Hoe weet je of je beveiligingsmaatregelen voldoende zijn voor NIS2?

Je beveiligingsmaatregelen zijn voldoende voor NIS2 als ze aantoonbaar voldoen aan de technische en organisatorische eisen uit de richtlijn, waaronder risicoanalyse, incidentrespons, toegangsbeheer en continuïteitsplanning. De sleutel zit in aantoonbaarheid: het gaat niet alleen om wat je hebt geregeld, maar ook om wat je kunt bewijzen. De vragen hieronder helpen je stap voor stap te beoordelen waar je organisatie nu staat.

Welke concrete eisen stelt NIS2 aan beveiligingsmaatregelen?

NIS2 verplicht organisaties een breed pakket aan technische en organisatorische beveiligingsmaatregelen te treffen, gebaseerd op een risicogebaseerde aanpak. De richtlijn schrijft geen exacte tools voor, maar stelt wel duidelijke minimumvereisten op het gebied van risicobeheersing, beveiliging van netwerken en informatiesystemen, en bedrijfscontinuïteit.

De belangrijkste verplichte maatregelen zijn onder meer:

• Risicoanalyse en beleid voor informatiebeveiliging
• Incidentdetectie, -respons en meldplicht
• Beveiliging van de toeleveringsketen en leveranciersrelaties
• Toegangsbeheer, encryptie en authenticatie

Naast de technische kant legt NIS2 ook expliciete verantwoordelijkheid bij het bestuur van de organisatie. Directies en raden van bestuur zijn persoonlijk aansprakelijk voor de naleving van de richtlijn. Dat is een wezenlijke verschuiving ten opzichte van hoe cybersecurity voorheen werd behandeld: als een IT-vraagstuk in plaats van een bestuursverantwoordelijkheid. Voor defensieleveranciers geldt bovendien dat NIS2-eisen kunnen overlappen met de Algemene Beveiligingseisen voor Defensieopdrachten (ABDO), waardoor een geïntegreerde aanpak verstandig is.

Hoe verschilt NIS2 van de oorspronkelijke NIS-richtlijn?

NIS2 is een ingrijpende uitbreiding van de oorspronkelijke NIS-richtlijn uit 2016. Het grootste verschil is de reikwijdte: waar NIS zich beperkte tot een kleine groep aangewezen aanbieders van essentiële diensten, valt onder NIS2 een veel bredere groep organisaties, verdeeld in “essentiële” en “belangrijke” entiteiten.

Concreet zijn de belangrijkste verschillen:

• Meer sectoren vallen onder de richtlijn, waaronder defensiegerelateerde toeleveringsketens, digitale infrastructuur en maakindustrie
• Strengere en geharmoniseerde sancties binnen de EU
• Expliciete bestuursaansprakelijkheid voor naleving
• Kortere meldtermijnen bij incidenten

Ook de handhaving is aangescherpt. Onder NIS was toezicht gefragmenteerd en inconsistent per lidstaat. NIS2 verplicht lidstaten tot actief toezicht en legt minimumnormen vast voor sancties. Voor organisaties die al werkten aan NIS2-compliance is dit een signaal dat vrijblijvendheid er niet meer bij is.

Wat zijn de meest voorkomende tekortkomingen bij NIS2-compliance?

De meest voorkomende tekortkoming bij NIS2-compliance is het ontbreken van een gedocumenteerde en actuele risicoanalyse. Veel organisaties hebben technische maatregelen getroffen, maar kunnen niet aantonen dat deze gebaseerd zijn op een systematische beoordeling van risico’s. Aantoonbaarheid is onder NIS2 net zo belangrijk als de maatregelen zelf.

Andere veelvoorkomende knelpunten zijn het ontbreken van een formeel incidentresponsplan, onvoldoende zicht op de beveiliging van leveranciers en ketenpartners, en het feit dat beveiligingsbeleid wel op papier staat maar in de praktijk niet wordt nageleefd. Dat laatste is een punt dat in audits keer op keer terugkomt: processen zijn gedocumenteerd, maar medewerkers handelen er niet naar.

Een ander aandachtspunt is de toeleveringsketen. NIS2 verplicht organisaties expliciet om de cybersecurityrisico’s van hun leveranciers te beoordelen. Voor defensieleveranciers is dit extra relevant, omdat zwakke schakels in de keten directe gevolgen kunnen hebben voor de nationale veiligheid en contractuele geschiktheid.

Hoe meet je of je huidige beveiligingsniveau NIS2-proof is?

Je meet of je beveiligingsniveau NIS2-proof is door een gestructureerde gap-analyse uit te voeren: een vergelijking tussen je huidige beveiligingsmaatregelen en de eisen die NIS2 stelt. Dit geeft een helder beeld van waar je staat en welke stappen je nog moet zetten.

Een goede meting bestaat uit meerdere lagen. Technische scans brengen kwetsbaarheden in systemen en netwerken in kaart. Documentatiereviews toetsen of beleid, procedures en risicoanalyses aanwezig en actueel zijn. Interviews met medewerkers en management laten zien of processen ook in de praktijk worden gevolgd. Juist die menselijke kant wordt in zelfbeoordelingen vaak onderschat.

Een onafhankelijke toetsing geeft meer zekerheid dan een interne beoordeling. Een externe partij kijkt zonder vooringenomenheid en signaleert blinde vlekken die intern over het hoofd worden gezien. Het resultaat is geen wollig rapport, maar een concreet overzicht van risico’s en verbeterpunten waar je direct mee aan de slag kunt. Voor organisaties die ook werken aan ISO 27001-certificering geldt dat de gap-analyse voor beide trajecten grotendeels dezelfde input levert.

Wanneer moet je een incident melden onder NIS2?

Onder NIS2 ben je verplicht een significant incident binnen 24 uur na ontdekking te melden bij de bevoegde nationale autoriteit, gevolgd door een gedetailleerder rapport binnen 72 uur. Een volledig eindrapport volgt binnen een maand. Deze termijnen zijn strikter dan onder de oude NIS-richtlijn en vereisen dat je incidentresponsprocessen goed zijn ingericht.

Een incident is “significant” als het de dienstverlening ernstig verstoort of kan verstoren, of als het gevolgen heeft voor andere organisaties of personen. Denk aan ransomware-aanvallen, grootschalige datalekken of langdurige uitval van kritieke systemen. De beoordeling of een incident meldplichtig is, moet snel kunnen worden gemaakt, wat vraagt om een vooraf vastgesteld intern escalatieproces.

Organisaties die geen incidentresponsplan hebben, lopen het risico de meldtermijnen te overschrijden, wat op zichzelf al een overtreding is. Het is dus niet genoeg om incidenten te kunnen detecteren; je moet ook weten wie wat doet in de eerste uren na ontdekking.

Wat zijn de sancties als je niet voldoet aan NIS2?

Bij niet-naleving van NIS2 kunnen toezichthouders boetes opleggen tot 10 miljoen euro of 2% van de wereldwijde jaaromzet voor essentiële entiteiten, en tot 7 miljoen euro of 1,4% van de omzet voor belangrijke entiteiten. Naast financiële sancties kunnen toezichthouders ook tijdelijke beperkingen opleggen aan de bedrijfsvoering.

Voor defensieleveranciers zijn de indirecte gevolgen minstens zo zwaar. Niet-naleving kan leiden tot verlies van contractuele geschiktheid voor overheidsopdrachten, reputatieschade en uitsluiting van aanbestedingen. Zeker nu per 1 januari 2026 ook de Algemene Beveiligingseisen voor Rijksoverheidsopdrachten (ABRO) van kracht zijn, waarbij binnen de hele Rijksoverheid dezelfde beveiligingseisen gelden, wordt compliance steeds meer een basisvoorwaarde om überhaupt in aanmerking te komen voor overheidscontracten.

Wie is verantwoordelijk voor NIS2-naleving binnen een organisatie?

Onder NIS2 is het bestuur van de organisatie eindverantwoordelijk voor naleving. Directeuren en bestuurders zijn persoonlijk aansprakelijk en kunnen bij ernstige nalatigheid tijdelijk worden uitgesloten van leidinggevende functies. Dit maakt NIS2-compliance een bestuursvraagstuk, niet alleen een IT-verantwoordelijkheid.

In de praktijk betekent dit dat het bestuur moet aantonen dat het actief betrokken is bij het cybersecuritybeleid: door risicoanalyses goed te keuren, incidentresponsplannen vast te stellen en periodiek te evalueren of de maatregelen nog toereikend zijn. De uitvoering ligt doorgaans bij een CISO of IT-verantwoordelijke, maar de eindverantwoordelijkheid kan niet worden gedelegeerd.

Voor organisaties zonder interne CISO is een “CISO as a service”-constructie een praktische oplossing. Hiermee beschik je over de benodigde expertise en aansturing zonder een fulltime functie te hoeven invullen, terwijl het bestuur toch aantoonbaar invulling geeft aan zijn verantwoordelijkheid onder NIS2.

Hoe helpt Hofsecure bij NIS2-compliance

Wij helpen organisaties concreet te bepalen of hun beveiligingsmaatregelen voldoen aan de NIS2-eisen, en wat er nog nodig is om volledig compliant te worden. Met meer dan 20 jaar ervaring bij defensiebedrijven en andere hoogrisicosectoren weten we precies waar de knelpunten zitten en hoe je die praktisch oplost, zonder wollige rapporten of vage adviezen.

Wat wij bieden:

• Een gap-analyse die helder in kaart brengt waar je nu staat ten opzichte van de NIS2-eisen
• Een concreet actieplan dat IT dezelfde dag kan oppakken
• Ondersteuning bij incidentrespons, risicoanalyse en leveranciersbeoordeling
• CISO as a service voor organisaties zonder interne beveiligingsexpert

Cybersecurity hoeft geen last te zijn. Met de juiste aanpak wordt het een aantoonbaar concurrentievoordeel, zeker als je opereert in de defensie- of overheidssector. Wil je weten hoe jouw organisatie er nu voor staat? Neem vrijblijvend contact op en ontdek in een gesprek wat er nodig is om NIS2-proof te worden.