NIS2 checklist: de tien maatregelen van artikel 21, de bestuursplicht en de meldplicht in één overzicht

NIS2 werkt met twee filters: sector en omvang. Bijlage I van de richtlijn noemt de sectoren met een hoge kriticiteit: energie, vervoer, bankwezen, financiële marktinfrastructuur, gezondheidszorg, drinkwater, afvalwater, digitale infrastructuur, ICT-dienstbeheer, overheid en ruimtevaart. Bijlage II noemt de andere kritieke sectoren: post, afvalstoffenbeheer, chemie, levensmiddelen, vervaardiging, digitale aanbieders en onderzoek.

De omvangsregel. De richtlijn geldt voor middelgrote en grote organisaties in die sectoren (artikel 2 lid 1). Het NCSC vertaalt dat zo: u valt eronder bij 50 of meer medewerkers in fte, of als zowel uw jaaromzet als uw balanstotaal boven 10 miljoen euro ligt. Moeder- en dochterbedrijven tellen mee.

Essentieel of belangrijk. Grote organisaties (vanaf 250 medewerkers, of vanaf 50 miljoen euro omzet en 43 miljoen euro balanstotaal) in een sector van bijlage I zijn in de regel essentiële entiteiten (artikel 3 lid 1). Middelgrote organisaties in bijlage I en alle organisaties in bijlage II zijn belangrijke entiteiten (artikel 3 lid 2). De maatregelen zijn gelijk; toezicht en boetes verschillen.

Uitzonderingen op de omvang. DNS-aanbieders, topleveldomeinregisters, aanbieders van openbare communicatienetwerken, verleners van vertrouwensdiensten en overheidsorganisaties vallen er ongeacht grootte onder (artikel 2 lid 2). De NIS2-Zelfevaluatie van de RDI, te vinden via het NCSC, geeft een formeel antwoord. Bewijs: een door het bestuur vastgestelde beoordeling van sector, omvang en conclusie.

Artikel 21 lid 1 verplicht tot passende en evenredige technische, operationele en organisatorische maatregelen. Lid 2 somt tien onderdelen op die uw pakket minimaal moet bevatten. De Cbw neemt dezelfde tien over in artikel 21 lid 3; het NCSC heeft ze uitgewerkt op zijn zorgplichtpagina.

(a) Beleid inzake risicoanalyse en beveiliging van informatiesystemen. Een actuele risicoanalyse en een beveiligingsbeleid dat daaruit volgt. Bewijs: de risicoanalyse met datum, scope en eigenaar, plus het door het bestuur goedgekeurde beleid.

(b) Incidentenbehandeling. Procedures om incidenten te detecteren, in te dammen en op te lossen, gekoppeld aan de meldplicht. Bewijs: een incidentresponsplan met rollen en escalatiepaden, een incidentregister en het verslag van een jaarlijkse oefening.

(c) Bedrijfscontinuïteit en crisisbeheer. Back-upbeheer, noodvoorzieningenplannen en crisisbeheer. Bewijs: een continuïteitsplan met hersteltijden per dienst, een geslaagde hersteltest en een crisisdraaiboek met contactlijst.

(d) Beveiliging van de toeleveringsketen. Bewijs: een leveranciersregister met risicoklasse, beveiligingseisen in contracten en een beoordeling van uw kritieke leveranciers.

(e) Beveiliging bij verwerving, ontwikkeling en onderhoud, inclusief kwetsbaarheidsbeheer. Veilig inkopen en ontwikkelen, tijdig patchen en een proces voor de respons op en bekendmaking van kwetsbaarheden. Bewijs: een patchbeleid met termijnen per ernst, een kwetsbaarhedenoverzicht met status en een CVD-pagina.

(f) Beleid en procedures om de effectiviteit van de maatregelen te beoordelen. De maatregel die bewijst dat de andere negen werken. Het NCSC vraagt om beleid dat vastlegt waarom, hoe vaak en hoe u toetst, bijvoorbeeld jaarlijks, en adviseert technische maatregelen te laten testen. In de praktijk: een onafhankelijke NIS2 penetratietest van uw webapplicaties en uw externe netwerk. Bewijs: het testbeleid, het meest recente testrapport en de opvolging: welke bevinding is wanneer gesloten en hertest.

(g) Cyberhygiëne en opleiding. Basispraktijken zoals wachtwoordbeleid, updates en back-ups, plus bewustwordingstraining voor alle medewerkers. Bewijs: een cyberhygiënebeleid en een deelnameregistratie van de trainingen.

(h) Cryptografie en encryptie. Beleid over wat u versleutelt, in rust en in transport, en hoe u sleutels beheert. Bewijs: een cryptografiebeleid en een configuratieoverzicht dat toont dat het is toegepast.

(i) Personeel, toegangsbeleid en beheer van activa. Screening, minimale toegangsrechten en een actueel overzicht van systemen en gegevens. Bewijs: een assetregister, een rechtenmatrix met periodieke controle en een procedure voor het intrekken van toegang.

(j) Multifactorauthenticatie en beveiligde communicatie. Waar passend: multifactor- of continue authenticatie, beveiligde spraak-, video- en tekstcommunicatie en een noodcommunicatiesysteem dat werkt als uw primaire systemen uitvallen. Bewijs: MFA afgedwongen op externe toegang en beheeraccounts, en een getest noodkanaal.

De Cyberbeveiligingswet. De lidstaten moesten NIS2 uiterlijk 17 oktober 2024 omzetten (artikel 41). Nederland deed dat met de Cyberbeveiligingswet (Cbw), de wet van 8 juli 2026 die volgens het NCSC op 15 augustus 2026 in werking is getreden. De wettekst staat in de Wettenbank, de actuele uitleg op ncsc.nl.

Registratieplicht. Artikel 3 lid 3 en 4 van de richtlijn verplichten de lidstaten een lijst van essentiële en belangrijke entiteiten bij te houden. In Nederland is dat het nationaal register van entiteiten (Cbw artikel 43 en 44). U levert aan: naam, adres, contactgegevens inclusief IP-reeksen, sector en subsector en de lidstaten waarin u diensten verleent. Wijzigingen meldt u binnen twee weken. Registreren gaat via mijn.ncsc.nl. Bewijs: de registratiebevestiging.

Toezichthouders. Het toezicht is per sector verdeeld. Het NCSC noemt onder meer de RDI (digitale infrastructuur, energie, overheid, digitale aanbieders, post, vervaardiging), de ILT (vervoer, water, afval, chemie), DNB (bankwezen), de AFM (financiële marktinfrastructuur) en de NVWA (levensmiddelen). Het NCSC is voor alle sectoren het CSIRT.

Een NIS2 audit kent twee vormen: het onderzoek van de toezichthouder, en de audit die u zelf laat uitvoeren om daarop voorbereid te zijn. Beide volgen dezelfde logica: eerst de governance, dan de risicoanalyse, dan per maatregel het bewijs, dan de meldplicht en het register. Wat er op tafel komt:

• Het bestuursbesluit waarmee de maatregelen zijn goedgekeurd, de bestuursrapportages en de opleidingscertificaten.
• De risicoanalyse en het beveiligingsbeleid, met de datum van de laatste herziening, en per maatregel het bewijs uit de tabel.
• Het incidentregister, de gedane meldingen en het verslag van de laatste oefening.
• De testrapporten van maatregel (f) en de status van elke bevinding: open, opgelost, hertest.
• Het leveranciersregister en de registratiebevestiging.

De test onder maatregel (f) is het ene onderdeel van deze checklist dat u niet zelf kunt uitvoeren: toezichthouder en auditor verwachten een onafhankelijke partij. Budget Security voert die tests uit vanuit Den Haag met OSCP-gecertificeerde testers, handmatig. U scopet en boekt zelf via het platform; de test start binnen 7 dagen na boeking en het rapport staat binnen 48 uur na afloop in het portaal, als PDF per asset met managementsamenvatting en per bevinding ernst, impact, herstel en bewijs. Betaling volgt na oplevering.

Voor uw NIS2-dossier telt wat daarna gebeurt. Elke bevinding staat in het portaal met een status en volledige historie, met één klik als Jira Cloud-issue. Een hertest van de herstelde bevindingen is een optie van één testdag en sluit de lus die een auditor wil zien: gevonden, hersteld, bevestigd. Het tarief is €849 per testdag, zonder opstartkosten; prijzen zijn exclusief btw. Zie onze kostenpagina en de bestelpagina.