en passende beveiligingsmaatregelen te implementeren voor alle IT-middelen, inclusief cloudservices. De wettelijke basis hiervoor is de zorgplicht: organisaties moeten hun diensten en informatie beschermen tegen cyberaanvallen, waarbij de maatregelen afhankelijk zijn van de aard, omvang en impact van hun diensten.

Voor cloudservices betekent dit dat je moet inventariseren welke cloudoplossingen je gebruikt en welke data en processen daarin draaien. De NIS2-richtlijn onderscheidt verschillende categorieën van beveiligingsmaatregelen:

  • Toegangsbeveiliging en identity management
  • Cryptografie en encryptie van data
  • Leveranciersbeoordelingen en supply chain security
  • Incidentdetectie, respons en rapportage
  • Bedrijfscontinuïteit en disaster recovery

Een belangrijk aspect is de verscherpte aansprakelijkheid van bestuurders. Directieleden kunnen persoonlijk aansprakelijk worden gesteld voor de gevolgen van een hack. Bestuurders moeten aantonen dat zij voldoende kennis en vaardigheden hebben om de gevolgen van informatiebeveiligingsrisico’s te beoordelen. Dit betekent dat cybersecurity niet enkel een feestje van de IT-afdeling mag zijn.

Hoe zorg je voor adequate toegangscontrole bij cloudservices onder NIS2?

Adequate toegangscontrole voor cloudomgevingen vereist een gestructureerde aanpak van identity- en accessmanagement (IAM). NIS2 schrijft voor dat alleen geautoriseerde personen toegang hebben tot systemen en data, en dat deze toegang beperkt blijft tot wat noodzakelijk is voor hun functie.

De implementatie van multi-factor-authenticatie (MFA) vormt de basis. Voor alle gebruikers met toegang tot gevoelige clouddata of kritieke systemen is MFA geen optie maar een vereiste. Dit geldt zowel voor interne medewerkers als voor externe partijen, zoals leveranciers of consultants die tijdelijke toegang nodig hebben.

Het principe van least privilege houdt in dat gebruikers alleen de minimaal benodigde rechten krijgen. In de praktijk betekent dit:

  • Standaard beperkte rechten bij nieuwe accounts
  • Expliciete goedkeuring voor uitgebreide toegang
  • Tijdelijke verhoogde rechten waar mogelijk
  • Automatische intrekking bij functiewijziging of uitdiensttreding

Privileged access management verdient extra aandacht. Beheerdersaccounts met vergaande rechten vormen een aantrekkelijk doelwit voor aanvallers. Zorg voor aparte accounts voor beheer, logging van alle beheeractiviteiten en regelmatige controle op misbruik. Voer minimaal elk kwartaal een toegangsreview uit om te controleren of rechten nog actueel en noodzakelijk zijn.

Welke encryptie-eisen gelden voor clouddata volgens NIS2?

NIS2 vereist dat organisaties cryptografische maatregelen treffen voor zowel data-at-rest als data-in-transit. Dit betekent dat clouddata versleuteld moet zijn tijdens opslag en tijdens transport over netwerken. De keuze voor encryptiestandaarden moet passen bij de gevoeligheid van de data en de actuele stand van de techniek.

Voor data-in-transit is TLS 1.2 of hoger de minimale standaard voor verbindingen met cloudservices. Controleer of je cloudprovider moderne encryptieprotocollen ondersteunt en configureer je systemen om verouderde protocollen te weigeren.

Bij data-at-rest hangt de verantwoordelijkheid af van het cloudmodel:

  • IaaS: je bent zelf verantwoordelijk voor encryptie van opgeslagen data en moet keymanagement inrichten
  • PaaS: de provider biedt vaak encryptie aan, maar je moet controleren of dit standaard actief is en welke sleutels worden gebruikt
  • SaaS: encryptie is meestal ingebouwd, maar vraag na welke standaarden worden gehanteerd en wie toegang heeft tot de sleutels

Keymanagement is een kritiek aandachtspunt. Bepaal wie de encryptiesleutels beheert en waar deze worden opgeslagen. Bij gevoelige data kan het wenselijk zijn om zelf de sleutels te beheren (bring your own key) in plaats van dit aan de cloudprovider over te laten. Documenteer je keuzes en de onderbouwing hiervan.

Wat moet je regelen met cloudproviders voor NIS2-compliance?

Supply chain security is een kernonderdeel van NIS2. Je bent als organisatie verantwoordelijk voor de beveiliging van data die je bij cloudproviders onderbrengt. Dit vereist duidelijke contractuele afspraken en periodieke controle op naleving. Een veelvoorkomende denkfout is dat NIS2 volledig kan worden uitbesteed aan een IT-leverancier. De IT-leverancier kan helpen bij technische aspecten, maar kan niet het totaalplaatje neerzetten.

Het shared responsibility model bepaalt wie waarvoor verantwoordelijk is. Leg dit expliciet vast in contracten. Typische aandachtspunten zijn:

  • Wie is verantwoordelijk voor patching en updates?
  • Hoe wordt toegang tot data geregeld en gelogd?
  • Welke beveiligingsmaatregelen treft de provider standaard?
  • Hoe wordt omgegaan met incidenten en datalekken?

Controleer of je cloudprovider beschikt over relevante certificeringen, zoals ISO 27001 of een SOC 2-verklaring. Deze geven zekerheid over de inrichting van beveiligingsprocessen. Let op: een ISAE-verklaring bevestigt de naleving van specifieke normen, maar is geen certificaat. Vraag om recente rapporten en beoordeel of de scope aansluit bij de diensten die je afneemt.

Neem auditrechten op in je contracten. Je moet kunnen controleren of de provider zich aan de afspraken houdt, hetzij door eigen audits, hetzij via onafhankelijke rapporten. Leg ook vast hoe je geïnformeerd wordt bij wijzigingen in de dienstverlening of beveiligingsmaatregelen.

Hoe richt je incident response in voor cloudomgevingen onder NIS2?

NIS2 kent een strikte meldplicht: incidenten die de levering van essentiële diensten kunnen verstoren, moeten binnen 24 uur worden gemeld aan de toezichthouder en het Computer Security Incident Response Team (CSIRT). Voor cloudgerelateerde incidenten betekent dit dat je snel moet kunnen vaststellen wat er gebeurd is en welke impact dit heeft.

Stel cloudspecificieke incident-responseprocedures op die rekening houden met:

  • Hoe je incidenten in de cloudomgeving detecteert
  • Wie binnen je organisatie als eerste handelt
  • Hoe je contact opneemt met de cloudprovider
  • Welke informatie je nodig hebt voor de melding aan de toezichthouder

Logging en monitoring zijn essentieel. Zorg dat je voldoende logs bewaart om incidenten te kunnen analyseren. Spreek met je cloudprovider af welke logs beschikbaar zijn, hoe lang deze worden bewaard en hoe je hier toegang toe krijgt bij een incident. Veel cloudproviders bieden standaard beperkte logging; overweeg uitgebreidere opties voor kritieke systemen.

Coördinatie met de cloudprovider bij incidenten verdient vooraf aandacht. Leg vast wie je contactpersoon is, wat de reactietijden zijn en hoe informatie wordt gedeeld. Test deze procedures periodiek, zodat je bij een echt incident niet voor verrassingen komt te staan.

Welke continuïteitsmaatregelen vereist NIS2 voor cloudservices?

Business continuity en disaster recovery voor cloudafhankelijke processen vereisen een doordachte aanpak. NIS2 schrijft voor dat organisaties maatregelen treffen om de continuïteit van hun dienstverlening te waarborgen, ook bij verstoringen in de cloudomgeving.

Een robuuste backupstrategie vormt de basis. Bepaal welke data en configuraties je moet kunnen herstellen en hoe snel dit moet gebeuren. Overweeg backups naar een andere cloudprovider of naar eigen infrastructuur voor kritieke data. Test regelmatig of je backups daadwerkelijk herstelbaar zijn.

Vendor lock-in vormt een reëel risico. Als je sterk afhankelijk bent van één cloudprovider, kan een storing of conflict grote gevolgen hebben. Ontwikkel een exitstrategie die beschrijft hoe je data en processen kunt migreren naar een alternatief. Neem dataportabiliteit op in je contractuele afspraken.

Geografische spreiding en datasoevereiniteit verdienen aandacht binnen de EU-context. Controleer waar je data wordt opgeslagen en verwerkt. Voor veel organisaties is opslag binnen de EU een vereiste. Bespreek met je provider welke garanties zij bieden en hoe dit contractueel is vastgelegd.

Test je herstelplannen minimaal jaarlijks. Een plan dat niet getest is, biedt schijnzekerheid. Betrek hierbij ook de cloudprovider en controleer of de afgesproken hersteltijden realistisch zijn.

Hoe helpt Hoek en Blok IT bij cloudsecurity onder NIS2?

Hoek en Blok IT ondersteunt organisaties bij het realiseren van NIS2-compliance voor cloudomgevingen. Met een pragmatische en betaalbare aanpak helpen wij je om voor de deadline van 1 juli 2026 aan de vereisten te voldoen.

Onze dienstverlening omvat:

  • Cloudsecurity-assessments: inventarisatie van je cloudomgeving en identificatie van risico’s
  • Gap-analyses voor NIS2: vaststellen waar je staat en wat er nog moet gebeuren
  • Leveranciersbeoordelingen: evaluatie van cloudproviders op security en compliance
  • Cloudsecurity-policies: opstellen van beleid en procedures voor cloudgebruik
  • IT Security Officer as-a-Service: doorlopende ondersteuning bij securityvraagstukken

Wil je weten hoe jouw organisatie ervoor staat op het gebied van cloudsecurity onder NIS2? Neem contact op voor een vrijblijvend gesprek over de mogelijkheden.

Wat houdt Dora in?

in

DORA staat voor de Digital Operational Resilience Act, een Europese verordening die financiële instellingen en hun ICT-dienstverleners verplicht om hun digitale weerbaarheid te versterken. De wetgeving is sinds 17 januari 2025 van toepassing en richt zich op het beheersen van ICT-risico’s, het melden van incidenten en het testen van operationele veerkracht. In dit artikel beantwoorden we de belangrijkste vragen over DORA en wat dit betekent voor jouw organisatie.

Wat is DORA en waarom is deze wetgeving zo belangrijk?

DORA is een Europese verordening die de digitale operationele weerbaarheid van de financiële sector versterkt. De wetgeving verplicht financiële instellingen en hun ICT-dienstverleners om hun netwerk- en informatiesystemen beter te beveiligen tegen cyberaanvallen en andere verstoringen. DORA maakt deel uit van het EU-pakket voor digitale financiën, dat innovatie stimuleert terwijl risico’s worden beperkt.

De noodzaak voor deze regelgeving is ontstaan door de toenemende digitalisering van financiële diensten en de groeiende afhankelijkheid van ICT-systemen. Cyberaanvallen worden steeds geavanceerder en kunnen grote schade aanrichten aan individuele instellingen én aan de stabiliteit van het financiële systeem als geheel. Een verstoring bij één grote bank of verzekeraar kan immers een kettingreactie veroorzaken.

DORA is primair een governance- en organisatievraagstuk, niet alleen een IT-thema. De verordening vraagt om aantoonbaarheid: hoe laat je zien dat je daadwerkelijk in control bent? Veel organisaties denken DORA wel op orde te hebben, maar worstelen juist met details en het leveren van bewijs voor adequate beheersing.

Voor welke organisaties geldt DORA?

DORA is van toepassing op een breed scala aan financiële instellingen binnen de Europese Unie. Dit omvat banken, verzekeraars, herverzekeraars, beleggingsondernemingen, betalingsinstellingen en elektronische geldinstellingen. Ook beheerders van alternatieve beleggingsfondsen en instellingen voor collectieve belegging in effecten vallen onder de reikwijdte.

Daarnaast geldt DORA voor kritieke derde dienstverleners die ICT-diensten leveren aan financiële instellingen. Denk hierbij aan:

  • Cloudcomputingproviders
  • Softwareleveranciers
  • Datacenters
  • Bedrijven die IT-systemen beheren of data opslaan voor financiële instellingen

DORA raakt vaak organisaties indirect via ketens, moedermaatschappijen of dienstverlening. Dit leidt regelmatig tot twijfel over de exacte scope. Kleinere financiële instellingen kunnen onder bepaalde voorwaarden gebruikmaken van vereenvoudigde vereisten, maar de kernverplichtingen blijven van toepassing. Een nulmeting is een logisch startpunt om vast te stellen of DORA daadwerkelijk op jouw organisatie van toepassing is.

Wat zijn de vijf pijlers van DORA?

DORA rust op vijf kerngebieden die samen een compleet kader vormen voor digitale operationele weerbaarheid. Elke pijler stelt specifieke eisen aan organisaties en vereist concrete maatregelen en documentatie.

1. ICT-risicobeheer
Financiële instellingen zijn verplicht om ICT-incidenten snel op te sporen en te melden bij de toezichthouder. Dit betreft onder andere datalekken en cyberaanvallen. Snelle detectie en rapportage beperken schade en beschermen de reputatie.

3. Testen van digitale operationele weerbaarheid
Strikt beheer van ICT-dienstverleners is essentieel. Organisaties moeten uitbestedingsrisico’s identificeren, monitoren en beheersen. Contractuele afspraken moeten digitale weerbaarheid waarborgen en externe leveranciers moeten voldoen aan gelijkwaardige beveiligingsstandaarden.

5. Informatie-uitwisseling
Actief delen van informatie over cyberdreigingen met andere partijen in de sector helpt om sneller te reageren op nieuwe risico’s en maakt de gehele financiële sector veiliger.

Hoe bereid je jouw organisatie voor op DORA-compliance?

Een gedegen voorbereiding op DORA begint met een grondige analyse van de huidige situatie. Een gap-analyse brengt in kaart waar jouw organisatie staat ten opzichte van de DORA-vereisten en welke verbeteringen nodig zijn. Dit vormt de basis voor een realistische implementatieroadmap.

De volgende stappen helpen bij een effectieve DORA-voorbereiding:

  • Inventariseer alle ICT-dienstverleners en beoordeel welke diensten als kritiek worden beschouwd
  • Ontwikkel een ICT-risicobeheerkader dat aansluit bij de specifieke behoeften van jouw organisatie
  • Documenteer processen en procedures zodat je kunt aantonen dat je in control bent
  • Implementeer incidentrapportageprocessen die voldoen aan de meldingstermijnen
  • Plan regelmatige weerbaarheidstests, waaronder penetratietests door gekwalificeerde partijen
  • Richt de governance in met duidelijke verantwoordelijkheden voor bestuur en secondlinefuncties

Bestuurlijke verantwoordelijkheid en de inrichting van de second line zijn cruciaal. DORA vraagt niet alleen om beleid, maar om aantoonbare naleving. Assurance, bijvoorbeeld via een ISAE 3000-verklaring, kan een manier zijn om deze naleving aantoonbaar te maken richting toezichthouders en ketenpartners.

Welke sancties riskeer je bij niet-naleving van DORA?

Bij niet-naleving van DORA kunnen toezichthouders zoals De Nederlandsche Bank (DNB) en de Autoriteit Financiële Markten (AFM) handhavend optreden. De mogelijke consequenties omvatten administratieve boetes, aanwijzingen om tekortkomingen te herstellen en in ernstige gevallen beperkingen op bedrijfsactiviteiten.

De exacte hoogte van boetes wordt bepaald door nationale wetgeving, maar de Europese verordening schrijft voor dat sancties doeltreffend, evenredig en afschrikwekkend moeten zijn. Naast financiële sancties kan non-compliance leiden tot reputatieschade en verlies van vertrouwen bij klanten en zakenpartners.

Tijdige voorbereiding is daarom essentieel. Organisaties die nu nog niet voldoen aan de vereisten, doen er verstandig aan om direct actie te ondernemen. De toezichthouders verwachten dat organisaties kunnen aantonen welke stappen zij zetten om compliance te bereiken en te behouden.

Hoe helpt Hoek en Blok IT bij DORA-compliance?

Hoek en Blok IT ondersteunt financiële instellingen en hun ketenpartners bij het realiseren van DORA-compliance met een pragmatische en resultaatgerichte aanpak. De NOREA-gecertificeerde EDP-auditors combineren technische expertise met auditervaring om organisaties te helpen bij zowel compliance als praktische veiligheidsverbetering.

De specifieke ondersteuning omvat:

  • Gap-analyses om vast te stellen waar jouw organisatie staat ten opzichte van de DORA-vereisten
  • IT-audits en assurancerapportages, waaronder ISAE 3000-verklaringen voor aantoonbare naleving
  • Penetratietests en securityassessments voor het testen van digitale operationele weerbaarheid
  • Ontwikkeling van ICT-risicobeheerkaders op maat gemaakt voor jouw organisatie
  • IT Security Officer as a Service voor doorlopende ondersteuning bij DORA-compliance
  • Ondersteuning bij incidentrapportage en het melden van datalekken of cyberaanvallen

Wil je weten hoe jouw organisatie ervoor staat op het gebied van DORA-compliance? Neem contact op met Hoek en Blok IT voor een vrijblijvend gesprek over de mogelijkheden voor een nulmeting of gap-analyse.

Is de NIS2 verplicht?

in

Ja, de NIS2 is verplicht voor organisaties die vallen onder de categorieën essentiële of belangrijke entiteiten. Deze Europese richtlijn voor cybersecurity wordt in Nederland omgezet in de Cyberbeveiligingswet en treedt per 1 juli 2026 in werking. Organisaties in sectoren zoals energie, transport, gezondheidszorg en digitale infrastructuur moeten vóór deze datum aan de eisen voldoen. Hieronder beantwoorden we de belangrijkste vragen over de NIS2-verplichting.

Wat is de NIS2-richtlijn en waarom is deze ingevoerd?

De NIS2-richtlijn is de opvolger van de oorspronkelijke NIS-richtlijn uit 2016 en vormt het Europese antwoord op de toegenomen cyberdreigingen. De coronacrisis heeft de digitalisering in een stroomversnelling gebracht, wat zowel kansen als uitdagingen met zich meebrengt. Cybercriminelen worden steeds slimmer en de EU achtte strengere maatregelen noodzakelijk om de cyberweerbaarheid van organisaties te versterken.

De belangrijkste verschillen met de voorgaande richtlijn zijn aanzienlijk. NIS2 breidt het toepassingsgebied fors uit naar meer sectoren en meer organisaties. Waar de eerste NIS-richtlijn vooral gold voor grote bedrijven die belangrijk zijn voor de maatschappij, zoals energie- en waterbedrijven, trekt NIS2 de reikwijdte veel breder. Daarnaast introduceert NIS2 strengere sancties, persoonlijke bestuurdersaansprakelijkheid en uniforme eisen voor alle EU-lidstaten.

De richtlijn legt nadrukkelijk de nadruk op bestuurlijke verantwoordelijkheid, risicogebaseerd werken, meldplicht bij incidenten en continue verbetering van cybersecuritymaatregelen. Dit maakt NIS2 niet alleen een technisch vraagstuk, maar vooral een organisatorisch vraagstuk waarbij het bestuur een centrale rol speelt.

Voor welke organisaties is de NIS2 verplicht?

De NIS2-richtlijn onderscheidt twee hoofdcategorieën: essentiële entiteiten en belangrijke entiteiten. Essentiële entiteiten vallen onder strenger toezicht, terwijl belangrijke entiteiten onder een meer reactief toezichtregime vallen. Beide categorieën moeten echter aan dezelfde cyberbeveiligingseisen voldoen.

De sectoren die onder de essentiële entiteiten vallen (Annex 1) zijn onder andere:

  • Energie (elektriciteit, olie, gas, waterstof)
  • Transport (lucht, spoor, water, weg)
  • Bankwezen en financiële marktinfrastructuur
  • Gezondheidszorg
  • Drinkwater en afvalwater
  • Digitale infrastructuur
  • Overheidsdiensten
  • Ruimtevaart

De belangrijke entiteiten (Annex 2) omvatten:

  • Digitale aanbieders
  • Post- en koeriersdiensten
  • Afvalstoffenbeheer
  • Voedselproductie en -distributie
  • Chemische stoffen
  • Onderzoeksinstellingen
  • Fabrieken (productie)

Qua omvang gelden drempelwaarden: middelgrote organisaties (50 of meer werknemers of meer dan 10 miljoen euro omzet) en grote organisaties vallen onder de richtlijn. Bepaalde kritieke dienstverleners kunnen ook bij kleinere omvang onder de NIS2 vallen.

Wat zijn de belangrijkste verplichtingen onder de NIS2?

NIS2 kent drie kernverplichtingen: de zorgplicht, de meldplicht en het toezicht. Deze drie pijlers vormen de basis waarop organisaties hun cybersecurity moeten inrichten en aantoonbaar maken.

De zorgplicht verplicht organisaties om een risicobeoordeling uit te voeren en passende maatregelen te nemen. Er moet een helder beleid zijn, inclusief passende maatregelen voor risicoanalyse en beveiliging van informatiesystemen, het beoordelen van de effectiviteit van cyberbeveiligingsmaatregelen en het gebruik van cryptografie en encryptie. Het beleid moet door het bestuur worden vastgesteld en periodiek worden herzien.

Concrete maatregelen die organisaties moeten implementeren zijn:

  • Risicobeheer en risicoanalyse
  • Incidentafhandeling en respons
  • Bedrijfscontinuïteit en disaster recovery
  • Supply chain security (beveiliging van de toeleveringsketen)
  • Beveiligingsmaatregelen bij aanschaf en ontwikkeling van systemen
  • Beoordeling van de effectiviteit van maatregelen
  • Cybersecurityhygiëne en training

De meldplicht vereist dat organisaties incidenten die de levering van diensten kunnen verstoren binnen 24 uur melden aan de toezichthouder. Cyberincidenten moeten ook worden gemeld aan het Computer Security Incident Response Team (CSIRT).

Wanneer moet mijn organisatie NIS2-compliant zijn?

NIS2 treedt op 1 juli 2026 in werking in Nederland. Dit betekent dat organisaties die onder de scope van de richtlijn vallen vóór deze datum hun cyberbeveiligingsmaatregelen op orde moeten hebben. De deadline valt aan het einde van Q2 2026, wat organisaties een duidelijk tijdsbestek geeft waarbinnen zij hun compliancetraject moeten voltooien.

In Nederland wordt de NIS2-richtlijn omgezet in nationale wetgeving via de Cyberbeveiligingswet (Cbw) en het Cyberbeveiligingsbesluit (Cbb). Organisaties die onder de richtlijn vallen, krijgen te maken met een registratieplicht bij de toezichthouder.

De stappen die organisaties moeten nemen voor tijdige compliance:

  • Bepaal of jouw organisatie onder de NIS2-scope valt
  • Voer een gap-analyse uit om te bepalen waar je staat
  • Stel een implementatieplan op met duidelijke mijlpalen
  • Implementeer de vereiste technische en organisatorische maatregelen
  • Richt de governance en verantwoordelijkheden in
  • Zorg voor training van bestuur en medewerkers
  • Registreer je organisatie bij de toezichthouder

De urgentie neemt toe naarmate de deadline nadert. Wacht niet te lang met de voorbereiding, aangezien een gedegen implementatietraject al snel zes tot twaalf maanden in beslag neemt.

Wat zijn de gevolgen van niet-naleving van de NIS2?

De sancties bij non-compliance zijn aanzienlijk en vormen een belangrijke drijfveer voor organisaties om tijdig aan de slag te gaan. Voor essentiële entiteiten kunnen boetes oplopen tot 10 miljoen euro of 2% van de wereldwijde jaaromzet, afhankelijk van welk bedrag hoger is. Voor belangrijke entiteiten geldt een maximum van 7 miljoen euro of 1,4% van de wereldwijde jaaromzet.

Een opvallend nieuw element onder NIS2 is de persoonlijke bestuurdersaansprakelijkheid. Bestuurders kunnen persoonlijk aansprakelijk worden gesteld voor non-compliance met cybersecurityrisicomanagementmaatregelen. Dit betekent dat bestuurders de materie moeten begrijpen en op de hoogte moeten blijven. Zij moeten aantonen dat zij voldoende kennis en vaardigheden hebben om de gevolgen van informatiebeveiligingsrisico’s te beoordelen.

Naast financiële sancties kunnen organisaties te maken krijgen met reputatieschade bij incidenten die publiek worden. De toezichthouder kan ook aanvullende maatregelen opleggen, zoals het tijdelijk verbieden van bepaalde activiteiten of het publiekelijk bekendmaken van overtredingen.

Hoe helpt Hoek en Blok IT bij NIS2-compliance?

Hoek en Blok IT ondersteunt organisaties bij het volledige NIS2-compliancetraject met een pragmatische en betaalbare aanpak. Een veelvoorkomende misvatting is dat NIS2 volledig kan worden uitbesteed aan een IT-leverancier. De IT-leverancier kan wel helpen bij de technische aspecten, maar niet bij het inrichten van de organisatie, het opstellen van beleid en het borgen van verantwoordelijkheden. Hoek en Blok IT biedt juist die combinatie van technische expertise en organisatorische begeleiding.

De dienstverlening omvat:

  • Gap-analyses: bepaal waar jouw organisatie staat ten opzichte van de NIS2-eisen
  • ISAE 3402– en SOC 2-verklaringen: onafhankelijk bewijs van naleving voor stakeholders en toezichthouders
  • Penetratietests en security assessments: identificeer kwetsbaarheden en verbeterpunten
  • IT Security Officer as a Service: deskundige ondersteuning zonder fulltime aanstelling
  • Beleidsondersteuning: hulp bij het opstellen en implementeren van cybersecuritybeleid
  • Training voor bestuur en medewerkers: voldoe aan de scholingsverplichting

Wil je weten of jouw organisatie onder de NIS2 valt en wat je moet doen om tijdig compliant te zijn? Neem contact op met Hoek en Blok IT voor een vrijblijvend gesprek over jouw situatie en de mogelijkheden voor ondersteuning bij jouw NIS2-voorbereiding.

Wat is het verschil tussen DORA en bestaande toezichtregels?

in

DORA verschilt van bestaande toezichtregels doordat het een uniforme EU-verordening is die rechtstreeks van toepassing is in alle lidstaten, terwijl eerdere regelgeving vaak nationaal of sectoraal gefragmenteerd was. De Digital Operational Resilience Act richt zich specifiek op de digitale operationele weerbaarheid van de financiële sector en brengt ook ICT-dienstverleners onder direct toezicht. Hieronder beantwoorden we de belangrijkste vragen over de verschillen tussen DORA en andere regelgeving.

Wat is DORA en waarom is deze verordening anders dan eerdere regelgeving?

DORA (Digital Operational Resilience Act) is een EU-verordening die financiële instellingen en hun ICT-dienstverleners verplicht hun beveiliging van netwerk- en informatiesystemen te verbeteren. De wet beschermt tegen cyberaanvallen en andere verstoringen die financiële diensten kunnen onderbreken. Sinds januari 2023 is DORA van kracht, met volledige naleving vereist vanaf 17 januari 2025.

Het uniforme karakter van DORA onderscheidt deze verordening van het gefragmenteerde landschap van bestaande toezichtregels. Waar organisaties voorheen te maken hadden met verschillende nationale richtlijnen en sectorspecifieke regels, geldt DORA als één coherent kader voor de gehele EU. De verordening maakt deel uit van het EU-pakket voor digitale financiën, dat innovatie en concurrentie stimuleert terwijl risico’s worden beperkt.

De directe werking in alle EU-lidstaten betekent dat DORA niet eerst omgezet hoeft te worden in nationale wetgeving. Dit zorgt voor een gelijk speelveld binnen de Europese financiële sector en voorkomt interpretatieverschillen tussen landen.

Wat is het verschil tussen DORA en sectorale toezichtregels zoals DNB-richtlijnen?

DORA staat als EU-verordening boven nationale richtlijnen van toezichthouders zoals De Nederlandsche Bank (DNB) en de Autoriteit Financiële Markten (AFM). Waar DNB-richtlijnen specifiek voor de Nederlandse markt gelden, heeft DORA rechtstreekse werking in alle EU-lidstaten zonder nationale implementatie.

De reikwijdte van DORA is aanzienlijk breder dan die van traditionele sectorale regels. Naast financiële instellingen zoals banken, verzekeraars, beleggingsfondsen en betaaldiensten vallen ook kritieke ICT-dienstverleners onder het toepassingsgebied. Dit omvat:

  • Cloudcomputingproviders
  • Softwareleveranciers
  • Datacenters
  • Beheerders van IT-systemen voor financiële instellingen

Sectorale regels beperkten zich voorheen tot de financiële instellingen zelf. DORA erkent dat deze instellingen vaak afhankelijk zijn van externe ICT-dienstverleners en brengt daarom de gehele keten onder toezicht. Het NOREA DORA in Control Framework integreert overigens vragen van DNB voor zowel banken als pensioenfondsen en verzekeraars, wat aangeeft dat nationale toezichthouders hun verwachtingen afstemmen op DORA.

Hoe verschilt DORA van NIS2 en welke regelgeving heeft voorrang?

DORA en NIS2 zijn beide EU-wetgevingen gericht op verbetering van cyberveiligheid, maar met een verschillend toepassingsgebied. NIS2 geldt voor een breed scala aan sectoren die noodzakelijk of belangrijk zijn voor de economie, zoals energie, transport, gezondheid en digitale infrastructuur. DORA richt zich specifiek op de financiële sector.

Het lex-specialis-principe bepaalt dat DORA als specifieke wet voor de financiële sector voorrang heeft boven de algemenere NIS2-richtlijn. Beide wetgevingen zijn op elkaar afgestemd om juridische duidelijkheid en coherentie te waarborgen. Deze afstemming voorkomt overlappende of tegenstrijdige vereisten.

Voor organisaties die onder beide regelgevingen kunnen vallen, geldt dat DORA-compliance de primaire focus moet zijn. De Europese wetgevers hebben bewust gezorgd voor een geïntegreerde aanpak van cyberveiligheid binnen de EU, waarbij de specifieke eisen van DORA voor de financiële sector leidend zijn.

Wat zijn de belangrijkste verschillen tussen DORA en ISO 27001?

DORA is een wettelijke verplichting met rechtstreekse werking, terwijl ISO 27001 een vrijwillige certificeringsnorm is. Financiële instellingen kunnen niet kiezen of ze aan DORA voldoen; naleving is verplicht. ISO 27001-certificering blijft een keuze, hoewel deze waardevol kan zijn als basis voor informatiebeveiliging.

DORA stelt specifieke eisen die verder gaan dan ISO 27001:

  • Incidentmelding: DORA vereist snelle opsporing en melding van ICT-incidenten binnen strikte termijnen aan toezichthouders.
  • Threat-Led Penetration Testing (TLPT): Verplichte periodieke tests van digitale weerbaarheid volgens een specifieke methodologie.
  • Toezicht op derde partijen: Uitgebreide eisen voor het beheer van ICT-dienstverleners, inclusief contractuele vereisten.
  • Informatie-uitwisseling: Actief delen van cyberdreigingsinformatie binnen de sector.

ISO 27001-certificering kan helpen bij DORA-compliance doordat deze een solide basis biedt voor informatiebeveiliging. De certificering volstaat echter niet als bewijs van DORA-naleving. Organisaties moeten de aanvullende DORA-specifieke maatregelen implementeren.

Welke nieuwe verplichtingen brengt DORA die niet in bestaande regelgeving staan?

DORA introduceert zes hoofdvereisten voor digitale operationele veerkracht die in deze vorm niet eerder in regelgeving stonden. Governance vereist het inrichten van een ICT-risicobeheerkader om digitale dreigingen te beheersen en klantgegevens te beschermen. ICT-risicobeheer omvat regelmatige risicobeoordelingen om systemen en data veilig te houden.

De unieke DORA-vereisten omvatten:

  • Verplichte TLPT: Threat-Led Penetration Testing moet de digitale weerbaarheid regelmatig toetsen.
  • ICT-risicobeheerkader: Een formeel kader voor de identificatie en beheersing van digitale risico’s.
  • Incidentrapportage: Snelle detectie en melding binnen voorgeschreven termijnen.
  • Register van uitbestedingsovereenkomsten: Een volledig overzicht van alle ICT-uitbestedingen.

Europese toezichthouders krijgen onder DORA de bevoegdheid om kritieke ICT-dienstverleners direct te controleren. Dit directe toezicht op derde partijen bestond niet in eerdere regelgeving en erkent de cruciale rol van deze leveranciers in de financiële infrastructuur.

Hoe beïnvloedt DORA de relatie met ICT-dienstverleners anders dan huidige uitbestedingsregels?

DORA vereist strikt beheer van ICT-dienstverleners om continuïteit en veiligheid te waarborgen, ook bij afhankelijkheid van externe partijen. Financiële instellingen moeten uitbestedingsrisico’s identificeren, monitoren en beheersen om operationele verstoringen te voorkomen. Dit gaat verder dan bestaande uitbestedingsrichtlijnen.

De belangrijkste nieuwe eisen voor derdenbeheer zijn:

  • Verplicht register: Alle uitbestedingsovereenkomsten met ICT-dienstverleners moeten worden gedocumenteerd.
  • Contractuele vereisten: Afspraken moeten de digitale weerbaarheid expliciet waarborgen.
  • Exitstrategieën: Vooraf gedefinieerde plannen voor de beëindiging van leveranciersrelaties.
  • Prestatiemonitoring: Actief toezicht op de prestaties van leveranciers.

Externe ICT-dienstverleners moeten voldoen aan dezelfde beveiligingsstandaarden als de financiële instelling zelf. De mogelijkheid voor toezichthouders om kritieke ICT-dienstverleners direct te controleren, versterkt de positie van financiële instellingen in onderhandelingen met hun leveranciers.

Hoe helpt Hoek en Blok IT bij het navigeren tussen DORA en bestaande toezichtregels?

Hoek en Blok IT ondersteunt organisaties bij elke stap van de DORA-implementatie en de afstemming met bestaande regelgeving. De NOREA-gecertificeerde IT-auditors combineren meer dan 30 jaar praktijkervaring met diepgaande kennis van de financiële sector.

De concrete dienstverlening omvat:

  • Gap-analyses: Bepalen welke risico’s of maatregelen nog nodig zijn voor voldoende digitale weerbaarheid.
  • DORA-audits: Beoordeling van compliance met de regelgevende vereisten.
  • TLPT-ondersteuning: Begeleiding bij verplichte Threat-Led Penetration Testing.
  • ICT-risicomanagementadvies: Ontwikkeling van een op maat gemaakt risicobeheerkader conform DORA-normen.
  • IT Security Officer as a Service: Pragmatische ondersteuning zonder onnodige administratieve lasten.
  • Monitoringstructuren: Inrichten van periodieke controles op de effectiviteit van maatregelen.

Neem contact op met Hoek en Blok IT voor een vrijblijvend gesprek over uw DORA-implementatie en de afstemming met bestaande toezichtregels binnen uw organisatie.

Hoe bereid je je voor op een NIS2 toezichthouder inspectie?

in

Een NIS2-toezichthouderinspectie verloopt gestructureerd en richt zich op de vraag of jouw organisatie de wettelijke cybersecuritymaatregelen daadwerkelijk heeft geïmplementeerd. De toezichthouder beoordeelt documentatie, spreekt met verantwoordelijken en kan technische controles uitvoeren. Goede voorbereiding maakt het verschil tussen een soepele inspectie en kostbare hersteltrajecten. In dit artikel beantwoorden we de belangrijkste vragen over wat je kunt verwachten en hoe je je organisatie optimaal voorbereidt.

Wat controleert een NIS2-toezichthouder tijdens een inspectie?

Een NIS2-toezichthouder beoordeelt of jouw organisatie de tien kernmaatregelen uit de zorgplicht adequaat heeft geïmplementeerd. Dit omvat risicobeheer, incidentbehandeling, bedrijfscontinuïteit, beveiliging van de toeleveringsketen en governance-structuren. De toezichthouder controleert niet alleen of beleid bestaat, maar ook of het daadwerkelijk wordt nageleefd.

De wettelijke basis voor inspecties vloeit voort uit de Cyberbeveiligingswet, de Nederlandse implementatie van de NIS2-richtlijn. Toezichthouders hebben ruime bevoegdheden: zij mogen documenten opvragen, systemen inspecteren, interviews afnemen en technische tests laten uitvoeren. Bij de beoordeling kijken zij specifiek naar:

  • Risicoanalyses en de onderbouwing van gekozen maatregelen
  • Incidentbehandeling en meldprocedures
  • Beveiliging bij het verwerven, ontwikkelen en onderhouden van netwerk- en informatiesystemen
  • Basispraktijken op het gebied van cyberhygiëne en training
  • Toegangsbeleid, beheer van activa en, waar passend, multi-factorauthenticatie
  • Betrokkenheid en kennis van het bestuur

Welke documenten en bewijslast moet je klaar hebben voor een NIS2-inspectie?

Je moet kunnen aantonen dat cybersecuritymaatregelen niet alleen op papier bestaan, maar ook in de praktijk functioneren. Dit vereist een complete documentatieset die actueel en toegankelijk is. Zorg dat je minimaal de volgende documenten kunt overleggen:

  • Actuele risicoanalyse met onderbouwing van gekozen maatregelen
  • Informatiebeveiligingsbeleid, vastgesteld en periodiek herzien door het bestuur
  • Incidentresponsprocedures en logboeken van eerdere incidenten
  • Business continuityplan en disasterrecoveryprocedures
  • Penetratietestrapporten en resultaten van technische controles
  • Registraties van securityawarenesstrainingen voor medewerkers
  • Documentatie over beveiliging van de toeleveringsketen
  • Bewijs van bestuurlijke betrokkenheid en scholing

Organiseer deze documentatie op een centrale locatie en zorg voor versiebeheer. Toezichthouders waarderen het wanneer je snel de juiste documenten kunt aanleveren. Een assuranceverklaring zoals SOC 2 of ISAE 3402 kan helpen bij het aantonen van compliance, omdat dit onafhankelijk bewijs biedt van naleving van internationaal erkende informatiebeveiligingsnormen.

Hoe verloopt een NIS2-inspectie in de praktijk?

Een NIS2-inspectie begint doorgaans met een schriftelijke aankondiging, hoewel onaangekondigde inspecties ook mogelijk zijn. De toezichthouder geeft aan welke documentatie vooraf moet worden aangeleverd en welke onderwerpen centraal staan. Het inspectieproces kent verschillende vormen:

Bij een documentenonderzoek vraagt de toezichthouder specifieke documenten op en beoordeelt deze op volledigheid en kwaliteit. Een on-sitebezoek omvat gesprekken met verantwoordelijken, observatie van werkprocessen en mogelijk een rondgang door technische faciliteiten. Technische audits kunnen inhouden dat systemen worden gecontroleerd of dat penetratietests worden uitgevoerd.

Zorg dat de volgende personen beschikbaar en voorbereid zijn: de security officer, IT-verantwoordelijken, compliance officers en een bestuurder die de governance kan toelichten. Na afloop ontvangt de organisatie een eindrapportage met bevindingen en eventuele vervolgacties.

Wat zijn de meest voorkomende tekortkomingen bij NIS2-inspecties?

Toezichthouders identificeren regelmatig dezelfde compliancegaps bij organisaties. De meest voorkomende tekortkomingen zijn te voorkomen met gerichte voorbereiding:

  • Onvolledige risicoanalyses: analyses die niet alle relevante risico’s dekken of niet periodiek worden geactualiseerd
  • Ontbrekende of verouderde incidentprocedures: geen duidelijke stappen voor detectie, respons en melding
  • Gebrekkige supplychainbeveiliging: onvoldoende zicht op en controle over leveranciers en hun beveiligingsniveau
  • Onvoldoende managementbetrokkenheid: bestuurders die de materie niet begrijpen of geen aantoonbare scholing hebben gevolgd
  • Papieren compliance: beleid dat wel bestaat, maar niet wordt nageleefd of gecontroleerd

Een veelvoorkomende denkfout is dat NIS2 volledig kan worden uitbesteed aan een IT-leverancier. NIS2 is primair een organisatorisch vraagstuk. De IT-leverancier kan helpen bij technische aspecten, maar niet bij het inrichten van de organisatie, het opstellen van beleid en het borgen van verantwoordelijkheden.

Wat gebeurt er als je niet compliant bent tijdens een NIS2-inspectie?

Non-compliance kan leiden tot een escalerend sanctietraject. De toezichthouder begint doorgaans met een waarschuwing en de opdracht om binnen een bepaalde termijn herstelmaatregelen te treffen. Bij ernstige of voortdurende overtredingen volgen administratieve boetes die kunnen oplopen tot miljoenen euro’s.

Bijzonder aan NIS2 is de persoonlijke aansprakelijkheid van bestuurders. Het bestuur moet aantonen dat het voldoende kennis en vaardigheden heeft om cyberbeveiligingsrisico’s te beoordelen. Bestuurders die nalatig zijn geweest, kunnen persoonlijk aansprakelijk worden gesteld.

Na een negatieve inspectie krijg je een hersteltermijn om tekortkomingen te verhelpen. Je kunt bezwaar maken tegen besluiten van de toezichthouder, maar dit schort de verplichting tot herstel niet automatisch op. Investeer liever in preventie dan in hersteltrajecten achteraf.

Hoe kun je je organisatie het beste voorbereiden op een NIS2-inspectie?

Effectieve voorbereiding begint met een realistische inschatting van je huidige positie. Voer een interne gap-analyse uit om te bepalen waar je staat ten opzichte van de NIS2-eisen. Gebruik deze bevindingen om een prioriteitenlijst op te stellen.

Een praktisch stappenplan voor inspectievoorbereiding:

  • Wijs een verantwoordelijke aan die de NIS2-compliance coördineert (security officer)
  • Voer een gap-analyse uit ten opzichte van de tien kernmaatregelen uit de zorgplicht
  • Stel een verbeterplan op met concrete acties en deadlines
  • Organiseer documentatie centraal en zorg voor versiebeheer
  • Train medewerkers op cyberhygiëne en incidentprocedures
  • Voer periodieke technische tests uit, waaronder penetratietests en phishing-simulaties
  • Stel een inspectiedraaiboek op met contactpersonen en verantwoordelijkheden
  • Zorg dat bestuurders aantoonbaar zijn geschoold in cyberbeveiligingsrisico’s

Creëer een compliancecultuur waarin beveiliging geen eenmalig project is, maar een doorlopend proces. Analyseer incidenten om oorzaken, gevolgen en lessen te identificeren. Documenteer controles en rapporteer resultaten aan interne en externe belanghebbenden.

Hoe helpt Hoek en Blok IT bij de voorbereiding op een NIS2-inspectie?

Hoek en Blok IT ondersteunt organisaties bij het inspectieproof maken van hun NIS2-compliance. Met NOREA-gecertificeerde auditors en praktijkervaring in IT-audits weten wij precies waar toezichthouders op letten.

Onze dienstverlening voor NIS2-inspectievoorbereiding omvat:

  • Gap-analyse: onafhankelijke beoordeling van je huidige positie ten opzichte van NIS2-eisen
  • Mock-audits: simulatie van een toezichthouderinspectie om zwakke plekken te identificeren
  • Documentatie-ondersteuning: hulp bij het opstellen en organiseren van vereiste documentatie
  • IT Security Officer as-a-Service: externe security officer die de compliance coördineert
  • Penetratests en technische assessments: onafhankelijke validatie van technische maatregelen
  • Bestuurderstraining: scholing zodat het management aantoonbaar voldoet aan kenniseisen

Neem contact op voor een vrijblijvend adviesgesprek over jouw NIS2-inspectievoorbereiding. Samen zorgen we dat je organisatie klaar is wanneer de toezichthouder komt.

Wat zijn de operationele deadlines voor NIS2 in 2026?

in

De operationele deadlines voor NIS2 in 2026 beginnen met de inwerkingtreding van de Cyberbeveiligingswet op 1 juli 2026 in Nederland. Vanaf dat moment moeten organisaties voldoen aan registratieverplichtingen, incidentmeldplichten en risicobeheermaatregelen. Dit artikel beantwoordt de belangrijkste vragen over tijdlijnen, verplichtingen en de praktische voorbereiding op NIS2-compliance.

Wanneer gaat de NIS2-richtlijn officieel van kracht in Nederland?

De NIS2-richtlijn wordt in Nederland geïmplementeerd via de Cyberbeveiligingswet (Cbw) en het Cyberbeveiligingsbesluit (Cbb). De oorspronkelijke Europese deadline was oktober 2024, maar de Nederlandse implementatie heeft vertraging opgelopen. De verwachte inwerkingtreding is nu 1 juli 2026.

De Europese Unie stelde de NIS2-richtlijn vast als opvolger van de oorspronkelijke NIS-richtlijn, met een significant uitgebreid toepassingsbereik en strengere eisen. Waar de eerste NIS-richtlijn zich richtte op grote bedrijven in kritieke sectoren zoals energie en waterbedrijven, trekt NIS2 dit veel breder. De groei in digitalisering heeft voor veel mkb’ers grote uitdagingen met zich meegebracht op het gebied van IT-beveiliging, en het mkb is steeds vaker doelwit van ransomware-aanvallen.

De vertraging in de nationale implementatie betekent niet dat u kunt wachten met de voorbereidingen. De technische en organisatorische eisen blijven hetzelfde, en organisaties die nu starten, hebben voldoende tijd om compliant te worden zonder overhaaste beslissingen.

Welke operationele NIS2-deadlines moet uw organisatie kennen voor 2026?

Vanaf 1 juli 2026 gelden verschillende operationele verplichtingen met strikte termijnen. De registratieplicht vereist dat organisaties zich binnen een vastgestelde periode aanmelden bij de bevoegde autoriteit. Incidentmeldingen moeten binnen 24 uur na ontdekking worden gedaan, gevolgd door een uitgebreider rapport binnen 72 uur.

De praktische tijdlijn voor compliance omvat de volgende mijlpalen:

  • Registratie: Organisaties moeten zich registreren bij de nationale toezichthouder zodra de wet van kracht is.
  • Incidentmelding: Ernstige cyberincidenten binnen 24 uur melden aan de nationale autoriteiten.
  • Risicobeheermaatregelen: Passende technische en organisatorische maatregelen geïmplementeerd hebben.
  • Supply chain security: Beveiligingseisen aan leveranciers vastleggen en controleren.

NIS2 verplicht organisaties om ernstige cyberincidenten te melden aan de nationale autoriteiten. Dit helpt bij het snel identificeren en aanpakken van grootschalige aanvallen. De meldplicht geldt voor incidenten die significante impact hebben op de dienstverlening of grote aantallen gebruikers treffen.

Wat zijn de belangrijkste NIS2-verplichtingen die voor de deadlines geregeld moeten zijn?

De kernverplichtingen onder NIS2 omvatten risicobeheer, incidentmelding, supply chain security, bedrijfscontinuïteit en security awareness. Organisaties moeten passende technische en organisatorische maatregelen nemen om de risico’s van cyberaanvallen te verminderen. Dit omvat het implementeren van beveiligingsmaatregelen die het moeilijker maken voor hackers om toegang te krijgen tot systemen en gegevens.

De minimale eisen waaraan voldaan moet worden:

  • Risicoanalyse en beveiligingsbeleid voor informatiesystemen
  • Incidentafhandeling en -melding
  • Bedrijfscontinuïteit en crisisbeheer
  • Beveiliging van de toeleveringsketen
  • Beveiliging bij verwerving, ontwikkeling en onderhoud van systemen
  • Cyberhygiëne en security awareness-training
  • Beleid voor cryptografie en encryptie
  • Toegangscontrole en beheer van bedrijfsmiddelen

Een veelvoorkomende misvatting is dat NIS2 volledig kan worden uitbesteed aan een IT-leverancier. NIS2 is primair een organisatorisch vraagstuk, niet alleen een technisch vraagstuk. De IT-leverancier kan helpen bij technische aspecten, maar niet bij het inrichten van de organisatie, het opstellen van beleid en het borgen van verantwoordelijkheden.

Hoe bepaalt u of uw organisatie onder de NIS2-richtlijn valt?

De NIS2-richtlijn maakt onderscheid tussen essentiële en belangrijke entiteiten. Essentiële entiteiten zijn organisaties in sectoren zoals energie, transport, bankwezen, gezondheidszorg en digitale infrastructuur. Belangrijke entiteiten omvatten sectoren als post- en koeriersdiensten, afvalbeheer, voedselproductie en digitale dienstverleners.

De groottecriteria voor NIS2-toepasselijkheid:

  • Middelgroot: 50–250 medewerkers of een jaaromzet tussen 10 en 50 miljoen euro
  • Groot: Meer dan 250 medewerkers of een jaaromzet boven 50 miljoen euro

Voor zelfbeoordeling kunt u de volgende stappen doorlopen: bepaal in welke sector uw organisatie actief is, controleer of u aan de groottecriteria voldoet en beoordeel of u diensten levert die onder de richtlijn vallen. Let op dat ook kleinere organisaties onder NIS2 kunnen vallen als zij kritieke diensten leveren aan essentiële sectoren.

Wat zijn de consequenties als u de NIS2-deadlines mist?

Non-compliance met NIS2 leidt tot aanzienlijke sancties. Voor essentiële entiteiten kunnen boetes oplopen tot 10 miljoen euro of 2% van de wereldwijde jaaromzet. Voor belangrijke entiteiten geldt een maximum van 7 miljoen euro of 1,4% van de omzet. Bestuurders kunnen persoonlijk aansprakelijk worden gesteld voor het niet naleven van cybersecurityrisicomanagementmaatregelen.

Naast financiële sancties zijn er operationele gevolgen:

  • Reputatieschade bij klanten, partners en toezichthouders
  • Mogelijke schorsing van bedrijfsactiviteiten
  • Verhoogd toezicht en frequentere audits
  • Persoonlijke consequenties voor bestuurders en management

Het handhavingsregime onder NIS2 is strenger dan onder de voorganger. Toezichthouders krijgen meer bevoegdheden voor inspecties, audits en het opleggen van bindende instructies. De persoonlijke aansprakelijkheid van bestuurders maakt dit een bestuursaangelegenheid, niet alleen een IT-kwestie.

Hoe bereidt u uw organisatie tijdig voor op de NIS2-deadlines van 2026?

Een pragmatische aanpak voor NIS2-implementatie bestaat uit vijf fasen. Start met het analyseren van cyberrisico’s door IT-middelen te inventariseren en een risicoanalyse uit te voeren. Bepaal vervolgens de maatregelen via een business impact assessment en gap-analyse om het verschil tussen de huidige en de gewenste situatie te bepalen.

Praktisch stappenplan:

  • Fase 1: Analyseer cyberrisico’s, inventariseer IT-middelen en identificeer kwetsbaarheden.
  • Fase 2: Bepaal maatregelen via een business impact assessment en gap-analyse.
  • Fase 3: Stel een actieplan op en ontwerp het controls framework met maatregelen en verantwoordelijken.
  • Fase 4: Voer maatregelen uit en integreer deze in de dagelijkse werkzaamheden.
  • Fase 5: Controleer en verbeter door incidenten te analyseren en maatregelen periodiek te evalueren.

Betrek stakeholders vroeg in het proces en alloceer voldoende budget en resources. Een nulmeting helpt om inzicht te krijgen in de kroonjuwelen van de organisatie, waar de meeste risico’s zitten en welke maatregelen al geïmplementeerd zijn. Dit vormt de basis voor een realistische planning richting de deadline van juli 2026.

Hoe helpt Hoek en Blok IT bij NIS2-compliance en het halen van de deadlines?

Hoek en Blok IT ondersteunt organisaties bij het behalen van NIS2-compliance met een pragmatische en betaalbare aanpak. De NOREA-gecertificeerde EDP-auditors combineren technische expertise met auditervaring om zowel compliance als praktische veiligheidsverbetering te realiseren.

Specifieke diensten voor NIS2-compliance:

  • NIS2-nulmeting: Inzicht in kwetsbaarheden, risico’s en te nemen maatregelen op het gebied van techniek, mensen en processen.
  • Gap-analyse: Bepaal het verschil tussen de huidige situatie en de NIS2-vereisten.
  • IT-securityassessments en penetratietests: Identificeer technische kwetsbaarheden.
  • IT Security Officer as-a-Service: Structurele ondersteuning bij implementatie en borging.
  • Security awareness-training: Verhoog het beveiligingsbewustzijn van medewerkers.
  • Adviesrapportage: Uitgebreid en begrijpelijk advies voor verbetering van de cyberweerbaarheid.

Na een nulmeting ontvangt u een risicoregister, een kroonjuwelenoverzicht, een informatiebeveiligingsbeleid en een voorstel voor het beleggen van verantwoordelijkheden. Neem contact op voor een vrijblijvend adviesgesprek over uw NIS2-voorbereiding en ontdek hoe u tijdig compliant wordt voor de deadline van 1 juli 2026.

Wat als je niet voldoet aan NIS2?

in

Niet voldoen aan de NIS2-richtlijn kan ernstige gevolgen hebben voor jouw organisatie. Je riskeert boetes tot 10 miljoen euro of 2% van de wereldwijde jaaromzet, persoonlijke aansprakelijkheid voor bestuurders, operationele beperkingen en aanzienlijke reputatieschade. Met de deadline van 2026 in zicht is het essentieel om nu te begrijpen wat er op het spel staat en welke stappen je moet nemen om compliant te worden.

Welke sancties en boetes riskeer je bij NIS2-non-compliance?

Bij het niet naleven van NIS2 kunnen toezichthouders forse financiële sancties opleggen. De boetecategorieën verschillen per type organisatie. Essentiële entiteiten riskeren boetes tot 10 miljoen euro of 2% van de wereldwijde jaaromzet, afhankelijk van welk bedrag hoger is. Voor belangrijke entiteiten gelden boetes tot 7 miljoen euro of 1,4% van de omzet.

De hoogte van de daadwerkelijke boete hangt af van verschillende factoren die toezichthouders meewegen:

  • De ernst en duur van de overtreding
  • Of er sprake is van opzet of nalatigheid
  • Eerdere overtredingen van de organisatie
  • De mate van medewerking met toezichthouders
  • Welke maatregelen de organisatie heeft genomen om schade te beperken

Deze sancties zijn bedoeld om organisaties te motiveren hun cybersecurity serieus te nemen. In tegenstelling tot eerdere regelgeving kent NIS2 een strenger handhavingsregime met proactief toezicht voor grote organisaties in kritieke sectoren.

Wat betekent persoonlijke aansprakelijkheid voor bestuurders onder NIS2?

Een belangrijke wijziging ten opzichte van eerdere cybersecurityregelgeving is de persoonlijke aansprakelijkheid voor bestuurders en topmanagement. Directieleden kunnen individueel verantwoordelijk worden gehouden wanneer hun organisatie niet voldoet aan de NIS2-vereisten voor cybersecurityrisicomanagement.

Dit betekent dat bestuurders actief betrokken moeten zijn bij cybersecuritygovernance. De juridische consequenties kunnen onder meer inhouden:

  • Persoonlijke boetes voor nalatige bestuurders
  • Tijdelijke ontzetting uit bestuursfuncties
  • Civielrechtelijke aansprakelijkheid bij schade door cyberincidenten

De NIS2-richtlijn verplicht bestuurders om cybersecurityrisicobeoordelingen goed te keuren en toe te zien op de implementatie van maatregelen. Cybersecurity is daarmee geen IT-project meer, maar een organisatorisch traject met bestuurlijke verantwoordelijkheid. Veel organisaties maken de denkfout dat NIS2 kan worden uitbesteed aan de IT-leverancier, terwijl de eindverantwoordelijkheid altijd bij het bestuur blijft liggen.

Welke operationele gevolgen heeft NIS2-non-compliance voor je organisatie?

Naast financiële sancties kunnen toezichthouders ook operationele beperkingen opleggen die de bedrijfsvoering direct raken. Deze niet-financiële consequenties kunnen op lange termijn zelfs ingrijpender zijn dan de boetes zelf.

Mogelijke operationele gevolgen zijn:

  • Verplichte audits en inspecties door toezichthouders, met bijbehorende kosten en tijdsinvestering
  • Openbare bekendmaking van overtredingen, wat leidt tot reputatieschade
  • Tijdelijke opschorting van bepaalde bedrijfsactiviteiten tot compliance is bereikt
  • Uitsluiting van aanbestedingen en samenwerkingen met overheidsinstanties

De impact op zakelijke relaties kan aanzienlijk zijn. Partners en klanten stellen steeds vaker eisen aan de cybersecurity van hun leveranciers. Non-compliance kan leiden tot verlies van contracten of het niet kunnen afsluiten van nieuwe overeenkomsten. In een tijd waarin cyberaanvallen steeds verfijnder worden en de gemiddelde schade van een hack aanzienlijk is, verwachten zakelijke partners dat je jouw cybersecurity op orde hebt.

Hoe weet je of jouw organisatie onder de NIS2-richtlijn valt?

De NIS2-richtlijn is van toepassing op organisaties die actief zijn in specifieke sectoren én voldoen aan bepaalde groottecriteria. Middelgrote en grote ondernemingen in de aangewezen sectoren vallen onder de richtlijn, terwijl kleine organisaties (minder dan 50 werknemers én een omzet onder 10 miljoen euro) doorgaans zijn uitgezonderd.

De richtlijn maakt onderscheid tussen essentiële en belangrijke entiteiten. Essentiële entiteiten zijn onder meer actief in:

  • Energie (elektriciteit, olie, gas)
  • Transport (luchtvaart, spoor, water, weg)
  • Bankwezen en financiële marktinfrastructuur
  • Gezondheidszorg
  • Drinkwater en afvalwater
  • Digitale infrastructuur en ICT-dienstverlening

Belangrijke entiteiten omvatten sectoren zoals post- en koeriersdiensten, afvalbeheer, chemie, voeding en digitale aanbieders. Bij twijfel over de classificatie van jouw organisatie kunnen nationale autoriteiten duidelijkheid verschaffen. Proactief toezicht geldt voor grote organisaties (meer dan 250 werknemers of een omzet boven 50 miljoen euro) in Annex I-sectoren.

Welke stappen moet je nemen om NIS2-non-compliance te voorkomen?

Met de operationele deadline in 2026 is het verstandig om nu te starten met je voorbereidingen. Een gestructureerde aanpak helpt om tijdig compliant te worden zonder de organisatie te overbelasten.

Een praktisch stappenplan omvat de volgende actiepunten:

  • Voer een nulmeting uit om je huidige cybersecurityniveau te beoordelen en hiaten te identificeren
  • Stel een risicobeoordeling op waarin je de kroonjuwelen van je organisatie en de grootste risico’s documenteert
  • Ontwikkel incidentresponsplannen zodat je snel kunt reageren op cyberaanvallen en adequaat kunt herstellen
  • Beoordeel je supply chain security en stel eisen aan leveranciers
  • Implementeer security awareness-training voor medewerkers
  • Beleg verantwoordelijkheden en wijs een security officer aan
  • Documenteer je beleid in een helder informatiebeveiligingsbeleid

De kernvraag die veel organisaties stellen, is: wat moeten wij concreet doen om aan NIS2 te voldoen? Succesvolle implementatie vraagt om interne verantwoordelijkheid, bestuurlijke betrokkenheid én externe begeleiding voor structuur en borging. Stappenplannen en checklists zijn daarbij effectiever dan uitgebreide juridische uitleg.

Hoe helpt Hoek en Blok IT bij NIS2-compliance?

Hoek en Blok IT ondersteunt organisaties bij het volledige NIS2-compliancetraject met een pragmatische en betaalbare aanpak. Het team van NOREA-gecertificeerde EDP-auditors combineert technische expertise met auditervaring om jouw organisatie doelgericht naar compliance te begeleiden.

Concrete diensten voor NIS2-compliance:

  • NIS2-nulmeting: beoordeling van je huidige cybersecurityniveau met identificatie van hiaten en risico’s
  • IT-audits en assurance-rapportages: ISAE 3000-, ISAE 3402-verklaringen en SOC 2-rapportages
  • Penetratietests en securityassessments: identificatie van kwetsbaarheden in je IT-infrastructuur
  • IT Security Officer as-a-Service: externe invulling van de security officer-rol voor organisaties die dit niet intern kunnen beleggen
  • Security awareness-training: verhoging van het beveiligingsbewustzijn bij medewerkers

De nulmeting levert concrete deliverables op: een risicoregister, een overzicht van geïmplementeerde en ontbrekende maatregelen, een informatiebeveiligingsbeleid en een helder adviesrapport. Zo weet je precies waar je staat en welke stappen je moet zetten.

Neem contact op met Hoek en Blok IT voor een vrijblijvend adviesgesprek en ontdek hoe jouw organisatie tijdig NIS2-compliant kan worden.

Hoe bereid je je voor op een DORA-audit?

in

Een DORA-audit voorbereiden vraagt om een gestructureerde aanpak waarbij je ICT-risicomanagement, incidentenbeheer, weerbaarheidstesten, uitbestedingsrisico’s en informatiedeling aantoonbaar op orde hebt. De Digital Operational Resilience Act (DORA) is sinds 17 januari 2025 van toepassing en toezichthouders als DNB en AFM controleren actief op naleving. Dit artikel beantwoordt de belangrijkste vragen over wat een DORA-audit inhoudt, wie eraan moet voldoen en hoe je je organisatie praktisch voorbereidt.

Wat is een DORA-audit en waarom is deze verplicht?

Een DORA-audit is een onafhankelijke beoordeling van de digitale operationele weerbaarheid van financiële entiteiten en hun kritieke ICT-dienstverleners. De audit toetst of organisaties voldoen aan de vereisten uit de Digital Operational Resilience Act, de EU-verordening die sinds januari 2023 van kracht is, met volledige toepassing vanaf 17 januari 2025.

De wettelijke verplichting vloeit voort uit de noodzaak om de financiële sector beter te beschermen tegen cyberaanvallen en andere verstoringen die financiële diensten kunnen onderbreken. DORA maakt deel uit van het EU-pakket voor digitale financiën, dat innovatie stimuleert terwijl risico’s worden beperkt. Het doel is een uniform beschermingsniveau te creëren binnen de Europese financiële sector.

Toezichthouders zoals De Nederlandsche Bank (DNB) en de Autoriteit Financiële Markten (AFM) houden toezicht op de naleving. Zij kunnen vragen stellen over specifieke onderdelen van de DORA-vereisten en verwachten dat organisaties hun digitale weerbaarheid kunnen aantonen. De volledige DORA-regelgeving blijft van toepassing, ongeacht de specifieke toezichtvragen die worden gesteld.

Welke organisaties moeten zich voorbereiden op een DORA-audit?

DORA is van toepassing op een breed scala aan financiële entiteiten: banken, verzekeraars, herverzekeraars, beleggingsondernemingen, pensioenfondsen, betalingsinstellingen, elektronische geldinstellingen en beheerders van beleggingsfondsen. Daarnaast vallen kritieke ICT-dienstverleners onder de regelgeving, waaronder cloudproviders, softwareleveranciers en datacenters die diensten leveren aan deze financiële instellingen.

De proportionaliteitsbenadering binnen DORA betekent dat de vereisten verschillen per organisatiegrootte en complexiteit. Kleinere organisaties met minder complexe IT-omgevingen hoeven minder uitgebreide maatregelen te treffen dan grote, systeemrelevante instellingen. De kernprincipes blijven echter voor iedereen gelden.

Bestuurders dragen de eindverantwoordelijkheid voor DORA-compliance. Zij moeten het ICT-risicobeheerkader goedkeuren en toezien op de implementatie. Compliance- en riskfuncties spelen een cruciale rol bij het waarborgen van de digitale weerbaarheid en het coördineren van de voorbereidingen. Security officers en IT-verantwoordelijken zijn verantwoordelijk voor de praktische uitvoering van de technische maatregelen.

Wat zijn de belangrijkste pijlers van DORA waar auditors op letten?

Auditors beoordelen vijf kerngebieden tijdens een DORA-audit. Het eerste domein betreft ICT-risicomanagement: auditors controleren of organisaties een gedocumenteerd ICT-risicobeheerkader hebben ingericht om digitale dreigingen te beheersen en klantgegevens te beschermen. Ze verwachten regelmatige ICT-risicobeoordelingen en actuele documentatie over geïdentificeerde risico’s en beheersmaatregelen.

Het tweede domein is ICT-incidentenbeheer en -rapportage. Auditors toetsen of organisaties incidenten snel kunnen detecteren, analyseren en melden bij de toezichthouder. Ze beoordelen de incidentresponsplannen en de procedures voor escalatie en communicatie.

Het derde kerngebied betreft het testen van digitale operationele weerbaarheid. Organisaties moeten periodiek hun weerbaarheid testen, bijvoorbeeld door middel van penetratietesten en scenario-analyses. Auditors vragen naar testrapportages en de opvolging van bevindingen.

Beheer van ICT-uitbestedingsrisico’s vormt het vierde domein. Financiële instellingen moeten strikt beheer voeren over hun ICT-dienstverleners. Auditors controleren contractuele afspraken, het uitbestedingsregister en de monitoring van leveranciersprestaties.

Het vijfde domein is informatie-uitwisseling over cyberdreigingen. Auditors beoordelen of organisaties actief deelnemen aan het delen van dreigingsinformatie om sneller te kunnen reageren op nieuwe risico’s.

Hoe ziet het DORA-auditproces er in de praktijk uit?

Een DORA-audittraject volgt een gestructureerd proces in drie fasen. De eerste fase betreft scopebepaling: samen met de organisatie wordt bepaald welke processen en risico’s worden beoordeeld. Dit gebeurt aan de hand van een normenkader dat aansluit bij de DORA-vereisten.

De tweede fase omvat de daadwerkelijke uitvoering van de audit. Auditors voeren interviews met sleutelfunctionarissen, beoordelen beleidsdocumenten en procedures, en inspecteren uitgevoerde controles en configuraties. Deze aanpak geeft direct inzicht in de effectiviteit van de geïmplementeerde maatregelen.

In de derde fase wordt het rapport besproken. Een helder rapport identificeert de belangrijkste aandachtspunten en aanbevelingen, maar benoemt ook wat de organisatie al goed doet. Dit rapport wordt gezamenlijk doorgenomen om de belangrijkste acties te bepalen voor het bereiken van betere beheersing.

De doorlooptijd van een DORA-audit varieert afhankelijk van de organisatieomvang en de mate waarin documentatie al op orde is. Reken op enkele weken tot maanden voor een volledig traject. Interne auditors kunnen een voorbereidende rol spelen, terwijl externe auditors de onafhankelijke beoordeling uitvoeren.

Welke documenten en bewijsstukken moet je verzamelen voor een DORA-audit?

Een praktisch overzicht van de vereiste documentatie omvat de volgende categorieën:

  • ICT-risicobeleid: het vastgestelde risicobeheerkader met risicoregisters en beoordelingsmethodiek
  • Incidentresponsplannen: procedures voor detectie, escalatie, communicatie en herstel
  • Uitbestedingsregister: overzicht van alle ICT-dienstverleners met contractuele afspraken en risicobeoordelingen
  • Testrapportages: resultaten van penetratietesten, kwetsbaarheidsscans en weerbaarheidstesten
  • Business continuity-plannen: uitwijkprocedures en disasterrecoverydocumentatie
  • Governancedocumentatie: notulen van relevante vergaderingen en goedkeuringen door het bestuur

Zorg dat alle documentatie actueel is en dat er een duidelijke koppeling bestaat tussen beleid en aantoonbare uitvoering. Auditors willen niet alleen zien wat je hebt opgeschreven, maar ook bewijs dat de maatregelen daadwerkelijk worden uitgevoerd. Richt een centraal documentatiesysteem in waar alle bewijsstukken eenvoudig terug te vinden zijn.

Wat zijn veelgemaakte fouten bij de voorbereiding op een DORA-audit?

De meest voorkomende valkuil is te laat beginnen met de voorbereidingen. DORA-compliance vraagt om structurele aanpassingen in processen en systemen die tijd kosten om te implementeren en te documenteren. Organisaties die pas kort voor een audit starten, lopen tegen tijdsdruk aan.

Onvolledige documentatie vormt een tweede veelgemaakte fout. Beleid bestaat wel, maar de uitvoering is niet vastgelegd of de documentatie is verouderd. Auditors verwachten actuele bewijsstukken die de effectiviteit van maatregelen aantonen.

Onderschatting van uitbestedingsrisico’s komt regelmatig voor. Organisaties hebben niet altijd volledig zicht op hun afhankelijkheid van externe ICT-dienstverleners of de contractuele afspraken sluiten niet aan bij DORA-vereisten. Het uitbestedingsregister is onvolledig of ontbreekt.

Gebrek aan testbewijzen is een vierde valkuil. Weerbaarheidstesten worden niet of onregelmatig uitgevoerd, of de resultaten en opvolging zijn niet gedocumenteerd. Auditors verwachten periodieke testrapportages en bewijs dat bevindingen worden opgepakt.

Onvoldoende betrokkenheid van het bestuur ondermijnt de DORA-compliance. Bestuurders moeten het ICT-risicobeheerkader goedkeuren en actief toezicht houden. Zonder aantoonbare bestuurlijke betrokkenheid ontbreekt een essentieel element.

Hoe helpt Hoek en Blok IT bij de voorbereiding op een DORA-audit?

Hoek en Blok IT ondersteunt organisaties bij elke stap van de DORA-voorbereiding met een pragmatische, resultaatgerichte aanpak. De NOREA-gecertificeerde EDP-auditors combineren technische expertise met ruime auditervaring in de financiële sector.

Concrete dienstverlening omvat:

  • Gap-analyses: bepalen welke risico’s of maatregelen nog nodig zijn om voldoende digitale weerbaarheid te bereiken
  • Ondersteuning bij documentatie: ontwikkelen van een op maat gemaakt ICT-risicobeheerkader dat voldoet aan DORA-normen
  • Penetratietesten conform DORA-vereisten: technische assessments om de digitale weerbaarheid te toetsen
  • IT Security Officer as a Service: periodieke ondersteuning bij alle aspecten van digitale weerbaarheid
  • Begeleiding bij audits: voorbereiding op en ondersteuning tijdens DORA-audits en toezichtinteracties
  • Monitoringstructuren: inrichten van periodieke controles op de effectiviteit van maatregelen

De aanpak richt zich op het efficiënt voldoen aan DORA-vereisten, zonder onnodige administratieve lasten. Neem contact op voor een vrijblijvend adviesgesprek over de DORA-voorbereiding van jouw organisatie.

Wat zijn de minimale cybersecurity maatregelen onder NIS2?

in

De NIS2-richtlijn schrijft tien minimale cybersecuritymaatregelen voor die organisaties verplicht moeten implementeren. Deze maatregelen omvatten risicobeheer, incidentafhandeling, bedrijfscontinuïteit, supply chain security, netwerk- en informatiesysteembeveiliging, beleidsvorming, effectiviteitsbeoordeling, cryptografie, toegangsbeheer en beveiligde communicatie. Met de eerste operationele deadlines in 2026 is het voor middelgrote en grote organisaties in aangewezen sectoren van belang om nu actie te ondernemen.

Welke cybersecuritymaatregelen zijn minimaal verplicht onder NIS2?

De NIS2-richtlijn verplicht organisaties om tien kernmaatregelen te implementeren die samen een solide basis vormen voor cybersecurity. Deze maatregelen zijn niet optioneel, maar vormen het absolute minimum waaraan je moet voldoen. De tien verplichte maatregelen zijn:

  • Risicobeheer: systematische identificatie en beoordeling van cybersecurityrisico’s
  • Incidentafhandeling: procedures voor detectie, respons en herstel bij beveiligingsincidenten
  • Bedrijfscontinuïteit: back-upbeheer, disaster recovery en crisismanagement
  • Supply chain security: beveiliging van de toeleveringsketen en leveranciersrelaties
  • Netwerk- en informatiesysteembeveiliging: technische bescherming van systemen
  • Beleidsvorming: vastgesteld beleid voor risicoanalyse en informatiesysteembeveiliging
  • Effectiviteitsbeoordeling: evaluatie van de werking van maatregelen
  • Cryptografie: beleid en procedures voor versleuteling
  • Toegangsbeheer: human resources security en toegangscontrole
  • Beveiligde communicatie: multifactorauthenticatie en noodcommunicatie

Deze maatregelen hangen nauw samen. Risicobeheer vormt de basis waarop alle andere maatregelen worden gebouwd. Zonder gedegen risicoanalyse weet je niet welke technische en organisatorische maatregelen proportioneel zijn voor jouw situatie.

Wat is het verschil tussen NIS1 en NIS2 qua beveiligingseisen?

NIS2 is aanzienlijk strenger en breder dan de oorspronkelijke NIS-richtlijn. De belangrijkste verschillen zitten in scope, handhaving en aansprakelijkheid. Waar NIS1 zich beperkte tot essentiële diensten en digitale dienstverleners, omvat NIS2 veel meer sectoren en organisaties.

De kernverschillen op een rij:

  • Uitgebreidere scope: meer sectoren en organisatietypes vallen onder de richtlijn
  • Strengere handhaving: toezichthouders krijgen meer bevoegdheden
  • Persoonlijke bestuurdersaansprakelijkheid: topmanagement kan persoonlijk aansprakelijk worden gesteld voor non-compliance
  • Hogere boetes: sancties kunnen oplopen tot 10 miljoen euro of 2% van de wereldwijde omzet
  • Gedetailleerdere eisen: concrete technische en organisatorische maatregelen zijn voorgeschreven

Organisaties die onder NIS1 vielen, moeten hun bestaande maatregelen herijken. De kans is groot dat aanvullende investeringen nodig zijn om aan de strengere NIS2-eisen te voldoen.

Hoe bepaal je of jouw organisatie onder de NIS2-richtlijn valt?

Of je organisatie onder NIS2 valt, hangt af van drie factoren: de sector waarin je actief bent, de omvang van je organisatie en eventuele uitzonderingen. NIS2 maakt onderscheid tussen essentiële en belangrijke entiteiten, met verschillende toezichtregimes.

De essentiële sectoren (Annex 1) omvatten energie, transport, financiële marktinfrastructuren, gezondheid, drinkwater, afvalwater, digitale infrastructuren, overheidsdiensten, ruimtevaart, ICT-servicemanagement en bankieren. Grote organisaties in deze sectoren krijgen proactief toezicht van toezichthouders.

De omvangdrempels zijn als volgt:

  • Middelgrote organisaties: 50–250 medewerkers, omzet tussen 10 en 50 miljoen euro
  • Grote organisaties: meer dan 250 medewerkers of omzet boven 50 miljoen euro
  • Kleine organisaties: minder dan 50 medewerkers en omzet onder 10 miljoen euro vallen in principe niet onder NIS2

Om je NIS2-status te bepalen, inventariseer je eerst in welke sector(en) je organisatie actief is. Vervolgens toets je of je voldoet aan de omvangcriteria. Let op: ook als je niet direct onder de scope valt, kunnen klanten of opdrachtgevers NIS2-compliance van je verwachten als onderdeel van hun supply chain security.

Welke risicobeheermaatregelen eist NIS2 concreet?

NIS2 schrijft een risicogebaseerde aanpak voor waarbij maatregelen proportioneel moeten zijn aan de geïdentificeerde risico’s. Dit betekent dat je niet zomaar een standaardpakket maatregelen kunt implementeren, maar een gedegen risicoanalyse moet uitvoeren als fundament.

De concrete eisen voor risicobeheer omvatten:

  • Risicoanalysemethodiek: een gestructureerde aanpak voor het identificeren van dreigingen en kwetsbaarheden
  • Proportionaliteitsbeginsel: maatregelen moeten in verhouding staan tot de risico’s en de omvang van je organisatie
  • Documentatie-eisen: vastlegging van risicoanalyses, besluitvorming en genomen maatregelen
  • Periodieke herziening: regelmatige actualisatie van risicobeoordelingen

Risicobeheer vormt de schakel naar de andere negen maatregelcategorieën. Op basis van je risicoanalyse bepaal je welke technische maatregelen nodig zijn, hoe je incidentrespons inricht en welke eisen je aan leveranciers stelt. Een veelvoorkomende misvatting is dat NIS2 volledig kan worden uitbesteed aan een IT-leverancier. De realiteit is dat NIS2 primair een organisatorisch vraagstuk is, waarbij techniek ondersteunend werkt.

Wat zijn de meldplichten en incidentresponse-eisen onder NIS2?

NIS2 introduceert een getrapte meldprocedure voor significante beveiligingsincidenten. Je bent verplicht om incidenten binnen strikte termijnen te melden aan het nationale CSIRT (Computer Security Incident Response Team) en de toezichthouder.

De meldtermijnen zijn:

  • Binnen 24 uur: vroegtijdige waarschuwing dat er een significant incident heeft plaatsgevonden
  • Binnen 72 uur: volledige incidentmelding met eerste beoordeling van ernst en impact
  • Binnen één maand: eindrapport met gedetailleerde analyse, oorzaken en genomen maatregelen

Een incident is significant wanneer het ernstige operationele verstoring veroorzaakt of financiële schade toebrengt. Het niet tijdig melden kan leiden tot boetes en reputatieschade. Daarom is het van belang om vooraf incidentresponseprocedures op te stellen, zodat je bij een incident direct kunt handelen.

Hoe bereid je je organisatie praktisch voor op NIS2-compliance?

Een gestructureerde aanpak is noodzakelijk om tijdig NIS2-compliant te zijn. Met de deadlines in 2026 in zicht is het verstandig om nu te starten. De volgende stappen helpen je op weg:

  • Gapanalyse uitvoeren: breng in kaart waar je staat ten opzichte van de NIS2-eisen
  • Governancestructuur inrichten: wijs verantwoordelijkheden toe en beleg eigenaarschap op bestuursniveau
  • Beleid en procedures opstellen: documenteer je aanpak voor risicobeheer, incidentrespons en andere maatregelgebieden
  • Technische maatregelen implementeren: voer noodzakelijke technische verbeteringen door
  • Awareness vergroten: train medewerkers in cybersecuritybewustzijn
  • Supply chain beoordelen: evalueer de cybersecurity van je leveranciers
  • Compliance aantoonbaar maken: zorg voor documentatie en eventueel een assuranceverklaring

Een security officer vanuit de eigen organisatie is onmisbaar voor succesvolle implementatie. Externe IT-beheerders kunnen helpen bij technische aspecten, maar het totaalplaatje moet je zelf organiseren. Veel zaken zitten in de details, waarvoor specialistische expertise nodig is.

Hoe helpt Hoek en Blok IT bij NIS2-compliance en cybersecuritymaatregelen?

Hoek en Blok IT ondersteunt organisaties bij het complete NIS2-traject, van nulmeting tot aantoonbare compliance. De aanpak is pragmatisch, doelgericht en betaalbaar, met maatregelen zoveel mogelijk belegd in de eerste lijn, zonder onnodige administratieve last.

De dienstverlening omvat:

  • Gapanalyses en nulmetingen: uitgevoerd door NOREA-gecertificeerde auditors
  • ISAE-verklaringen en SOC 2-rapportages: voor aantoonbare procesbeheersing richting klanten en toezichthouders
  • Penetratietests en securityassessments: technische toetsing van je beveiligingsniveau
  • IT Security Officer as-a-Service: doorlopende complianceondersteuning zonder fulltime medewerker
  • Implementatiebegeleiding: praktische ondersteuning bij het inrichten van beleid en maatregelen

Aantoonbare IT-security en procesbeheersing is voor klanten steeds vaker een randvoorwaarde bij leveranciersselectie. Een ISAE-verklaring of SOC 2-rapportage geeft zekerheid over de structurele uitvoering van maatregelen.

Wil je weten waar jouw organisatie staat op het gebied van NIS2? Neem contact op voor een vrijblijvend adviesgesprek en ontdek hoe je pragmatisch en betaalbaar kunt voldoen aan de nieuwe eisen.