In 5 stappen NIS 2-proof: een praktisch stappenplan

NIS2-proof worden vereist een gestructureerde aanpak in vijf stappen: een gap-analyse uitvoeren, risicobeoordeling en beleidsontwikkeling, technische en organisatorische maatregelen implementeren, incidentrespons inrichten en continue monitoring borgen. Met de NIS2-deadline van 2026 in zicht is het cruciaal om nu te starten met je NIS2-voorbereiding. Dit stappenplan helpt je bij een pragmatische NIS2-implementatie.

Wat is de NIS2-richtlijn en valt jouw organisatie eronder?

De NIS2-richtlijn is Europese cybersecuritywetgeving die de digitale weerbaarheid van organisaties in kritieke sectoren versterkt. Deze richtlijn vervangt de oorspronkelijke NIS-richtlijn en breidt het toepassingsgebied aanzienlijk uit. In Nederland wordt NIS2 geïmplementeerd via de Cyberbeveiligingswet (Cbw), die per 1 juli 2026 in werking treedt.

Organisaties worden ingedeeld in essentiële en belangrijke entiteiten. Essentiële entiteiten zijn actief in sectoren zoals energie, transport, gezondheidszorg, drinkwater en digitale infrastructuur. Belangrijke entiteiten omvatten onder andere voedselproductie, afvalbeheer, post- en koeriersdiensten en digitale aanbieders.

De criteria voor NIS2-plichtigheid zijn:

• Middelgrote organisaties: minimaal 50 werknemers of een jaaromzet boven € 10 miljoen
• Grote organisaties: minimaal 250 werknemers of een jaaromzet boven € 50 miljoen
• Bepaalde sectoren vallen ongeacht grootte onder de richtlijn

Een belangrijke verandering ten opzichte van NIS1 is de persoonlijke aansprakelijkheid van bestuurders voor non-compliance met NIS2-verplichtingen.

Welke 5 stappen moet je doorlopen om NIS2-compliant te worden?

Een effectief NIS2-stappenplan bestaat uit vijf opeenvolgende fasen die samen zorgen voor structurele NIS2-compliance. Deze aanpak is gebaseerd op het principe van analyseren, bepalen, opstellen, uitvoeren en controleren.

1. Gap-analyse en nulmeting uitvoeren: Breng je huidige cybersecuritystatus in kaart en vergelijk deze met de NIS2-vereisten. Inventariseer alle IT-middelen en voer een IT-securityscan uit.
2. Risicobeoordeling en beleidsontwikkeling: Identificeer dreigingen en kwetsbaarheden. Stel passend beveiligingsbeleid op met goedkeuring van het bestuur.
3. Technische en organisatorische maatregelen implementeren: Voer de benodigde beveiligingsmaatregelen door, van toegangsbeheer tot supply chain security.
4. Incidentrespons en meldprocedures inrichten: Ontwikkel een incident responseplan en train personeel op de strikte meldtermijnen.
5. Continue monitoring en verbetering borgen: Controleer periodiek de effectiviteit van maatregelen en stuur bij waar nodig.

Hoe voer je een effectieve NIS2-gap-analyse uit?

Een NIS2-gap-analyse of nulmeting vergelijkt je huidige cybersecuritymaatregelen met de eisen uit de NIS2-richtlijn. Deze analyse vormt de basis voor alle vervolgactiviteiten en geeft inzicht in waar je organisatie staat.

De praktische aanpak omvat:

• Inventarisatie van IT-middelen: Breng alle systemen, netwerken en applicaties in kaart die nodig zijn voor je dienstverlening.
• Business impact assessment: Bepaal welke processen kritiek zijn voor je bedrijfscontinuïteit.
• Documentatiereview: Beoordeel bestaande beleidsdocumenten, procedures en registraties.
• Technische securityscan: Identificeer kwetsbaarheden in je IT-omgeving.

Betrek relevante stakeholders, zoals IT-verantwoordelijken, security officers en proceseigenaren. De deliverables zijn een overzicht van IT-middelen, een businessimpactoverzicht en een adviesrapport met geprioriteerde verbeterpunten. Een awarenesscampagne kan helpen om de organisatie bewust te maken van de NIS2-voorbereiding.

Wat houdt risicobeoordeling in onder NIS2?

NIS2 vereist een systematische risicobeoordeling van alle netwerk- en informatiesystemen. Dit is geen eenmalige exercitie, maar een doorlopend proces waarbij het bestuur actief betrokken moet zijn. De risicoanalyse vormt de onderbouwing voor alle beveiligingsmaatregelen die je treft.

Een gedegen risicobeoordelingsmethodiek omvat:

• Het identificeren van dreigingen (ransomware, phishing, insider threats)
• Het in kaart brengen van kwetsbaarheden in systemen en processen
• Het bepalen van de impact bij een beveiligingsincident
• Het vaststellen van de waarschijnlijkheid dat dreigingen zich voordoen
• Het prioriteren van risico’s op basis van impact en waarschijnlijkheid

Het bestuur draagt de eindverantwoordelijkheid voor het risicomanagement. Dit betekent dat het de risicoanalyse moet goedkeuren en besluit over acceptabele risiconiveaus. De groeiende dreiging van cyberaanvallen, waarbij criminelen steeds hogere bedragen eisen van Nederlandse bedrijven, onderstreept het belang van een gedegen risicobeoordeling.

Welke technische en organisatorische maatregelen vereist NIS2?

De NIS2-richtlijn schrijft tien kernmaatregelen voor die samen de zorgplicht vormen. Deze maatregelen zijn zowel technisch als organisatorisch van aard en moeten proportioneel zijn aan de geïdentificeerde risico’s.

Technische maatregelen:

• Toegangsbeheer en multi-factorauthenticatie (waar passend)
• Encryptie van gevoelige data
• Netwerksegmentatie
• Back-upstrategieën en recoveryprocedures
• Beveiligde communicatiesystemen (spraak, video, tekst)

Organisatorische maatregelen:

• Beleid voor risicobeheer en informatiebeveiliging
• Supply chain security (beveiliging van de toeleveringsketen)
• Cyberhygiëne en security awareness-training voor personeel
• Beheer van activa en toegangsbeleid
• Bedrijfscontinuïteitsplanning

Een veelgemaakte denkfout is dat NIS2 volledig kan worden uitbesteed aan een IT-leverancier. NIS2 is primair een organisatorisch vraagstuk. Je IT-leverancier kan helpen bij technische aspecten, maar niet bij het inrichten van de organisatie, het opstellen van beleid en het borgen van verantwoordelijkheden.

Hoe richt je NIS2-conforme incidentrespons en meldprocedures in?

NIS2 stelt strenge eisen aan incidentmelding met korte tijdslijnen. Bij een significant incident moet je binnen 24 uur een early warning versturen naar de bevoegde autoriteit. Binnen 72 uur volgt een volledige incidentmelding met een eerste beoordeling van de ernst en impact.

Een effectief incident responseplan bevat:

• Duidelijke rollen en verantwoordelijkheden bij incidenten
• Escalatieprocedures en beslisbomen
• Communicatielijnen met interne en externe stakeholders
• Contactgegevens van bevoegde autoriteiten
• Templates voor incidentmeldingen

Train je personeel regelmatig in het herkennen van incidenten en het volgen van meldprocedures. Oefen het incident responseplan periodiek met tabletop-exercises. Zorg voor beveiligde noodcommunicatiesystemen voor situaties waarin reguliere communicatiekanalen niet beschikbaar zijn.

Hoe zorg je voor continue NIS2-compliance en verbetering?

NIS2-compliance is geen eindpunt, maar een doorlopend proces. De richtlijn vereist dat organisaties hun beveiligingsmaatregelen continu monitoren, evalueren en verbeteren. Dit sluit aan bij de PDCA-cyclus (Plan-Do-Check-Act).

Activiteiten voor continue verbetering:

• Periodieke technische tests en penetratietests
• Phishing-simulaties om awareness te meten
• Het analyseren van incidenten om oorzaken en lessen te identificeren
• Het evalueren van de effectiviteit van getroffen maatregelen
• Het actualiseren van documentatie en procedures

Documenteer alle controles en rapporteer resultaten aan interne en externe belanghebbenden. Toezichthouders kunnen deze documentatie opvragen. Pas je maatregelen aan bij nieuwe dreigingen, technologische ontwikkelingen of wijzigingen in regelgeving. Zo ontstaat structurele verbetering van je NIS2-cybersecurity.

Hoe helpt Hoek en Blok IT bij jouw NIS2-implementatie?

Hoek en Blok IT ondersteunt organisaties bij elke stap van het NIS2-stappenplan met een pragmatische en betaalbare aanpak. De NOREA-gecertificeerde EDP-auditors combineren technische expertise met auditervaring.

Concrete ondersteuning per stap:

• Gap-analyse: NIS2-nulmeting met een overzicht van IT-middelen, risicoanalyse en geprioriteerd verbeterplan
• Risicobeoordeling: Begeleiding bij het opzetten van een systematisch risicomanagementproces
• Maatregelen: Penetratietests, security-assessments en implementatieadvies
• Incidentrespons: Ondersteuning bij het inrichten van meldprocedures en calamiteitenplanning
• Continue verbetering: ISAE 3000/3402-verklaringen en periodieke audits

Met het concept “IT Security Officer as-a-Service” biedt Hoek en Blok IT een flexibele oplossing voor organisaties die geen fulltime security officer in dienst hebben. Neem contact op voor een vrijblijvend gesprek of vraag een NIS2-quickscan aan om te bepalen waar jouw organisatie staat.