NIS2-compliance documenteren doe je door alle schriftelijke bewijsvoering te verzamelen die aantoont dat jouw organisatie voldoet aan de cybersecurityvereisten van de richtlijn. Dit omvat beleidsdocumenten, risicoanalyses, incidentresponsplannen en registraties van genomen maatregelen. Goede documentatie is niet alleen verplicht, maar vormt ook je belangrijkste verdediging tijdens audits en bij toezicht door autoriteiten. Hieronder beantwoorden we de meest gestelde vragen over NIS2-documentatie.

Wat is NIS2-compliance documentatie en waarom is het verplicht?

NIS2-compliance documentatie is het geheel van schriftelijke bewijsvoering waarmee je aantoont dat jouw organisatie voldoet aan de cybersecurityvereisten van de NIS2-richtlijn. Dit omvat alle vastgelegde beleidsregels, procedures, risicoanalyses en registraties die samen een compleet beeld geven van je cybersecurityaanpak.

De wettelijke verplichting tot documentatie vloeit voort uit de zorgplicht onder NIS2. Organisaties moeten een risicobeoordeling uitvoeren en passende maatregelen nemen om hun diensten en informatie te beschermen tegen cyberaanvallen. Zonder documentatie kun je niet aantonen dat je aan deze verplichting voldoet.

Bij toezicht en handhaving speelt documentatie een centrale rol. Toezichthouders controleren of organisaties hun verplichtingen nakomen door bewijsmateriaal op te vragen. Onvoldoende documentatie kan leiden tot sancties en boetes. Bestuurders zijn persoonlijk aansprakelijk voor non-compliance met cybersecurityrisicomanagementmaatregelen. Dit maakt gedegen documentatie niet alleen een organisatorische noodzaak, maar ook een persoonlijk belang voor directieleden.

Welke documenten heb je nodig voor NIS2-compliance?

Voor NIS2-compliance heb je een complete set documenten nodig die samen alle verplichte aandachtsgebieden afdekken. De tien maatregelen uit de richtlijn vormen de kern van je documentatieverplichtingen. Elk documenttype heeft specifieke minimale inhoudseisen.

• Cybersecuritybeleid: overkoepelend beleidsdocument met doelstellingen, scope en verantwoordelijkheden
• Risicoanalyses en risicobeheermaatregelen: vastlegging van geïdentificeerde risico’s en getroffen maatregelen
• Incidentresponsplannen: procedures voor detectie, classificatie, respons en herstel bij incidenten
• Business continuity- en disaster recovery-plannen: bedrijfscontinuïteit moet zijn ingericht en gedocumenteerd
• Leveranciersbeheerdocumentatie: beveiliging van de toeleveringsketen is een verplicht onderdeel
• Toegangsbeleid: regels voor toegangsbeheer, inclusief waar passend multifactorauthenticatie
• Security awareness-programma’s: cyberhygiëne en training voor personeel zijn essentieel
• Technische beveiligingsmaatregelen: documentatie van netwerk- en informatiesysteembeveiliging

Het bestuur stelt het beveiligingsbeleid vast, herziet het periodiek en borgt dat personeel op de hoogte is en handelt in overeenstemming met het beleid. Dit betekent dat ook de goedkeuring en periodieke herziening gedocumenteerd moeten worden.

Hoe bouw je een effectieve NIS2-documentatiestructuur op?

Een effectieve NIS2-documentatiestructuur is hiërarchisch opgebouwd en logisch georganiseerd. Je start met beleidsdocumenten op het hoogste niveau, gevolgd door procedures, werkinstructies en tot slot registraties. Deze opbouw maakt het beheer overzichtelijk en voorkomt documentatie-overload.

De hiërarchische opbouw ziet er als volgt uit:

• Beleidsdocumenten: strategische kaders vastgesteld door het bestuur
• Procedures: uitwerking van het beleid in concrete processtappen
• Werkinstructies: gedetailleerde handleidingen voor uitvoerend personeel
• Registraties: bewijs dat procedures daadwerkelijk worden gevolgd

Versiebeheer is onmisbaar. Leg vast wie documenten mag wijzigen, wie goedkeurt en hoe wijzigingen worden gecommuniceerd. Koppel elk document aan specifieke NIS2-artikelen, zodat je tijdens een audit direct kunt aantonen welke vereisten je afdekt.

Voorkom documentatie-overload door te focussen op relevantie en bruikbaarheid. Niet elk proces vereist uitgebreide documentatie. Concentreer je op de tien kernmaatregelen en de specifieke risico’s voor jouw organisatie. Een NIS2-nulmeting helpt om te bepalen waar je staat en welke documentatie prioriteit heeft.

Wat zijn de vereisten voor NIS2-risicoanalyzedocumentatie?

De risicoanalyzedocumentatie onder NIS2 moet aantonen dat je een systematische aanpak hanteert voor het identificeren, evalueren en behandelen van cybersecurityrisico’s. De documentatie omvat zowel de methodiek als de resultaten en de onderbouwing van gekozen maatregelen.

Leg de volgende elementen vast:

• Risico-identificatiemethodiek: welke methode gebruik je om risico’s te identificeren
• Risico-evaluatiecriteria: hoe beoordeel je de ernst en waarschijnlijkheid van risico’s
• Risicobehandelingsplannen: welke maatregelen neem je per geïdentificeerd risico
• Onderbouwing van gekozen maatregelen: waarom zijn deze maatregelen passend, gezien de aard, omvang en impact van je diensten

De maatregelen die je neemt, zijn afhankelijk van de aard, omvang en impact van je diensten, de ernst en waarschijnlijkheid van de cyberbeveiligingsrisico’s en de beschikbare technische oplossingen. Documenteer deze afwegingen expliciet.

Herzie je risicoanalyse periodiek en documenteer wijzigingen in het dreigingslandschap. Leg vast wanneer de laatste herziening plaatsvond en welke aanpassingen zijn doorgevoerd. Dit toont aan dat risicomanagement een doorlopend proces is, niet een eenmalige exercitie.

Hoe documenteer je incidenten en meldingen conform NIS2?

Incidentdocumentatie onder NIS2 moet het volledige incidentmanagementproces vastleggen, van detectie tot herstel. Bijzondere aandacht gaat uit naar de documentatie die nodig is voor de verplichte meldingen aan autoriteiten. Cyberincidenten die de levering van essentiële diensten kunnen verstoren, moeten binnen 24 uur worden gemeld aan de toezichthouder en het CSIRT.

Documenteer bij elk incident:

• Detectie: wanneer en hoe werd het incident ontdekt
• Classificatie: hoe ernstig is het incident en valt het onder de meldplicht
• Respons: welke acties zijn ondernomen om het incident te beheersen
• Herstel: hoe is de normale situatie hersteld
• Communicatie: welke meldingen zijn gedaan en aan wie

Voor de verplichte melding binnen 24 uur moet je direct kunnen beschikken over basisinformatie over het incident. Binnen 72 uur volgt een uitgebreidere melding met meer details. Zorg dat je incidentregistratiesysteem deze tijdslijnen ondersteunt.

Bewaar incidenthistorie voor analyse en audits. Patronen in incidenten kunnen wijzen op structurele zwakheden die aandacht vereisen. Toezichthouders kunnen inzage vragen in historische incidentgegevens om te beoordelen hoe je organisatie met incidenten omgaat.

Hoe bewijs je NIS2-compliance tijdens een audit?

Tijdens een audit bewijs je NIS2-compliance door een complete audittrail te presenteren die bewijsmateriaal koppelt aan specifieke NIS2-vereisten. Organiseer je documentatie zo dat je snel kunt aantonen welke maatregelen je hebt genomen voor elk verplicht aandachtsgebied.

Bouw een audittrail op door:

• elk document te koppelen aan de relevante NIS2-artikelen
• registraties te bewaren die aantonen dat procedures worden gevolgd
• goedkeuringshistorie en versiegeschiedenis bij te houden
• trainingsregistraties en bewustwordingsactiviteiten vast te leggen

Organiseer documentatie voor snelle toegankelijkheid. Auditors waarderen een logische structuur waarin zij zelfstandig kunnen navigeren. Overweeg een compliancematrix die per NIS2-vereiste verwijst naar de relevante documenten en bewijsstukken.

Demonstreer continue compliance in plaats van momentopnames. Toon aan dat beleid periodiek wordt herzien, dat risicoanalyses worden geactualiseerd en dat medewerkers regelmatig scholing volgen. Bestuurders moeten aantonen dat zij voldoende kennis en vaardigheden hebben om de gevolgen van informatiebeveiligingsrisico’s te beoordelen. Documenteer ook hun betrokkenheid en scholing.

Hoe helpt Hoek en Blok IT bij NIS2-compliance documentatie?

Hoek en Blok IT ondersteunt organisaties bij het opzetten en verbeteren van NIS2-compliance documentatie. Met NOREA-gecertificeerde EDP-auditors combineren wij technische expertise met auditervaring voor een pragmatische aanpak die past bij middelgrote organisaties.

Onze ondersteuning omvat:

• Gap-analyses op bestaande documentatie: identificeren waar je documentatie tekortschiet ten opzichte van NIS2-vereisten
• Opstellen van beleidsdocumenten en procedures: praktische documenten die voldoen aan de eisen zonder onnodige complexiteit
• Begeleiding bij risicoanalyses: ondersteuning bij het uitvoeren en documenteren van risico-identificatie en -behandeling
• Voorbereiding op NIS2-audits: organiseren van documentatie en opbouwen van een complete audittrail

NIS2 is primair een organisatorisch vraagstuk, niet alleen technisch. Een IT-leverancier kan helpen bij technische aspecten, maar niet bij het inrichten van de organisatie, het opstellen van beleid en het borgen van verantwoordelijkheden. Hoek en Blok IT biedt het totaalplaatje dat nodig is voor aantoonbare compliance.

Neem contact op voor een vrijblijvend gesprek over hoe wij jouw organisatie kunnen ondersteunen bij NIS2-compliance documentatie. De eerste operationele deadlines naderen in 2026, dus tijdig starten is essentieel.

De NIS2-richtlijn is Europese wetgeving die Nederlandse bedrijven verplicht om hun cybersecurity op orde te brengen. Voor middelgrote en grote organisaties in kritieke sectoren betekent dit concrete eisen rond risicobeheer, incidentmelding en bestuurdersaansprakelijkheid. Met deadlines richting 2026 is tijdige voorbereiding essentieel om boetes te voorkomen en compliant te worden.

Wat is de NIS2-richtlijn en waarom is deze belangrijk voor Nederland?

NIS2 is de herziene Europese richtlijn voor netwerk- en informatiebeveiliging die de oorspronkelijke NIS-richtlijn uit 2016 vervangt. De richtlijn stelt strengere cybersecurity-eisen aan organisaties die essentiële diensten leveren of in kritieke sectoren opereren. Nederland moet deze Europese wetgeving omzetten naar nationale wetgeving via de Cyberbeveiligingswet (Cbw).

Het verschil met de oorspronkelijke NIS-richtlijn is aanzienlijk. NIS2 heeft een veel bredere reikwijdte en omvat meer sectoren en organisatietypen. De eisen zijn concreter en de handhaving strenger. Waar de eerste NIS-richtlijn vooral grote infrastructuurbedrijven raakte, treft NIS2 nu ook middelgrote ondernemingen in sectoren als productie, voedsel en digitale dienstverlening.

Voor Nederlandse organisaties is NIS2 relevant omdat cyberaanvallen steeds vaker voorkomen en een grotere impact hebben. De richtlijn dwingt organisaties om structureel aandacht te besteden aan cybersecurity, niet als eenmalig project maar als doorlopend proces.

Welke Nederlandse bedrijven vallen onder de NIS2-richtlijn?

Onder NIS2 vallen organisaties in twee categorieën: essentiële entiteiten en belangrijke entiteiten. Essentiële entiteiten zijn actief in sectoren als energie, transport, gezondheidszorg, drinkwater, digitale infrastructuur en bankwezen. Belangrijke entiteiten omvatten sectoren zoals productie, voedsel, afvalbeheer, post- en koeriersdiensten en digitale aanbieders.

De criteria voor het bepalen of jouw organisatie onder NIS2 valt, zijn:

• Minimaal 50 medewerkers, of
• een jaaromzet of balanstotaal van meer dan 10 miljoen euro, en
• actief in een van de aangewezen sectoren

Kleinere organisaties kunnen ook onder de richtlijn vallen als zij een cruciale rol spelen in de toeleveringsketen van essentiële diensten. Dit betekent dat ook mkb-bedrijven die diensten leveren aan grotere organisaties indirect geraakt kunnen worden door NIS2-eisen via contractuele verplichtingen.

Wat zijn de belangrijkste NIS2-verplichtingen voor Nederlandse organisaties?

NIS2 kent drie kernverplichtingen: de zorgplicht, de meldplicht en het toezicht. De zorgplicht verplicht organisaties om een risicobeoordeling uit te voeren en passende maatregelen te nemen om hun diensten en informatie te beschermen tegen cyberaanvallen. Deze maatregelen zijn afhankelijk van de aard, omvang en impact van de diensten.

De meldplicht vereist dat organisaties incidenten die de levering van essentiële diensten kunnen verstoren binnen 24 uur melden aan de toezichthouder. Cyberincidenten moeten ook worden gemeld aan het Computer Security Incident Response Team (CSIRT).

Concrete verplichtingen omvatten:

• risicobeheermaatregelen en beveiligingsbeleid opstellen
• de supply chain security waarborgen bij leveranciers
• business continuity- en disaster recovery-plannen opstellen
• governance-eisen: het bestuur moet beleid vaststellen en dit periodiek herzien
• regelmatige scholing voor bestuur en werknemers

Het bestuur stelt het beveiligingsbeleid vast, herziet dit periodiek en borgt dat personeel op de hoogte is en handelt in overeenstemming met het beleid.

Wanneer moet mijn bedrijf NIS2-compliant zijn en welke deadlines gelden er?

De NIS2-richtlijn is in oktober 2024 van kracht geworden op Europees niveau. Nederland werkt aan de omzetting naar nationale wetgeving via de Cyberbeveiligingswet. De eerste operationele deadlines voor volledige compliance worden in 2026 verwacht, waardoor organisaties zich tijdig moeten aanpassen.

Organisaties die onder NIS2 vallen, moeten zich registreren bij de bevoegde autoriteit. Dit registratieproces start zodra de nationale wetgeving definitief is. Het is verstandig om nu al te beginnen met de voorbereidingen, aangezien het implementeren van alle vereiste maatregelen tijd kost.

De tijdlijn betekent concreet dat organisaties in 2025 hun gap-analyse moeten afronden en in 2026 volledig operationeel compliant moeten zijn. Wachten tot het laatste moment brengt risico’s met zich mee, zowel qua capaciteit als qua mogelijke sancties.

Wat zijn de gevolgen van niet-naleving van NIS2 voor bestuurders en bedrijven?

De sancties onder NIS2 zijn aanzienlijk zwaarder dan onder de vorige richtlijn. Voor essentiële entiteiten kunnen boetes oplopen tot 10 miljoen euro of 2% van de wereldwijde jaaromzet. Voor belangrijke entiteiten gelden boetes tot 7 miljoen euro of 1,4% van de omzet.

Een belangrijk aspect van NIS2 is de persoonlijke bestuurdersaansprakelijkheid. Het topmanagement wordt persoonlijk aansprakelijk voor non-compliance met cybersecurityrisicomanagementmaatregelen. Bestuurders moeten aantonen dat zij voldoende kennis en vaardigheden hebben om de gevolgen van informatiebeveiligingsrisico’s te beoordelen.

Als directie kun je persoonlijk aansprakelijk worden gesteld voor de gevolgen van een hack. Is cybersecurity nu nog vooral het domein van IT? Dan is dit het moment om daar verandering in te brengen. Zorg dat je als directielid weet wat er speelt en neem actief verantwoordelijkheid.

Hoe bereid je jouw organisatie praktisch voor op NIS2-compliance?

Een pragmatische aanpak voor NIS2-implementatie bestaat uit vijf fasen. Dit stappenplan helpt organisaties om gestructureerd naar compliance toe te werken zonder onnodige administratieve lasten.

Fase 1: Analyseren van cyberrisico’s

Inventariseer alle IT-middelen die nodig zijn voor het leveren van diensten die onder NIS2 vallen. Voer een IT-securitytest uit om kwetsbaarheden te identificeren en maak een risicoanalyse om kans en impact te bepalen.

Fase 2: Bepalen van maatregelen

Voer een business impact assessment uit om te bepalen voor welke applicaties maatregelen gewenst zijn. Een gap-analyse toont het verschil tussen de huidige en de gewenste situatie.

Fase 3: Opstellen van een actieplan

Ontwerp een controls framework waarin maatregelen, verantwoordelijken en de frequentie van uitvoering worden beschreven.

Fase 4: Uitvoeren van maatregelen

Integreer maatregelen structureel in de dagelijkse werkzaamheden, cultuur en strategie.

Fase 5: Controleren en verbeteren

Analyseer incidenten, controleer maatregelen periodiek en documenteer de resultaten.

Hoe helpt Hoek en Blok IT bij NIS2-compliance?

Hoek en Blok IT begeleidt organisaties bij het inrichten van maatregelen rondom bedrijfs-IT-security en privacyprocessen. De aanpak is gebaseerd op best practices: doelgericht, pragmatisch en betaalbaar.

Concrete ondersteuning bij NIS2-compliance omvat:

• IT-audits en gap-analyses om de huidige situatie in kaart te brengen
• security-assessments en penetratietests voor het identificeren van kwetsbaarheden
• ondersteuning bij het opstellen van beleid en procedures
• IT Security Officer as-a-Service voor doorlopende expertise
• ISAE 3000- en ISAE 3402-verklaringen om aantoonbare beheersing te leveren
• training en bewustwording voor bestuur en medewerkers

Maatregelen worden zoveel mogelijk belegd in de eerste lijn, zonder onnodige administratieve lasten. Organisaties hebben een security officer nodig vanuit de eigen organisatie, maar ook een ondersteunende partij met de juiste expertise voor het totaalplaatje. Veel zaken zitten in de details en daarvoor is specialistische kennis nodig.

Wil je weten hoe jouw organisatie ervoor staat op het gebied van NIS2? Neem contact op met Hoek en Blok IT voor een vrijblijvend adviesgesprek over de mogelijkheden.

DORA gaat in op 17 januari 2025. Vanaf deze datum moeten financiële instellingen en hun kritieke ICT-dienstverleners volledig voldoen aan de Digital Operational Resilience Act. De verordening is sinds 16 januari 2023 officieel van kracht, maar organisaties kregen twee jaar de tijd om hun processen en systemen aan te passen. Dit artikel beantwoordt de belangrijkste vragen over DORA, de verplichtingen en hoe u uw organisatie tijdig kunt voorbereiden.

Wat is DORA en waarom is deze verordening zo belangrijk?

DORA (Digital Operational Resilience Act) is Europese wetgeving die de digitale weerbaarheid van de financiële sector moet versterken. De verordening verplicht financiële instellingen en hun ICT-dienstverleners om de beveiliging van hun netwerk- en informatiesystemen te verbeteren. Het doel is bescherming tegen cyberaanvallen en andere verstoringen die financiële diensten kunnen onderbreken.

De Europese Unie introduceerde DORA als onderdeel van het EU-pakket voor digitale financiën. Dit pakket stimuleert innovatie en concurrentie in digitale financiën, terwijl risico’s worden beperkt. De toenemende afhankelijkheid van ICT-systemen en externe dienstverleners maakte uniforme regelgeving noodzakelijk.

DORA biedt concrete voordelen voor de sector:

• Sterkere digitale weerbaarheid tegen IT-risico’s en cyberdreigingen
• Een uniform regelgevingskader dat versnippering en dubbele regels vermindert
• Eerlijke concurrentie tussen financiële instellingen en hun IT-leveranciers
• Betere consumentenbescherming door gewaarborgde continuïteit en veiligheid van klantgegevens

Wanneer gaat DORA precies in en wat betekent deze deadline?

DORA is van toepassing vanaf 17 januari 2025. Dit is de datum waarop alle organisaties die onder de verordening vallen volledig compliant moeten zijn. De verordening trad officieel in werking op 16 januari 2023, waarna organisaties een implementatieperiode van twee jaar kregen.

Het verschil tussen inwerkingtreding en toepassingsdatum is belangrijk. Bij de inwerkingtreding werd de wet officieel onderdeel van het Europese rechtssysteem. De toepassingsdatum markeert het moment waarop toezichthouders actief gaan handhaven.

Als EU-verordening is DORA rechtstreeks van toepassing in alle lidstaten zonder nationale omzetting. Dit betekent dat er geen ruimte is voor uitstel of nationale aanpassingen. De deadline van 17 januari 2025 geldt voor alle betrokken organisaties in de gehele Europese Unie.

Welke organisaties moeten voldoen aan de DORA-vereisten?

DORA is van toepassing op een breed scala aan financiële instellingen en hun ICT-dienstverleners. De verordening geldt voor alle entiteiten die onder EU-financiële regelgeving vallen en creëert zo een uniform beschermingsniveau binnen de Europese financiële sector.

Onder DORA vallen specifiek:

• Banken en kredietinstellingen
• Verzekeraars en herverzekeraars
• Beleggingsondernemingen en beheerders van beleggingsfondsen
• Betalingsinstellingen en elektronische geldinstellingen
• Crypto-assetdienstverleners
• Kritieke ICT-dienstverleners (cloudproviders, softwareleveranciers, datacentra)

De reikwijdte van DORA is bewust breed. Organisaties die IT-systemen beheren, software ontwikkelen of data opslaan voor financiële instellingen vallen eveneens onder de vereisten. Dit erkent de afhankelijkheid van de financiële sector van externe ICT-diensten. Ook kleinere financiële instellingen en hun toeleveranciers worden geraakt door deze regelgeving, soms indirect via ketens, moedermaatschappijen of dienstverlening.

Wat zijn de belangrijkste DORA-verplichtingen waar u aan moet voldoen?

DORA is gebouwd op vijf pijlers die samen de digitale operationele weerbaarheid waarborgen. Elke pijler bevat specifieke verplichtingen die organisaties moeten implementeren in hun dagelijkse bedrijfsvoering.

ICT-risicobeheer vormt de basis. Organisaties moeten een IT-risicobeheerkader inrichten om digitale dreigingen te beheersen en klantgegevens te beschermen. Dit omvat regelmatige IT-risicobeoordelingen om systemen en data veilig te houden.

ICT-incidentenbeheer en rapportage vereist snelle opsporing en melding van IT-incidenten. Bij een datalek of cyberaanval moet u dit melden bij de toezichthouder. Snelle detectie beperkt schade en beschermt uw reputatie.

Digitale operationele weerbaarheidstests zijn verplicht om uw digitale weerbaarheid regelmatig te toetsen. Dit omvat penetratietests en ethical hacking om kwetsbaarheden te identificeren voordat kwaadwillenden deze kunnen misbruiken.

Beheer van ICT-risico’s van derden vereist strikt beheer van uw IT-dienstverleners. Contractuele afspraken moeten digitale weerbaarheid waarborgen en externe leveranciers moeten voldoen aan dezelfde beveiligingsstandaarden als uw eigen organisatie.

Informatie-uitwisseling stimuleert het actief delen van cyberdreigingsinformatie. Dit helpt de sector sneller te reageren op nieuwe risico’s en maakt het gehele financiële systeem veiliger.

Hoe bereidt u uw organisatie voor op de DORA-deadline?

Een gestructureerde aanpak is essentieel om tijdig aan DORA te voldoen. Begin met het vaststellen van uw huidige positie en werk systematisch toe naar volledige compliance.

Voer een gap-analyse uit. Een nulmeting is een logisch startpunt om vast te stellen in hoeverre DORA al is geïmplementeerd. Breng in kaart welke vereisten al zijn ingevuld en waar nog tekortkomingen bestaan. Let daarbij op dat DORA primair een governance- en organisatievraagstuk is, niet alleen een IT-thema.

Richt uw ICT-risicoraamwerk in. Ontwikkel een op maat gemaakt IT-risicobeheerkader dat voldoet aan DORA-normen en aansluit bij uw organisatiespecifieke behoeften. Zorg voor duidelijke verantwoordelijkheden en bestuurlijke betrokkenheid.

Herzie uw contracten met ICT-leveranciers. Beoordeel de risico’s die zijn verbonden aan de uitbesteding van kritieke IT-functies. Pas contractuele afspraken aan zodat deze digitale weerbaarheid waarborgen.

Richt incidentrapportageprocessen in. Zorg dat u IT-incidenten snel kunt detecteren, analyseren en melden bij de toezichthouder volgens de DORA-vereisten.

Implementeer testprogramma’s. Plan regelmatige weerbaarheidstests, waaronder penetratietests, om uw digitale weerbaarheid aan te tonen.

DORA vraagt om aantoonbaarheid, niet alleen beleid. Hoe laat u zien dat u in control bent? Documenteer uw maatregelen zorgvuldig en overweeg assurance (bijvoorbeeld een ISAE 3000-verklaring) als manier om naleving aantoonbaar te maken.

Wat zijn de gevolgen als u niet tijdig aan DORA voldoet?

Toezichthouders zoals De Nederlandsche Bank (DNB) en de Autoriteit Financiële Markten (AFM) zijn verantwoordelijk voor de handhaving van DORA in Nederland. Zij krijgen ruime bevoegdheden om naleving af te dwingen.

De mogelijke consequenties bij non-compliance zijn aanzienlijk:

• Administratieve sancties die kunnen oplopen tot substantiële bedragen
• Operationele beperkingen die uw bedrijfsvoering kunnen raken
• Reputatieschade bij klanten, partners en de markt
• Verhoogd toezicht en extra rapportageverplichtingen

Veel organisaties denken DORA wel op orde te hebben, maar worstelen juist met details en aantoonbaarheid. Bestuurlijke verantwoordelijkheid en de inrichting van de second line zijn cruciaal. Bestuurders zijn eindverantwoordelijk voor naleving, ook wanneer zij niet direct betrokken zijn bij de technische implementatie.

Tijdige voorbereiding is daarom geen luxe, maar noodzaak. De deadline van 17 januari 2025 biedt geen ruimte voor uitstel.

Hoe helpt Hoek en Blok IT bij uw DORA-voorbereiding?

Hoek en Blok IT ondersteunt organisaties bij elke stap van de DORA-implementatie met een pragmatische en betaalbare aanpak. De combinatie van auditervaring en technische expertise zorgt voor praktische oplossingen die aansluiten bij uw specifieke situatie.

Concrete diensten voor DORA-compliance:

• DORA-gap-analyse: grondige nulmeting om vast te stellen waar uw organisatie staat en welke stappen nodig zijn
• Implementatie van ICT-risicobeheer: ontwikkeling van een op maat gemaakt risicobeheerkader conform DORA-normen
• Penetratietests en ethical hacking: verplichte weerbaarheidstests uitgevoerd door gecertificeerde specialisten
• Ondersteuning bij incidentrapportage: inrichting van processen voor detectie en melding van IT-incidenten
• IT Security Officer as a Service: doorlopende ondersteuning voor compliance en security zonder vaste aanstelling
• ISAE 3000- en ISAE 3402-verklaringen: assurancerapportages om uw naleving aantoonbaar te maken

Wilt u weten hoe uw organisatie ervoor staat met betrekking tot DORA? Neem contact op met Hoek en Blok IT voor een vrijblijvend gesprek over uw DORA-voorbereiding.

DORA werkt als een Europees regelgevingskader dat financiële instellingen verplicht hun digitale operationele weerbaarheid aantoonbaar te maken. De verordening rust op vijf pijlers: ICT-risicomanagement, incidentmelding, weerbaarheidstesten, beheer van derde partijen en informatie-uitwisseling. Sinds 17 januari 2025 moeten organisaties volledig voldoen aan alle vereisten. In dit artikel beantwoorden we de meest gestelde vragen over DORA en wat dit betekent voor jouw organisatie.

Wat is DORA en waarom is deze wetgeving belangrijk?

De Digital Operational Resilience Act (DORA) is een Europese verordening die de digitale weerbaarheid van de financiële sector versterkt. Deze wetgeving beschermt financiële instellingen en hun klanten tegen cyberaanvallen, IT-storingen en andere digitale verstoringen die de continuïteit van financiële diensten kunnen bedreigen.

DORA maakt deel uit van het bredere EU-pakket voor digitale financiën, dat innovatie stimuleert terwijl risico’s worden beperkt. De wetgeving ontstond vanuit de erkenning dat financiële instellingen steeds afhankelijker worden van ICT-systemen en externe dienstverleners. Een verstoring bij één partij kan daardoor een kettingreactie veroorzaken met gevolgen voor de hele financiële sector.

Het belang van DORA ligt in het creëren van een uniform beschermingsniveau binnen de Europese financiële sector. Voorheen bestonden er versnipperde nationale regels, wat leidde tot onduidelijkheid en ongelijke bescherming. DORA biedt nu heldere, uniforme eisen die gelden in heel Europa. Dit zorgt voor eerlijke concurrentie tussen financiële instellingen en hun IT-leveranciers, terwijl consumenten beter beschermd worden doordat de continuïteit en veiligheid van klantgegevens worden gegarandeerd.

Voor welke organisaties geldt DORA?

DORA geldt voor een breed scala aan financiële entiteiten binnen de Europese Unie. Dit omvat banken, verzekeraars, herverzekeraars, beleggingsondernemingen, pensioenfondsen, betaalinstellingen en elektronische geldinstellingen. Ook beheerders van alternatieve beleggingsfondsen en instellingen voor collectieve belegging in effecten vallen onder de reikwijdte.

Belangrijk is dat DORA niet alleen geldt voor financiële instellingen zelf, maar ook voor kritieke ICT-dienstverleners in de keten. Dit betreft bedrijven die IT-systemen beheren, software ontwikkelen of data opslaan voor financiële instellingen. Specifiek vallen hieronder cloudcomputingproviders, softwareleveranciers en datacenters. De wetgeving erkent dat financiële instellingen vaak afhankelijk zijn van externe IT-dienstverleners en dat deze leveranciers daarom ook een rol spelen in de digitale weerbaarheid van de sector.

DORA hanteert het proportionaliteitsbeginsel. Dit betekent dat kleinere organisaties met minder complexe ICT-systemen aan minder strenge eisen hoeven te voldoen dan grote, systeemrelevante instellingen. De verplichtingen worden afgestemd op de omvang, het risicoprofiel en de complexiteit van de organisatie. Een nulmeting helpt om te begrijpen wat DORA concreet betekent voor jouw specifieke situatie.

Wat zijn de vijf kernpijlers van DORA?

DORA is gestructureerd rond vijf hoofdgebieden die samen een compleet raamwerk vormen voor digitale operationele weerbaarheid. Het NOREA DORA in Control Framework vertaalt deze vereisten naar 28 controledomeinen met specifieke beheersmaatregelen.

• ICT-risicomanagement: Organisaties moeten een risicobeheerkader inrichten om digitale dreigingen te identificeren, beoordelen en beheersen. Dit omvat regelmatige risicobeoordelingen om systemen en data veilig te houden.
• ICT-gerelateerde incidentmelding: Snelle opsporing en melding van IT-incidenten is verplicht om schade te beperken. Ernstige incidenten, zoals datalekken of cyberaanvallen, moeten binnen vastgestelde termijnen worden gemeld bij de toezichthouder.
• Testen van digitale operationele weerbaarheid: Financiële instellingen moeten hun digitale weerbaarheid regelmatig testen. Dit omvat penetratietesten en andere vormen van beveiligingstesten om te verifiëren of maatregelen daadwerkelijk effectief zijn.
• Beheer van ICT-risico’s bij derden: Strikt beheer van IT-dienstverleners is verplicht. Contractuele afspraken moeten digitale weerbaarheid waarborgen en externe leveranciers moeten voldoen aan gelijke beveiligingsstandaarden.
• Informatie-uitwisseling: Actief delen van cyberdreigingsinformatie tussen financiële instellingen om sneller te reageren op nieuwe risico’s en de sector collectief veiliger te maken.

Wanneer treedt DORA in werking en wat zijn de deadlines?

DORA is op 16 januari 2023 officieel in werking getreden. Organisaties kregen vervolgens een implementatieperiode van twee jaar om hun processen, systemen en contracten aan te passen aan de nieuwe vereisten. Sinds 17 januari 2025 moeten alle organisaties die onder DORA vallen volledig compliant zijn.

De voorbereidingsperiode was bedoeld om organisaties de tijd te geven voor grondige implementatie. Dit omvatte het uitvoeren van gap-analyses, het aanpassen van ICT-beleid, het herzien van contracten met leveranciers en het opzetten van nieuwe procedures voor incidentmelding en weerbaarheidstesten.

Organisaties die nog niet volledig voldoen aan alle vereisten, moeten prioriteit geven aan het in kaart brengen van hun huidige situatie en het opstellen van een concreet actieplan. Toezichthouders verwachten dat organisaties aantoonbaar werken aan volledige compliance.

Hoe bereid je jouw organisatie voor op DORA-compliance?

Een effectieve DORA-voorbereiding begint met een nulmeting die inzicht geeft in de huidige situatie en de afstand tot volledige compliance. Deze gap-analyse vormt de basis voor een pragmatisch implementatieplan.

Concrete stappen voor DORA-voorbereiding:

• Voer een grondige analyse uit van ICT-risico’s en kansen binnen jouw organisatie.
• Ontwikkel of pas het ICT-risicomanagementbeleid aan conform DORA-normen.
• Inventariseer alle contracten met ICT-dienstverleners en beoordeel uitbestedingsrisico’s.
• Zet procedures op voor snelle detectie en melding van ICT-incidenten.
• Plan regelmatige weerbaarheidstesten, waaronder penetratietesten.
• Richt governance in met duidelijke verantwoordelijkheden voor digitale weerbaarheid.
• Documenteer alle maatregelen zodat compliance aantoonbaar is voor toezichthouders.

Het is raadzaam om bestaande documentatie en processen als uitgangspunt te nemen. Organisaties die al werken met frameworks zoals ISO 27001 of SOC 2 hebben vaak een voorsprong, omdat veel beheersmaatregelen overlap vertonen met DORA-vereisten.

Wat zijn de gevolgen van niet-naleving van DORA?

Toezichthouders zoals De Nederlandsche Bank (DNB) en de Autoriteit Financiële Markten (AFM) zijn verantwoordelijk voor de handhaving van DORA in Nederland. Zij hebben de bevoegdheid om onderzoek te doen, aanwijzingen te geven en bij overtredingen sancties op te leggen.

De gevolgen van non-compliance kunnen aanzienlijk zijn. Naast financiële sancties en boetes kunnen toezichthouders eisen dat organisaties specifieke maatregelen treffen of bepaalde activiteiten staken totdat zij voldoen aan de vereisten. Dit kan directe impact hebben op de bedrijfsvoering.

Minstens zo belangrijk zijn de reputatierisico’s. Financiële instellingen die niet voldoen aan DORA kunnen het vertrouwen van klanten, partners en investeerders verliezen. In een sector waar vertrouwen essentieel is, kan reputatieschade langdurige gevolgen hebben voor de marktpositie.

Tijdige implementatie is daarom niet alleen een wettelijke verplichting, maar ook een strategische noodzaak voor organisaties die hun positie in de markt willen behouden en versterken.

Hoe helpt Hoek en Blok IT bij DORA-compliance?

Hoek en Blok IT ondersteunt financiële instellingen en ICT-dienstverleners bij elke stap van hun DORA-implementatie. Met een pragmatische aanpak helpen we organisaties efficiënt te voldoen aan de vereisten, zonder onnodige administratieve lasten.

Concrete ondersteuning omvat:

• Gap-analyses en nulmetingen: Grondige analyse van jouw huidige situatie ten opzichte van DORA-vereisten.
• ICT-risicomanagementadvies: Ontwikkeling van een op maat gemaakt risicobeheerkader dat aansluit bij jouw organisatie.
• Penetratietesten: Ethical hacking en weerbaarheidstesten door gecertificeerde specialisten.
• Incidentmeldingsprocedures: Opzetten van processen voor snelle detectie en rapportage van IT-incidenten.
• IT Security Officer as a Service: Doorlopende ondersteuning bij het waarborgen van digitale weerbaarheid.

Onze NOREA-gecertificeerde EDP-auditors combineren technische expertise met auditervaring om jouw organisatie te helpen bij het aantonen van adequate procesbeheersing en risicobeheersing. Neem contact op voor een vrijblijvend gesprek over hoe wij jouw DORA-compliance kunnen ondersteunen.

Voorbereiden op NIS2 begint met het begrijpen van de verplichtingen en het uitvoeren van een grondige gap-analyse van je huidige cybersecurityniveau. De NIS2-richtlijn treedt in Nederland per 1 juli 2026 in werking via de Cyberbeveiligingswet en stelt strengere eisen aan middelgrote en grote organisaties in essentiële sectoren. Bestuurders worden persoonlijk aansprakelijk voor non-compliance, wat tijdig handelen noodzakelijk maakt. In dit artikel beantwoorden we de belangrijkste vragen over NIS2-voorbereiding.

Wat is de NIS2-richtlijn en waarom is deze belangrijk voor jouw organisatie?

De NIS2-richtlijn (Network and Information Systems 2) is Europese wetgeving die de cyberbeveiliging en veerkracht van organisaties moet verbeteren. Deze richtlijn vervangt de oorspronkelijke NIS-richtlijn en breidt zowel de reikwijdte als de eisen significant uit. In Nederland wordt NIS2 geïmplementeerd via de Cyberbeveiligingswet (Cbw) en het Cyberbeveiligingsbesluit (Cbb).

De groei in digitalisering heeft voor veel organisaties grote uitdagingen met zich meegebracht op het gebied van IT-beveiliging. Het mkb is steeds vaker doelwit van ransomware-aanvallen. De Europese Unie ziet NIS2 als een essentiële stap in het verbeteren van de cyberweerbaarheid.

NIS2 heeft drie hoofddoelen: het verhogen van de cyberweerbaarheid van organisaties die belangrijk zijn voor economie en samenleving, het gelijktrekken van cybersecurityregels binnen Europa en het versterken van de samenwerking tussen lidstaten. Organisaties die al onder de oorspronkelijke NIS-richtlijn vielen, moeten nu meer doen om hun netwerk- en informatiesystemen te beschermen.

Valt jouw organisatie onder de NIS2-richtlijn?

Of jouw organisatie onder NIS2 valt, hangt af van de sector waarin je actief bent en de omvang van je organisatie. Kleine mkb-organisaties met minder dan 50 werknemers én een omzet en balanstotaal onder 10 miljoen euro hoeven niet te voldoen aan de NIS2-verplichtingen.

NIS2 maakt onderscheid tussen essentiële entiteiten en belangrijke entiteiten. Essentiële sectoren omvatten onder andere energie, transport, bankwezen, gezondheidszorg, drinkwater en digitale infrastructuur. Belangrijke sectoren zijn bijvoorbeeld post- en koeriersdiensten, afvalverwerking, voedselproductie en digitale aanbieders.

Grote organisaties (meer dan 250 werknemers of een omzet boven 50 miljoen euro) in essentiële sectoren krijgen proactief toezicht. Middelgrote organisaties (50-250 werknemers) in deze sectoren vallen onder reactief toezicht. Beoordeel je eigen situatie door te kijken naar je sectorclassificatie, personeelsomvang en financiële omvang.

Wat zijn de belangrijkste verplichtingen onder NIS2?

NIS2 legt organisaties concrete verplichtingen op rondom risicobeheer, incidentmelding, supply chain security en governance. De kernverplichting is het implementeren van passende technische en organisatorische maatregelen om cybersecurityrisico’s te beheersen. Dit omvat maatregelen die het moeilijker maken voor hackers om toegang te krijgen tot systemen en gegevens.

De belangrijkste verplichtingen zijn:

• Risicobeheermaatregelen: identificeren van kritieke systemen, uitvoeren van risicoanalyses en implementeren van beveiligingsmaatregelen
• Incidentmeldingsplicht: ernstige cyberincidenten melden aan de nationale autoriteiten binnen vastgestelde termijnen
• Supply chain security: beveiligingseisen stellen aan leveranciers en ketenpartners
• Bedrijfscontinuïteit: zorgen voor back-upbeheer en herstelplannen
• Governance-eisen: de directie moet cybersecurity actief besturen en monitoren

Belangrijk: als directie kun je persoonlijk aansprakelijk worden gesteld voor de gevolgen van een hack. Cybersecurity mag daarom niet enkel een feestje van de IT-afdeling zijn.

Welke deadlines gelden voor NIS2-compliance?

De NIS2-richtlijn treedt in Nederland per 1 juli 2026 in werking via de Cyberbeveiligingswet. Dit is de datum waarop organisaties moeten voldoen aan de gestelde eisen. De Europese richtlijn is in 2022 aangenomen en lidstaten hebben tot eind 2024 de tijd gekregen om nationale wetgeving op te stellen.

Hoewel de exacte Nederlandse wetgeving nog definitief moet worden vastgesteld, kun je het je als organisatie niet meer permitteren om achterover te leunen. De implementatie van adequate cybersecuritymaatregelen kost tijd, vaak 12 tot 18 maanden voor middelgrote organisaties. Begin daarom nu met de voorbereidingen.

Registratieverplichtingen bij de toezichthouder maken ook deel uit van de implementatie. Organisaties moeten zich tijdig registreren en aantonen dat zij aan de eisen voldoen. Wacht niet tot het laatste moment, want de capaciteit bij toezichthouders en externe adviseurs zal richting de deadline onder druk komen te staan.

Hoe begin je met de voorbereiding op NIS2?

Een pragmatische aanpak voor NIS2-implementatie bestaat uit vijf fasen. Start met het analyseren van je huidige situatie en werk toe naar structurele verbetering. Elke kleine stap is een verbetering en alle stappen samen zorgen ervoor dat je een volwassen niveau van veiligheid behaalt.

Fase 1: Analyseren van cyberrisico’s
Voer een business impact assessment uit om te bepalen voor welke applicaties maatregelen gewenst zijn. Een gap-analyse toont het verschil tussen de huidige en de gewenste situatie.

Fase 3: Opstellen van actieplan
Integreer maatregelen structureel in dagelijkse werkzaamheden, cultuur en strategie. Betrek de volledige organisatie, niet alleen IT.

Fase 5: Controleren en verbeteren
Analyseer incidenten, controleer maatregelen periodiek en documenteer de resultaten.

Welke sancties en boetes gelden bij niet-naleving van NIS2?

NIS2 introduceert een streng handhavingsregime met aanzienlijke boetes voor organisaties die niet voldoen aan de eisen. De maximale boetes verschillen tussen essentiële en belangrijke entiteiten en kunnen oplopen tot miljoenen euro’s.

Essentiële entiteiten riskeren boetes tot 10 miljoen euro of 2% van de wereldwijde jaaromzet, afhankelijk van welk bedrag hoger is. Belangrijke entiteiten kunnen boetes krijgen tot 7 miljoen euro of 1,4% van de wereldwijde jaaromzet.

Toezichthouders krijgen uitgebreide bevoegdheden, waaronder het uitvoeren van audits, het opvragen van informatie en het opleggen van bindende aanwijzingen. In Nederland wordt het toezicht ingericht via sectorale toezichthouders die proactief (voor essentiële entiteiten) of reactief (voor belangrijke entiteiten) controleren.

De persoonlijke aansprakelijkheid van bestuurders vormt een belangrijk nieuw element. Directieleden kunnen persoonlijk verantwoordelijk worden gehouden voor tekortkomingen in cybersecurity. Dit maakt NIS2-compliance een bestuurlijke prioriteit.

Hoe helpt Hoek en Blok IT bij NIS2-voorbereiding?

Hoek en Blok IT ondersteunt organisaties bij het pragmatisch en betaalbaar voorbereiden op NIS2-compliance. Met NOREA-gecertificeerde EDP-auditors en ethical-hackingexpertise biedt Hoek en Blok IT een compleet pakket aan diensten.

De dienstverlening voor NIS2 omvat:

• NIS2-nulmeting en gap-analyse: inzicht in kwetsbaarheden binnen techniek, mensen en processen
• Risico-assessments: identificatie van kroonjuwelen en documentatie in een risicoregister
• IT-audits: ISAE 3000- en ISAE 3402-verklaringen voor aantoonbare procesbeheersing
• Penetratietests: ethical hacking om kwetsbaarheden in systemen te identificeren
• Security awareness-training: medewerkers bewust maken van cyberrisico’s
• IT Security Officer as a Service: structurele ondersteuning bij cybersecuritygovernance

Na een nulmeting ontvang je een helder informatiebeveiligingsbeleid, een uitgebreid adviesrapport en een voorstel voor het beleggen van verantwoordelijkheden. Wil je ondersteuning bij het inrichten van cybersecurity en NIS2 binnen jouw organisatie? Neem contact op voor een vrijblijvend adviesgesprek.