Wat is de minimale documentatie die je nodig hebt voor NIS2?

Voor NIS2-compliance heb je minimaal een risicoanalyse, een informatiebeveiligingsbeleid, een incidentresponsplan, een bedrijfscontinuïteitsplan en documentatie over leveranciersbeveiliging nodig. Dit zijn de kernonderdelen die de wet expliciet vereist van organisaties die onder de NIS2-richtlijn vallen. In dit artikel beantwoorden we de meest gestelde vragen over NIS2-documentatie, zodat je precies weet waar je aan toe bent.

Welke documenten zijn verplicht onder NIS2?

Onder NIS2 zijn organisaties verplicht om een aantal specifieke beleidsdocumenten en procedures op te stellen en actueel te houden. De minimale NIS2-documentatie omvat een risicoanalyse en informatiebeveiligingsbeleid, een incidentrespons- en meldprocedure, een bedrijfscontinuïteits- en herstelplan, documentatie over beveiliging in de toeleveringsketen en een overzicht van toegangsbeheer en cryptografische maatregelen.

Naast deze kernstukken verwacht de toezichthouder dat je kunt aantonen dat het bestuur actief betrokken is bij cybersecurity. Dat betekent in de praktijk ook notulen of verslagen waaruit blijkt dat risico’s op directieniveau worden besproken en bewaakt. NIS2-vereisten gaan dus verder dan alleen technische documentatie: ze raken aan governance en aantoonbare verantwoordelijkheid.

Belangrijk om te weten: NIS2 schrijft niet altijd een exact format voor. Wat telt, is dat de documenten inhoudelijk compleet zijn, aansluiten op de werkelijke situatie van jouw organisatie en dat je ze kunt overleggen bij een audit of incident.

Wat is het verschil tussen NIS2-documentatie en ISO 27001-documentatie?

NIS2-documentatie is wettelijk verplicht en gericht op een minimale set van beheersmaatregelen die de overheid afdwingt. ISO 27001-documentatie is uitgebreider, systematischer en gericht op certificering via een onafhankelijke audit. NIS2 stelt de ondergrens vast; ISO 27001 biedt een volledig managementsysteem voor informatiebeveiliging.

In de praktijk betekent dit dat een organisatie die al ISO 27001-gecertificeerd is, grotendeels al voldoet aan de NIS2-documentatievereisten. De overlap is aanzienlijk: beide frameworks vragen om risicoanalyses, beleidsdocumenten, incidentprocedures en bewijs van managementbetrokkenheid.

Het grootste verschil zit in de diepgang en de formele structuur. ISO 27001 vereist een volledig Information Security Management System (ISMS) met een uitgebreide set van beheersmaatregelen, terwijl NIS2-compliance zich richt op specifieke, wettelijk omschreven onderwerpen. Voor organisaties die nog geen ISO 27001 hebben, biedt NIS2 een goede eerste stap richting een volwassen beveiligingsaanpak.

Hoe gedetailleerd moet een NIS2-risicoanalyse zijn?

Een NIS2-risicoanalyse moet gedetailleerd genoeg zijn om de belangrijkste dreigingen voor jouw organisatie te identificeren, de kans en impact ervan te beoordelen en de bijbehorende beheersmaatregelen te onderbouwen. Er is geen wettelijk voorgeschreven format, maar de analyse moet aantoonbaar systematisch en herhaalbaar zijn.

In de praktijk betekent dit dat je per relevant risico vastlegt: wat de dreiging is, welke kwetsbaarheden bestaan, wat de mogelijke impact is op de continuïteit of vertrouwelijkheid, en welke maatregel je hebt getroffen of gepland. Een simpele spreadsheet kan volstaan, mits de redenering helder is en de analyse periodiek wordt bijgewerkt.

Wat toezichthouders willen zien, is dat de risicoanalyse niet eenmalig is opgesteld en daarna in een la is verdwenen. NIS2-beleid vereist dat risico’s regelmatig worden herbeoordeeld, zeker na een incident, een grote organisatiewijziging of een nieuwe dreiging in de sector. Hoe gedetailleerd de analyse moet zijn, hangt ook samen met de omvang en complexiteit van jouw organisatie: een grote defensieleverancier heeft een diepgaandere analyse nodig dan een kleine dienstverlener.

Welke documentatie moeten defensieleveranciers extra bijhouden?

Defensieleveranciers moeten bovenop de standaard NIS2-documentatie aanvullende stukken bijhouden die aansluiten op het ABDO-kader (Algemene Beveiligingseisen voor Defensieopdrachten) en, vanaf 2026, de ABRO (Algemene Beveiligingseisen voor Rijksoverheidsopdrachten). Dit omvat onder meer documentatie over de omgang met gerubriceerde informatie, fysieke beveiligingsmaatregelen en de screening van medewerkers.

Concreet gaat het voor NIS2-defensieleveranciers om extra aandacht voor:

• Procedures voor het verwerken en opslaan van geclassificeerde of gevoelige defensie-informatie
• Documentatie van toegangscontroles tot beveiligde systemen en locaties
• Aantoonbaar beheer van de toeleveringsketen, inclusief beveiligingseisen aan onderaannemers
• Incidentmeldprocedures die aansluiten op de rapportagevereisten van de opdrachtgever (Defensie of Rijksoverheid)

Vanaf 1 januari 2026 gelden via de ABRO binnen de hele Rijksoverheid dezelfde beveiligingseisen voor opdrachten met risico’s voor de nationale veiligheid. Defensieleveranciers die al aan ABDO voldoen, zijn goed op weg, maar moeten controleren of hun documentatie ook de bredere ABRO-vereisten dekt. NIS2 Nederland versterkt deze eisen vanuit de Europese kant, waardoor de combinatie van NIS2 en ABDO/ABRO de standaard wordt voor serieuze defensiebedrijven.

Wie binnen de organisatie is verantwoordelijk voor de NIS2-documentatie?

Onder NIS2 ligt de eindverantwoordelijkheid voor de documentatie en de naleving bij het bestuur of de directie van de organisatie. Dit is een bewuste keuze van de wetgever: cybersecurity mag niet worden gedelegeerd naar alleen de IT-afdeling. Bestuurders kunnen persoonlijk aansprakelijk worden gesteld bij aantoonbare nalatigheid.

In de dagelijkse praktijk wordt de verantwoordelijkheid voor het opstellen, bijhouden en actualiseren van de NIS2-documentatie vaak belegd bij een CISO, een security officer of een compliance-functionaris. Kleinere organisaties die geen fulltime CISO kunnen aanstellen, kiezen steeds vaker voor een externe invulling van die rol.

Wat de wet in ieder geval vereist, is dat er een duidelijk aangewezen persoon of functie is die eigenaar is van de documentatie en die rapporteert aan de directie. Zorg dat dit formeel is vastgelegd, inclusief de frequentie van rapportage en de escalatieprocedure bij incidenten.

Hoe bewaar en beheer je NIS2-documentatie correct?

NIS2-documentatie moet toegankelijk, actueel en aantoonbaar beheerd worden. Dat betekent dat documenten versiebeheer hebben, dat wijzigingen worden bijgehouden en dat duidelijk is wie een document heeft goedgekeurd en wanneer het voor het laatst is herzien.

Bewaar documenten op een beveiligde locatie met beperkte toegang: niet iedereen in de organisatie hoeft toegang te hebben tot de volledige risicoanalyse of het incidentresponsplan. Gebruik bij voorkeur een documentbeheersysteem dat audittrails bijhoudt, zodat je bij een controle kunt aantonen wanneer een document is aangepast en door wie.

Praktisch gezien zijn er twee zaken die organisaties vaak vergeten: het regelmatig testen van procedures (een incidentresponsplan dat nooit is geoefend, is weinig waard) en het actualiseren van documenten na organisatiewijzigingen. Stel een vaste reviewcyclus in, minimaal jaarlijks, en koppel die aan de uitkomsten van je periodieke risicoanalyse.

Wanneer moet je je NIS2-documentatie laten toetsen?

NIS2-documentatie moet minimaal jaarlijks intern worden gereviewd en na elk significant incident, elke grote organisatiewijziging of relevante nieuwe dreiging worden bijgewerkt. Een externe toetsing is verstandig bij de eerste implementatie en daarna periodiek, zeker als je organisatie onder toezicht staat of werkt voor de overheid of defensie.

Toezichthouders kunnen op elk moment om inzage vragen in je documentatie, zeker na een gemeld incident. Het is daarom verstandig om niet te wachten op een externe audit, maar zelf proactief te toetsen of de documentatie nog aansluit op de werkelijkheid. Een NIS2-gap-analyse is daarvoor een effectief startpunt: het brengt snel in kaart waar de documentatie tekortschiet.

Voor defensieleveranciers geldt extra waakzaamheid: de combinatie van NIS2, ABDO en de nieuwe ABRO-eisen maakt dat documentatie op meerdere fronten tegelijk actueel moet zijn. Een externe toetsing door een partij met ervaring in zowel NIS2-compliance als de defensiesector is daarbij geen luxe, maar een verstandige investering.

Hoe Hofsecure je helpt met NIS2-documentatie

Wij begrijpen dat het opstellen en bijhouden van de juiste NIS2-documentatie tijdrovend en complex kan zijn, zeker als je organisatie ook te maken heeft met ABDO- of ABRO-vereisten. Met meer dan 20 jaar ervaring bij defensiebedrijven weten we precies wat toezichthouders en opdrachtgevers verwachten. We helpen je op een praktische, no-nonsense manier:

• We starten met een gap-analyse om te bepalen welke documentatie al aanwezig is en wat er nog ontbreekt
• We stellen samen met jou de verplichte NIS2-beleidsdocumenten, risicoanalyses en procedures op
• We zorgen voor een actueel en beheersbaar documentatiesysteem dat past bij de omvang van jouw organisatie
• Via onze CISO-as-a-service blijven we betrokken, voeren we periodieke controles uit en houden we de documentatie actueel

Zo is NIS2-compliance geen eenmalig project, maar een continu en beheersbaar proces. Wil je weten waar jouw organisatie nu staat? Neem vrijblijvend contact met ons op en we vertellen je direct wat er nodig is.