Hoe meet je de volwassenheid van je cybersecurity voor NIS2?

De volwassenheid van je cybersecurity meet je voor NIS2 door je huidige beveiligingspraktijken systematisch te toetsen aan vastgestelde niveaus, van ad-hoc tot geoptimaliseerd. Dit doe je aan de hand van een gestructureerd assessment waarbij je de NIS2-domeinen, zoals risicobeheer, incidentrespons en toegangsbeveiliging, beoordeelt op volwassenheid. De vragen hieronder helpen je stap voor stap door dit proces.

Welke volwassenheidsniveaus worden gebruikt bij NIS2-assessments?

Bij NIS2-assessments worden doorgaans vijf volwassenheidsniveaus gehanteerd, van niveau 1 (initieel of ad-hoc) tot niveau 5 (geoptimaliseerd). Op niveau 1 zijn beveiligingsmaatregelen ongestructureerd en reactief. Op niveau 5 worden processen continu gemeten, verbeterd en afgestemd op bedrijfsdoelstellingen. De meeste organisaties bevinden zich ergens tussen niveau 2 en niveau 3.

Deze niveaus zijn afgeleid van bekende volwassenheidsmodellen en geven je een concreet beeld van waar je staat. Een korte omschrijving per niveau:

• Niveau 1 – Initieel: Beveiligingsmaatregelen bestaan, maar zijn niet gedocumenteerd of herhaalbaar.
• Niveau 2 – Beheerd: Basisprocessen zijn ingericht, maar worden niet consistent toegepast.
• Niveau 3 – Gedefinieerd: Beleid en procedures zijn vastgelegd en organisatiebreed ingevoerd.
• Niveau 4 – Gemeten: Processen worden actief gemonitord en bijgestuurd op basis van meetbare resultaten.
• Niveau 5 – Geoptimaliseerd: Beveiliging is een continu verbeterproces dat proactief inspeelt op nieuwe dreigingen.

Voor NIS2-compliance is niveau 3 doorgaans het minimale streefniveau. Organisaties in kritieke sectoren zoals energie, transport of digitale infrastructuur worden verwacht minimaal op dit niveau te opereren, en in veel gevallen hoger.

Welke frameworks helpen bij het meten van cybersecurity volwassenheid?

De meest gebruikte frameworks voor het meten van cybersecurity volwassenheid zijn het NIST Cybersecurity Framework, het Capability Maturity Model Integration (CMMI) en de ISO 27001-norm. Voor organisaties die werken voor de Nederlandse overheid of defensie zijn aanvullend de ABRO en ABDO relevant als toetsingskader.

Het NIST CSF biedt een praktische structuur verdeeld over vijf functies: identificeren, beschermen, detecteren, reageren en herstellen. Dit sluit goed aan op de risicogebaseerde aanpak die NIS2 vereist. ISO 27001 biedt een meer formeel managementsysteemkader en is sterk gericht op documentatie en aantoonbaarheid.

Wil je frameworks niet alleen begrijpen, maar ook daadwerkelijk toepassen binnen je organisatie, dan helpt een gestructureerde aanpak voor de implementatie van cybersecurity frameworks om de vertaalslag van theorie naar praktijk te maken.

Vanaf 1 januari 2026 gelden de Algemene Beveiligingseisen voor Rijksoverheidsopdrachten (ABRO) voor bedrijven die opdrachten uitvoeren voor de Rijksoverheid met risico’s voor de nationale veiligheid. De ABDO geldt specifiek voor bedrijven die opdrachten uitvoeren voor Defensie. Beide kaders kunnen naast NIS2 van toepassing zijn, afhankelijk van de sector waarin je opereert.

Hoe voer je een cybersecurity volwassenheidsassessment uit?

Een cybersecurity volwassenheidsassessment voer je uit door je huidige beveiligingsmaatregelen gestructureerd te inventariseren, te toetsen aan een gekozen framework en de bevindingen te vertalen naar een concreet verbeterplan. Het proces bestaat uit een aantal vaste stappen.

1. Scope bepalen: Stel vast welke systemen, processen en organisatieonderdelen je beoordeelt.
2. Framework kiezen: Selecteer een passend referentiekader, zoals NIST CSF of ISO 27001, afgestemd op je sector.
3. Huidige situatie in kaart brengen: Verzamel documentatie, voer interviews uit en analyseer technische configuraties.
4. Beoordelen per domein: Ken per NIS2-domein een volwassenheidsniveau toe op basis van bewijs.
5. Gap-analyse uitvoeren: Vergelijk de huidige situatie met het gewenste niveau en identificeer de tekortkomingen.
6. Verbeterplan opstellen: Prioriteer maatregelen op basis van risico en impact, en koppel ze aan verantwoordelijken en deadlines.

Belangrijk is dat het assessment niet alleen een papieren oefening wordt. Technische controles moeten worden gevalideerd, niet alleen op basis van beleidsdocumenten, maar ook door daadwerkelijke tests en observaties.

Welke NIS2-domeinen moet je beoordelen in een volwassenheidsmeting?

In een NIS2-volwassenheidsmeting beoordeel je minimaal de domeinen die de richtlijn expliciet benoemt: risicobeheer, incidentrespons, beveiliging van de toeleveringsketen, toegangsbeveiliging, encryptie, en bedrijfscontinuïteit. Samen dekken deze domeinen de kern van wat NIS2 van organisaties verwacht.

Per domein kijk je niet alleen of er beleid bestaat, maar ook of dat beleid wordt nageleefd, getest en bijgehouden. Enkele aandachtspunten per domein:

• Risicobeheer: Zijn risico’s geïdentificeerd, gedocumenteerd en worden ze periodiek herzien?
• Incidentrespons: Is er een responsplan, zijn medewerkers getraind en zijn meldprocedures ingericht?
• Toeleveringsketen: Zijn beveiligingseisen opgenomen in contracten met leveranciers?
• Toegangsbeveiliging: Wordt het principe van minimale rechten toegepast en is multifactorauthenticatie ingericht?
• Encryptie: Worden gevoelige gegevens versleuteld opgeslagen en verzonden?
• Bedrijfscontinuïteit: Zijn back-upprocessen getest en zijn herstelscenario’s gedocumenteerd?

Wat zijn veelgemaakte fouten bij een NIS2 volwassenheidsmeting?

De meest voorkomende fout bij een NIS2 volwassenheidsmeting is het beoordelen op basis van documentatie alleen, zonder te verifiëren of maatregelen ook daadwerkelijk werken in de praktijk. Andere veelgemaakte fouten zijn een te smalle scope, het ontbreken van betrokkenheid vanuit het management en het niet prioriteren van bevindingen.

Een assessment dat alleen op papier klopt, geeft een vertekend beeld van de werkelijke weerbaarheid. Technische validatie, zoals het testen van back-uprestores of het controleren van logmonitoring, is onmisbaar. Daarnaast zien we regelmatig dat organisaties de scope te beperkt houden en kritieke systemen of leveranciers buiten beschouwing laten.

Ook het gebrek aan managementbetrokkenheid is een risico. Zonder draagvlak aan de top blijven verbeterplannen steken op operationeel niveau, terwijl NIS2 juist bestuurders persoonlijk verantwoordelijk stelt voor de naleving van de vereisten.

Wanneer moet je een externe partij inschakelen voor je NIS2-assessment?

Je schakelt een externe partij in voor je NIS2-assessment wanneer je organisatie niet beschikt over de interne expertise, objectiviteit of capaciteit om een betrouwbare beoordeling uit te voeren. Ook wanneer toezichthouders of klanten aantoonbare onafhankelijkheid vereisen, is externe betrokkenheid noodzakelijk.

Intern uitgevoerde assessments zijn waardevol voor zelfinzicht, maar hebben beperkingen. Medewerkers beoordelen hun eigen werk, wat de objectiviteit beïnvloedt. Een externe partij brengt sectorervaring mee, herkent patronen die intern over het hoofd worden gezien en kan bevindingen op een manier rapporteren die bruikbaar is voor zowel technische teams als het bestuur.

Praktische situaties waarin externe ondersteuning sterk aan te raden is:

• Je organisatie valt voor het eerst onder NIS2 en weet niet waar te beginnen.
• Er is geen interne CISO of vergelijkbare functie beschikbaar.
• Je wilt een onafhankelijk oordeel voor rapportage aan het bestuur of toezichthouder.
• Eerdere interne assessments hebben niet geleid tot concrete verbeteringen.

Hoe wij helpen met jouw NIS2 volwassenheidsmeting

Bij Hofsecure begeleiden we organisaties door het volledige proces van NIS2-cybersecurityvolwassenheid, van de eerste meting tot een concreet en haalbaar verbeterplan. Onze aanpak is praktisch, onafhankelijk en afgestemd op jouw sector en organisatiegrootte. Dit is wat we voor je doen:

• Een gestructureerd assessment langs alle relevante NIS2-domeinen, technisch én organisatorisch.
• Een heldere gap-analyse met geprioriteerde bevindingen, bruikbaar voor zowel IT als directie.
• Advies over frameworks en maatregelen die passen bij jouw risicoprofiel.
• Ondersteuning bij de vertaling van bevindingen naar een realistisch verbeterplan.
• Begeleiding bij vervolgstappen, inclusief monitoring en hertoetsing.

Wil je weten waar jouw organisatie staat op het gebied van NIS2 compliance? Neem contact op en we bespreken samen hoe een volwassenheidsassessment eruitziet voor jouw situatie.