Sinds de Cyberbeveiligingswet (de Nederlandse invulling van NIS2) van kracht is, willen veel MKB-organisaties weten waar ze staan. Deze zelfcheck helpt u daarbij: 38 aandachtspunten, verdeeld over acht categorieën, die samen de kern van de NIS2-zorgplicht raken. Per punt leggen we kort uit waarom het ertoe doet en wat NIS2 er ongeveer van verwacht.
Wat wij met "audit-ready" bedoelen
De Cyberbeveiligingswet werkt met toezicht en handhaving; er bestaat geen enkele generieke "NIS2-audit" die u moet halen. Met audit-ready bedoelen wij daarom: technisch aantoonbaar voorbereid op toetsing door een auditor, een klant in uw keten of een toezichthouder. Het gaat om kunnen laten zien dat maatregelen echt werken.
Hoe u deze lijst gebruikt
Loop de punten langs en vraag u per punt af: is dit geregeld, en kan ik dat aantonen? Kunt u een punt niet met "ja, en hier is het bewijs" beantwoorden, dan is dat een aandachtspunt. Dit is een zelfcheck ter oriëntatie, geen juridisch advies en geen vervanging van een formele beoordeling. Voor de vraag óf u onder de wet valt, verwijzen wij naar de officiële bronnen: NCSC en NCTV.
1. Governance & risico
Beveiliging begint met sturing: weten wat er op het spel staat en wie erover gaat. NIS2 legt de verantwoordelijkheid nadrukkelijk bij het bestuur.
- Scope bepaald: is vastgesteld of uw organisatie onder de Cyberbeveiligingswet valt (direct, of indirect via uw klanten in de keten)?
- Kritieke diensten: weet u welke dienstverlening absoluut niet mag uitvallen?
- Kroonjuwelen: welke data en systemen zijn essentieel voor die diensten?
- Risicoanalyse: is er een actuele cyberrisicoanalyse die deze inzichten koppelt aan concrete risico's?
- Risico-eigenaren: heeft elk belangrijk risico een eigenaar die er verantwoordelijk voor is?
- Bestuurlijke betrokkenheid: worden cyberrisico's aantoonbaar door directie of bestuur beoordeeld en de maatregelen door het bestuur goedgekeurd? NIS2 maakt dit een expliciete bestuursverantwoordelijkheid.
- Bestuurderstraining: hebben bestuurders training gevolgd om cyberrisico's en de genomen maatregelen te kunnen beoordelen? De Cyberbeveiligingswet bevat hiervoor een expliciete trainingsplicht.
2. Assets & toegang
U kunt niet beveiligen wat u niet kent, en de meeste incidenten beginnen bij toegang. Dit is vaak de grootste bron van bevindingen.
- Asset-inventarisatie: is bekend welke servers, endpoints, netwerkapparatuur, cloudresources en applicaties er zijn?
- Software- en SaaS-overzicht: weet u welke software en clouddiensten in gebruik zijn (inclusief de "schaduw-IT" die afdelingen zelf aanschaffen)?
- Centraal toegangsbeheer (IAM): worden gebruikers en rechten centraal beheerd in plaats van per systeem?
- Least privilege: heeft iedereen alleen de toegang die echt nodig is voor het werk?
- Privileged accounts: worden beheerdersaccounts apart en extra beveiligd?
- Joiner/Mover/Leaver: worden accounts en rechten tijdig aangepast bij instroom, functiewijziging en uitstroom?
- Sterke authenticatie: wordt multi-factor authenticatie toegepast waar dat nodig is, zeker voor beheer en externe toegang?
3. Technische beveiliging
De maatregelen die aanvallen daadwerkelijk moeilijker maken en de impact beperken.
- Patchmanagement: is er een proces én een termijn voor het uitrollen van securityupdates?
- Kwetsbaarhedenbeheer: wordt periodiek actief gezocht naar kwetsbaarheden in de omgeving?
- Hardening: zijn systemen ingericht volgens een veilige baseline in plaats van standaard-functioneel?
- Endpointbeveiliging: is er endpointbescherming (EDR) aanwezig én wordt die actief gemonitord?
- Netwerksegmentatie: zijn kritieke systemen afgescheiden van gebruikers en andere zones, zodat een incident zich niet vrij verspreidt?
- Firewalling: zijn firewallregels beheerd, gedocumenteerd en worden ze periodiek herzien?
- Encryptie: zijn gevoelige gegevens passend versleuteld, zowel tijdens transport als in opslag?
4. Detectie & incidenten
NIS2 kent een meldplicht met strakke termijnen. U kunt alleen tijdig melden wat u tijdig detecteert.
- Centrale logging: worden relevante securitylogs centraal verzameld?
- Monitoring: worden security-events ook daadwerkelijk beoordeeld, of staat logging alleen "aan"?
- Incident Response Plan: bestaat er een praktisch plan met rollen, verantwoordelijkheden en contactpersonen?
- Meldprocedure: kunt u snel bepalen of een incident meldplichtig is onder de Cyberbeveiligingswet, en weet u waar en binnen welke termijn u meldt?
- Oefenen: is het incidentplan recent getest, bijvoorbeeld met een tabletop-scenario?
5. Continuïteit
Beschikbaarheid is een kernonderdeel van de zorgplicht: kunt u herstellen als het misgaat?
- Back-ups: zijn kritieke systemen en data gedekt door back-ups?
- Back-upbeveiliging: zijn de back-ups voldoende geïsoleerd, zodat ze bij een ransomware-aanval niet meeversleuteld worden?
- Restore-test: wordt daadwerkelijk getest of herstel uit back-up werkt? Een back-up die nooit is teruggezet, is een aanname.
- BCP/DR: zijn bedrijfscontinuïteit en disaster recovery beschreven én getest?
6. Leveranciers
NIS2 kijkt uitdrukkelijk naar de keten. Uw beveiliging is mede afhankelijk van uw leveranciers, en u kunt zelf eisen doorgelegd krijgen.
- Leveranciersoverzicht: zijn de kritieke IT-, cloud- en SaaS-leveranciers geïdentificeerd?
- Leveranciersrisico: worden de cybersecurityrisico's per kritieke leverancier beoordeeld?
- Contracten: staan beveiliging, incidentmelding, continuïteit en verantwoordelijkheden vastgelegd in de contracten?
- Periodieke review: worden kritieke leveranciers opnieuw beoordeeld, en niet alleen bij aanvang?
7. Mensen & aantoonbaarheid
Techniek alleen is niet genoeg. NIS2 verwacht dat maatregelen werken én dat u dat kunt laten zien.
- Awareness: krijgen medewerkers periodiek training in cybersecurity?
- Securitybeleid: zijn de essentiële securityprocessen formeel vastgelegd?
- Effectiviteit: wordt gecontroleerd of maatregelen in de praktijk daadwerkelijk werken?
- Bewijsvoering: kunt u van de bovenstaande maatregelen bewijsstukken laten zien? Dit is het punt waar het bij een controle uiteindelijk op aankomt.
Van zelfcheck naar zekerheid
Deze lijst geeft u een eerlijk beeld van waar u staat. De rode draad is aantoonbaarheid: de meeste organisaties hebben veel punten "grotendeels" geregeld, maar lopen vast op het laten zien van bewijs. Dat is precies waar een audit, of een toezichthouder, op doorvraagt.
Wilt u niet alleen weten wélke punten aandacht vragen, maar ze ook technisch aantoonbaar maken? Dan is de Audit-klaar Analyse de logische vervolgstap: een diepgaande technische beoordeling van uw omgeving, met concrete bevindingen, prioriteiten en bewijs. En wilt u eerst begrijpen hoe NIS2 zich verhoudt tot ISO 27001, lees dan NIS2 en ISO 27001: hoeveel werk is de stap echt?.
Zelfcheck gedaan en benieuwd naar de echte stand?
Wij vertalen deze punten naar een technische beoordeling van uw omgeving en maken de maatregelen aantoonbaar. Neem contact op voor een vrijblijvend gesprek.
← Terug naar NIS2 & de Cyberbeveiligingswet
← Terug naar de kennisbank