Wat zijn de security vereisten voor cloud services onder NIS2?

De NIS2-richtlijn stelt organisaties die cloudservices gebruiken voor concrete securityvereisten op het gebied van toegangscontrole, encryptie, leveranciersbeheer en incident response. Vanaf 1 juli 2026 moeten organisaties aantonen dat zij passende maatregelen hebben getroffen om hun clouddata en clouddiensten te beschermen tegen cyberaanvallen. Dit artikel beantwoordt de belangrijkste vragen over cloudsecurity onder NIS2 en biedt praktische handvatten voor implementatie.

Welke cloudsecurity-eisen stelt de NIS2-richtlijn aan organisaties?

NIS2 verplicht organisaties om een risicobeoordeling uit te voeren en passende beveiligingsmaatregelen te implementeren voor alle IT-middelen, inclusief cloudservices. De wettelijke basis hiervoor is de zorgplicht: organisaties moeten hun diensten en informatie beschermen tegen cyberaanvallen, waarbij de maatregelen afhankelijk zijn van de aard, omvang en impact van hun diensten.

Voor cloudservices betekent dit dat je moet inventariseren welke cloudoplossingen je gebruikt en welke data en processen daarin draaien. De NIS2-richtlijn onderscheidt verschillende categorieën van beveiligingsmaatregelen:

• Toegangsbeveiliging en identity management
• Cryptografie en encryptie van data
• Leveranciersbeoordelingen en supply chain security
• Incidentdetectie, respons en rapportage
• Bedrijfscontinuïteit en disaster recovery

Een belangrijk aspect is de verscherpte aansprakelijkheid van bestuurders. Directieleden kunnen persoonlijk aansprakelijk worden gesteld voor de gevolgen van een hack. Bestuurders moeten aantonen dat zij voldoende kennis en vaardigheden hebben om de gevolgen van informatiebeveiligingsrisico’s te beoordelen. Dit betekent dat cybersecurity niet enkel een feestje van de IT-afdeling mag zijn.

Hoe zorg je voor adequate toegangscontrole bij cloudservices onder NIS2?

Adequate toegangscontrole voor cloudomgevingen vereist een gestructureerde aanpak van identity- en accessmanagement (IAM). NIS2 schrijft voor dat alleen geautoriseerde personen toegang hebben tot systemen en data, en dat deze toegang beperkt blijft tot wat noodzakelijk is voor hun functie.

De implementatie van multi-factor-authenticatie (MFA) vormt de basis. Voor alle gebruikers met toegang tot gevoelige clouddata of kritieke systemen is MFA geen optie maar een vereiste. Dit geldt zowel voor interne medewerkers als voor externe partijen, zoals leveranciers of consultants die tijdelijke toegang nodig hebben.

Het principe van least privilege houdt in dat gebruikers alleen de minimaal benodigde rechten krijgen. In de praktijk betekent dit:

• Standaard beperkte rechten bij nieuwe accounts
• Expliciete goedkeuring voor uitgebreide toegang
• Tijdelijke verhoogde rechten waar mogelijk
• Automatische intrekking bij functiewijziging of uitdiensttreding

Privileged access management verdient extra aandacht. Beheerdersaccounts met vergaande rechten vormen een aantrekkelijk doelwit voor aanvallers. Zorg voor aparte accounts voor beheer, logging van alle beheeractiviteiten en regelmatige controle op misbruik. Voer minimaal elk kwartaal een toegangsreview uit om te controleren of rechten nog actueel en noodzakelijk zijn.

Welke encryptie-eisen gelden voor clouddata volgens NIS2?

NIS2 vereist dat organisaties cryptografische maatregelen treffen voor zowel data-at-rest als data-in-transit. Dit betekent dat clouddata versleuteld moet zijn tijdens opslag en tijdens transport over netwerken. De keuze voor encryptiestandaarden moet passen bij de gevoeligheid van de data en de actuele stand van de techniek.

Voor data-in-transit is TLS 1.2 of hoger de minimale standaard voor verbindingen met cloudservices. Controleer of je cloudprovider moderne encryptieprotocollen ondersteunt en configureer je systemen om verouderde protocollen te weigeren.

Bij data-at-rest hangt de verantwoordelijkheid af van het cloudmodel:

• IaaS: je bent zelf verantwoordelijk voor encryptie van opgeslagen data en moet keymanagement inrichten
• PaaS: de provider biedt vaak encryptie aan, maar je moet controleren of dit standaard actief is en welke sleutels worden gebruikt
• SaaS: encryptie is meestal ingebouwd, maar vraag na welke standaarden worden gehanteerd en wie toegang heeft tot de sleutels

Keymanagement is een kritiek aandachtspunt. Bepaal wie de encryptiesleutels beheert en waar deze worden opgeslagen. Bij gevoelige data kan het wenselijk zijn om zelf de sleutels te beheren (bring your own key) in plaats van dit aan de cloudprovider over te laten. Documenteer je keuzes en de onderbouwing hiervan.

Wat moet je regelen met cloudproviders voor NIS2-compliance?

Supply chain security is een kernonderdeel van NIS2. Je bent als organisatie verantwoordelijk voor de beveiliging van data die je bij cloudproviders onderbrengt. Dit vereist duidelijke contractuele afspraken en periodieke controle op naleving. Een veelvoorkomende denkfout is dat NIS2 volledig kan worden uitbesteed aan een IT-leverancier. De IT-leverancier kan helpen bij technische aspecten, maar kan niet het totaalplaatje neerzetten.

Het shared responsibility model bepaalt wie waarvoor verantwoordelijk is. Leg dit expliciet vast in contracten. Typische aandachtspunten zijn:

• Wie is verantwoordelijk voor patching en updates?
• Hoe wordt toegang tot data geregeld en gelogd?
• Welke beveiligingsmaatregelen treft de provider standaard?
• Hoe wordt omgegaan met incidenten en datalekken?

Controleer of je cloudprovider beschikt over relevante certificeringen, zoals ISO 27001 of een SOC 2-verklaring. Deze geven zekerheid over de inrichting van beveiligingsprocessen. Let op: een ISAE-verklaring bevestigt de naleving van specifieke normen, maar is geen certificaat. Vraag om recente rapporten en beoordeel of de scope aansluit bij de diensten die je afneemt.

Neem auditrechten op in je contracten. Je moet kunnen controleren of de provider zich aan de afspraken houdt, hetzij door eigen audits, hetzij via onafhankelijke rapporten. Leg ook vast hoe je geïnformeerd wordt bij wijzigingen in de dienstverlening of beveiligingsmaatregelen.

Hoe richt je incident response in voor cloudomgevingen onder NIS2?

NIS2 kent een strikte meldplicht: incidenten die de levering van essentiële diensten kunnen verstoren, moeten binnen 24 uur worden gemeld aan de toezichthouder en het Computer Security Incident Response Team (CSIRT). Voor cloudgerelateerde incidenten betekent dit dat je snel moet kunnen vaststellen wat er gebeurd is en welke impact dit heeft.

Stel cloudspecificieke incident-responseprocedures op die rekening houden met:

• Hoe je incidenten in de cloudomgeving detecteert
• Wie binnen je organisatie als eerste handelt
• Hoe je contact opneemt met de cloudprovider
• Welke informatie je nodig hebt voor de melding aan de toezichthouder

Logging en monitoring zijn essentieel. Zorg dat je voldoende logs bewaart om incidenten te kunnen analyseren. Spreek met je cloudprovider af welke logs beschikbaar zijn, hoe lang deze worden bewaard en hoe je hier toegang toe krijgt bij een incident. Veel cloudproviders bieden standaard beperkte logging; overweeg uitgebreidere opties voor kritieke systemen.

Coördinatie met de cloudprovider bij incidenten verdient vooraf aandacht. Leg vast wie je contactpersoon is, wat de reactietijden zijn en hoe informatie wordt gedeeld. Test deze procedures periodiek, zodat je bij een echt incident niet voor verrassingen komt te staan.

Welke continuïteitsmaatregelen vereist NIS2 voor cloudservices?

Business continuity en disaster recovery voor cloudafhankelijke processen vereisen een doordachte aanpak. NIS2 schrijft voor dat organisaties maatregelen treffen om de continuïteit van hun dienstverlening te waarborgen, ook bij verstoringen in de cloudomgeving.

Een robuuste backupstrategie vormt de basis. Bepaal welke data en configuraties je moet kunnen herstellen en hoe snel dit moet gebeuren. Overweeg backups naar een andere cloudprovider of naar eigen infrastructuur voor kritieke data. Test regelmatig of je backups daadwerkelijk herstelbaar zijn.

Vendor lock-in vormt een reëel risico. Als je sterk afhankelijk bent van één cloudprovider, kan een storing of conflict grote gevolgen hebben. Ontwikkel een exitstrategie die beschrijft hoe je data en processen kunt migreren naar een alternatief. Neem dataportabiliteit op in je contractuele afspraken.

Geografische spreiding en datasoevereiniteit verdienen aandacht binnen de EU-context. Controleer waar je data wordt opgeslagen en verwerkt. Voor veel organisaties is opslag binnen de EU een vereiste. Bespreek met je provider welke garanties zij bieden en hoe dit contractueel is vastgelegd.

Test je herstelplannen minimaal jaarlijks. Een plan dat niet getest is, biedt schijnzekerheid. Betrek hierbij ook de cloudprovider en controleer of de afgesproken hersteltijden realistisch zijn.

Hoe helpt Hoek en Blok IT bij cloudsecurity onder NIS2?

Hoek en Blok IT ondersteunt organisaties bij het realiseren van NIS2-compliance voor cloudomgevingen. Met een pragmatische en betaalbare aanpak helpen wij je om voor de deadline van 1 juli 2026 aan de vereisten te voldoen.

Onze dienstverlening omvat:

• Cloudsecurity-assessments: inventarisatie van je cloudomgeving en identificatie van risico’s
• Gap-analyses voor NIS2: vaststellen waar je staat en wat er nog moet gebeuren
• Leveranciersbeoordelingen: evaluatie van cloudproviders op security en compliance
• Cloudsecurity-policies: opstellen van beleid en procedures voor cloudgebruik
• IT Security Officer as-a-Service: doorlopende ondersteuning bij securityvraagstukken

Wil je weten hoe jouw organisatie ervoor staat op het gebied van cloudsecurity onder NIS2? Neem contact op voor een vrijblijvend gesprek over de mogelijkheden.