Een meerjarenplan voor NIS2-compliance stel je op door eerst een gap-analyse te doen, vervolgens prioriteiten te stellen op basis van risico, en de implementatie te spreiden over meerdere jaren met duidelijke mijlpalen. Voor de meeste MKB-bedrijven duurt een volledig NIS2-traject twee tot drie jaar. Dit artikel beantwoordt de meest gestelde vragen over NIS2-compliance, zodat je weet waar je staat en wat je volgende stap is.
Wat zijn de belangrijkste verplichtingen onder NIS2?
De NIS2-richtlijn verplicht organisaties om maatregelen te nemen op het gebied van risicobeheer, incidentmelding, beveiliging van de toeleveringsketen en bedrijfscontinuïteit. Concreet betekent dit dat je aantoonbaar beleid moet voeren op het gebied van informatiebeveiliging en dat je ernstige incidenten binnen 24 uur moet melden bij de bevoegde autoriteit.
De verplichtingen vallen uiteen in vier hoofdgebieden:
- Risicobeheer: Je moet risico’s systematisch identificeren, beoordelen en beheersen. Dit omvat technische maatregelen zoals encryptie en toegangsbeheer, maar ook organisatorische maatregelen zoals beveiligingsbeleid en bewustwording bij medewerkers.
- Incidentmelding: Significante incidenten moeten binnen 24 uur gemeld worden, met een volledig rapport binnen 72 uur. Na een maand volgt een eindrapportage.
- Ketenbeveiliging: Je bent verantwoordelijk voor de beveiliging van je toeleveringsketen. Dit betekent dat je ook eisen stelt aan de beveiliging van leveranciers en partners.
- Bedrijfscontinuïteit: Je hebt aantoonbare plannen nodig voor herstel na een incident, inclusief back-upbeheer en noodprocedures.
Bestuurders zijn persoonlijk aansprakelijk voor naleving. Dat maakt NIS2 fundamenteel anders dan eerdere richtlijnen: het is geen zaak van de IT-afdeling alleen, maar van de volledige directie.
Welke organisaties vallen onder de NIS2-richtlijn?
NIS2 is van toepassing op organisaties in sectoren die als essentieel of belangrijk worden aangemerkt, met meer dan 50 medewerkers of een jaaromzet boven de 10 miljoen euro. Denk aan energie, transport, gezondheidszorg, digitale infrastructuur, financiële dienstverlening en overheidsinstanties. Kleinere bedrijven kunnen ook onder de richtlijn vallen als ze kritieke diensten leveren.
De richtlijn maakt onderscheid tussen twee categorieën:
- Essentiële entiteiten: Grote organisaties in sectoren zoals energie, drinkwater, transport en gezondheidszorg. Zij vallen onder strenger toezicht en hogere boetes.
- Belangrijke entiteiten: Middelgrote organisaties in sectoren zoals post en koeriers, afvalbeheer, chemie en digitale diensten. Zij vallen onder lichter proactief toezicht, maar moeten wel aan dezelfde basisvereisten voldoen.
Zelfs als je organisatie formeel buiten de reikwijdte valt, kun je als toeleverancier van een NIS2-plichtige organisatie indirect verplicht worden om aan vergelijkbare eisen te voldoen. Het is dus verstandig om altijd te controleren of jouw positie in de keten extra verplichtingen met zich meebrengt.
Hoe lang duurt een NIS2-implementatietraject gemiddeld?
Een NIS2-implementatietraject duurt voor de meeste MKB-organisaties gemiddeld twee tot drie jaar. De exacte doorlooptijd hangt af van de omvang van de organisatie, het huidige volwassenheidsniveau van de beveiliging en de beschikbare middelen. Organisaties die al werken met een framework zoals ISO 27001 of BIO kunnen aanzienlijk sneller schakelen.
In de praktijk ziet een realistisch tijdpad er als volgt uit:
- Jaar 1: Gap-analyse uitvoeren, prioriteiten bepalen, directie betrekken en de meest urgente technische maatregelen treffen.
- Jaar 2: Beleid formaliseren, medewerkers trainen, leveranciers beoordelen en incidentresponsprocessen inrichten.
- Jaar 3: Verfijnen, testen, audits uitvoeren en het systeem borgen in de dagelijkse bedrijfsvoering.
Probeer het traject niet te comprimeren tot enkele maanden. NIS2-compliance is geen eenmalig project, maar een doorlopend proces. Een te snelle implementatie leidt vaak tot papieren beleid dat in de praktijk niet werkt.
Welke stappen bevat een meerjarenplan voor NIS2?
Een meerjarenplan voor NIS2 bevat zes kernstappen: een nulmeting, een gap-analyse, prioritering op basis van risico, implementatie van maatregelen, training en bewustwording, en tot slot continue monitoring en verbetering. Elke stap bouwt voort op de vorige en vormt samen een beheersbaar en aantoonbaar compliance-traject.
Uitgewerkt ziet het plan er zo uit:
- Nulmeting: Breng in kaart welke systemen, processen en gegevens je beheert en welke risico’s daarmee samenhangen.
- Gap-analyse: Vergelijk jouw huidige situatie met de NIS2-vereisten en identificeer de lacunes.
- Prioritering: Rangschik de gevonden gaps op basis van risico en impact. Pak de hoogste risico’s als eerste aan.
- Implementatie: Voer technische en organisatorische maatregelen door, gefaseerd over meerdere kwartalen.
- Training en bewustwording: Zorg dat medewerkers begrijpen wat NIS2 betekent voor hun dagelijkse werk en hoe ze incidenten herkennen en melden.
- Monitoring en verbetering: Richt een structureel proces in voor periodieke beoordeling, interne audits en bijsturing.
Leg alle stappen en beslissingen schriftelijk vast. Aantoonbaarheid is onder NIS2 net zo belangrijk als de maatregelen zelf.
Hoe stel je een NIS2-gap-analyse op?
Een NIS2-gap-analyse stel je op door de huidige staat van jouw informatiebeveiliging systematisch te vergelijken met de vereisten uit de richtlijn. Je brengt per vereiste in kaart wat er al geregeld is, wat ontbreekt en hoe groot het risico is van de geconstateerde lacune. Het resultaat is een overzicht van prioriteiten dat als basis dient voor jouw implementatieplan.
Wat neem je mee in de analyse?
Een goede gap-analyse dekt minimaal de volgende gebieden:
- Toegangsbeheer en authenticatie (inclusief meerfactorauthenticatie)
- Patch- en kwetsbaarheidsbeheer
- Netwerksegmentatie en monitoring
- Back-up- en herstelprocessen
- Incidentrespons en meldprocedures
- Leveranciersbeoordeling en contractuele afspraken
- Beveiligingsbeleid en documentatie
Hoe voer je de analyse praktisch uit?
Gebruik een gestructureerde vragenlijst gebaseerd op de NIS2-tekst of een erkend framework zoals ISO 27001 of de CIS Controls. Betrek zowel de IT-verantwoordelijke als de directie bij de analyse, omdat een deel van de vereisten betrekking heeft op governance en beleid. Documenteer de bevindingen per domein en ken aan elke gap een risicoklasse toe: hoog, middel of laag. Op basis van die classificatie stel je vervolgens de volgorde van aanpak vast.
Wat kost NIS2-compliance voor een MKB-bedrijf?
De kosten van NIS2-compliance voor een MKB-bedrijf variëren sterk, maar liggen doorgaans tussen de enkele duizenden en tienduizenden euro’s per jaar, afhankelijk van de huidige beveiligingssituatie, de omvang van de organisatie en de gekozen aanpak. Organisaties die al investeren in basisbeveiliging betalen minder dan organisaties die vrijwel van nul beginnen.
De kosten zijn opgebouwd uit verschillende componenten:
- Technische maatregelen: Denk aan tools voor monitoring, endpointbeveiliging, meerfactorauthenticatie en back-upbeheer. Dit zijn vaak terugkerende licentiekosten.
- Advies en begeleiding: Een externe partij inschakelen voor de gap-analyse en implementatiebegeleiding kost tijd en geld, maar voorkomt dure fouten.
- Training: Bewustwordingstraining voor medewerkers is een vereiste en vergt een structurele investering.
- Documentatie en beleid: Het opstellen en onderhouden van beleidsdocumenten vraagt interne uren of externe ondersteuning.
Zet de kosten af tegen de potentiële boetes en schade bij een incident. NIS2-boetes voor essentiële entiteiten kunnen oplopen tot 10 miljoen euro of 2% van de wereldwijde jaaromzet. Voor een MKB-bedrijf is preventieve investering vrijwel altijd goedkoper dan de gevolgen van niet-naleving.
Wie is verantwoordelijk voor NIS2-naleving binnen een organisatie?
Onder NIS2 is de directie eindverantwoordelijk voor naleving. Bestuurders kunnen persoonlijk aansprakelijk worden gesteld als de organisatie aantoonbaar tekortschiet in het naleven van de richtlijn. Dit betekent dat NIS2-compliance niet gedelegeerd kan worden aan de IT-afdeling zonder actieve betrokkenheid van het management.
In de praktijk verdeel je de verantwoordelijkheid als volgt:
- Directie: Stelt het beveiligingsbeleid vast, keurt het meerjarenplan goed en draagt de eindverantwoordelijkheid bij toezicht en handhaving.
- IT-verantwoordelijke of CISO: Vertaalt het beleid naar concrete maatregelen, voert de gap-analyse uit en rapporteert aan de directie.
- Medewerkers: Volgen het vastgestelde beleid op, melden verdachte situaties en nemen deel aan bewustwordingstraining.
- Leveranciers: Worden contractueel gehouden aan beveiligingseisen die aansluiten op jouw NIS2-verplichtingen.
Kleinere MKB-bedrijven zonder eigen CISO kunnen deze rol beleggen bij een externe IT-partner. Zorg er dan wel voor dat de verantwoordelijkheden contractueel helder zijn en dat de directie aantoonbaar betrokken blijft.
Hoe houd je een NIS2-plan actueel na de initiële implementatie?
Je houdt een NIS2-plan actueel door minimaal jaarlijks een herziening in te plannen, waarbij je het dreigingslandschap, wijzigingen in de regelgeving en de uitkomsten van interne audits meeneemt. NIS2-compliance is geen eindpunt, maar een cyclisch proces van beoordelen, bijsturen en verbeteren.
Concrete maatregelen om je plan levend te houden:
- Periodieke risicobeoordelingen: Voer minimaal één keer per jaar een risicoanalyse uit en actualiseer je maatregelen op basis van nieuwe dreigingen of veranderingen in je IT-omgeving.
- Interne audits: Test of de afgesproken maatregelen daadwerkelijk werken. Papieren beleid dat niet getoetst wordt, biedt geen bescherming.
- Incidentevaluaties: Analyseer elk beveiligingsincident, hoe klein ook, en gebruik de bevindingen om je plan te verbeteren.
- Leveranciersmonitoring: Controleer regelmatig of jouw leveranciers nog voldoen aan de beveiligingseisen die je hebt afgesproken.
- Bewustwording bijhouden: Herhaal trainingen en simulaties, zodat medewerkers alert blijven op phishing en andere dreigingen.
Wijs iemand aan die het plan beheert en rapportages verzorgt richting de directie. Zonder een eigenaar verwatert het plan al snel na de eerste implementatiefase.
Hoe NTNT jou helpt met NIS2-compliance
NIS2 vraagt om meer dan een technische checklist. Het vraagt om een doorlopend proces van risicobeheer, beleid, bewustwording en aantoonbaarheid. Dat is precies waar wij bij NTNT jou bij ondersteunen. Met meer dan 25 jaar ervaring in het begeleiden van MKB-bedrijven bij complexe IT-vraagstukken weten we hoe we compliance-trajecten praktisch en behapbaar maken.
Wat we concreet voor je doen:
- Een grondige gap-analyse uitvoeren op basis van de NIS2-vereisten
- Een meerjarenplan opstellen dat past bij jouw organisatiegrootte en budget
- Technische maatregelen implementeren, zoals cybersecurity-oplossingen voor monitoring, endpointbeveiliging en meerfactorauthenticatie
- Beleidsdocumenten en procedures opstellen die voldoen aan de aantoonbaarheidseisen
- Medewerkers trainen en bewust maken van hun rol in NIS2-naleving
- Jaarlijkse herzieningen uitvoeren zodat je plan actueel blijft
Wil je weten waar jouw organisatie nu staat ten opzichte van de NIS2-vereisten? Neem contact op met NTNT voor een vrijblijvend gesprek over jouw situatie.
