Wat betekent NIS2 voor toegangsbeheer en gebruikersrechten?

NIS2 stelt concrete eisen aan hoe organisaties toegang tot systemen en gegevens beheren en controleren. De richtlijn verplicht bedrijven om toegangsbeheer te baseren op het least privilege-principe, multifactorauthenticatie in te voeren en toegangsrechten regelmatig te beoordelen. Dit geldt voor alle organisaties die onder de NIS2-richtlijn vallen, waaronder een groot deel van het Nederlandse MKB. In dit artikel beantwoorden we de meest gestelde vragen over NIS2 en toegangsbeheer, van de basisvereisten tot de praktische uitvoering.

Welke eisen stelt NIS2 aan toegangsbeheer?

NIS2 verplicht organisaties om toegang tot netwerken, systemen en gegevens actief te beheren en te beperken op basis van zakelijke noodzaak. Concreet betekent dit dat je moet kunnen aantonen wie toegang heeft tot welke systemen, op welke gronden die toegang is verleend en hoe je dit periodiek controleert. Toegangsbeheer is een kernelement van de risicobeheersmaatregelen die NIS2 voorschrijft.

De eisen zijn niet willekeurig. NIS2 is gebaseerd op het principe dat ongecontroleerde toegang een van de grootste risicofactoren is bij cyberincidenten. Wanneer een medewerker te veel rechten heeft, kan een aanvaller via dat account aanzienlijke schade aanrichten. NIS2 wil dit risico structureel terugdringen.

De belangrijkste eisen op het gebied van toegangsbeheer zijn:

• Identiteits- en toegangsbeheer (IAM): je moet bijhouden wie toegang heeft tot welke systemen en applicaties.
• Least privilege: gebruikers krijgen alleen de rechten die ze strikt nodig hebben voor hun functie.
• Multifactorauthenticatie (MFA): toegang tot kritieke systemen moet worden beveiligd met meer dan alleen een wachtwoord.
• Periodieke toegangsbeoordelingen: toegangsrechten moeten regelmatig worden gecontroleerd en bijgewerkt.
• Logging en monitoring: je moet kunnen aantonen wie wanneer toegang heeft gehad en welke acties zijn uitgevoerd.

Voor MKB-bedrijven betekent dit dat toegangsbeheer niet langer iets is wat je ad hoc regelt bij het aanmaken van een account. Het vraagt om een structurele aanpak met duidelijke processen en verantwoordelijkheden.

Wat is het least privilege-principe en waarom verplicht NIS2 het?

Het least privilege-principe houdt in dat elke gebruiker, elk systeem en elke applicatie alleen de minimale toegangsrechten krijgt die nodig zijn om de betreffende taak uit te voeren, en niet meer. NIS2 verplicht dit principe omdat het de schade bij een beveiligingsincident aanzienlijk beperkt: een aanvaller die een account overneemt, kan dan alleen doen wat die gebruiker ook mocht doen.

In de praktijk zien we bij veel organisaties het tegenovergestelde: medewerkers hebben brede toegangsrechten die ooit werden toegekend voor een specifiek project en nooit zijn ingetrokken. Of beheerders gebruiken hun beheerdersaccount ook voor dagelijkse taken zoals e-mail en browsen. Dit zijn precies de situaties die NIS2 wil aanpakken.

Het toepassen van least privilege vraagt om een bewuste keuze bij elke toegangsverlening:

• Welke systemen en gegevens heeft deze medewerker daadwerkelijk nodig?
• Is tijdelijke toegang voldoende, of is permanente toegang gerechtvaardigd?
• Heeft deze gebruiker leesrechten nodig, of ook schrijf- en verwijderrechten?
• Zijn er aparte beheerdersaccounts voor IT-medewerkers met verhoogde rechten?

Door deze vragen structureel te stellen bij het inrichten van toegang, verklein je het aanvalsoppervlak van je organisatie. NIS2 maakt dit geen vrijblijvende best practice, maar een afdwingbare verplichting.

Hoe verschilt NIS2 van de oude NIS-richtlijn op het gebied van gebruikersrechten?

De originele NIS-richtlijn uit 2016 bevatte geen specifieke vereisten voor toegangsbeheer en gebruikersrechten. NIS2, van kracht sinds oktober 2024, introduceert voor het eerst expliciete verplichtingen op dit gebied, waaronder least privilege, MFA en periodieke toegangsbeoordelingen. Dit is een van de meest ingrijpende uitbreidingen ten opzichte van de vorige richtlijn.

Naast de inhoudelijke uitbreiding is ook de reikwijdte van NIS2 groter. De oude richtlijn gold voor een beperkte groep aanbieders van essentiële diensten. NIS2 trekt de grens veel breder: meer sectoren, meer organisaties en ook de toeleveringsketen vallen nu onder de regels. Veel MKB-bedrijven die eerder buiten de scope vielen, moeten nu aan de NIS2-eisen voldoen.

Een ander verschil is de verantwoordelijkheid van het management. Onder NIS2 zijn directeuren en bestuurders persoonlijk aansprakelijk voor het naleven van de beveiligingsvereisten, inclusief toegangsbeheer. Dat was onder de oude richtlijn niet het geval. Dit geeft toegangsbeheer een veel zwaarder gewicht binnen de organisatie.

Moet MFA verplicht worden ingevoerd onder NIS2?

Ja, NIS2 verplicht het gebruik van multifactorauthenticatie voor toegang tot kritieke systemen, netwerken en gegevens. MFA is een van de technische maatregelen die de richtlijn expliciet noemt als onderdeel van een adequaat beveiligingsniveau. Organisaties die onder NIS2 vallen, moeten MFA implementeren voor alle accounts met toegang tot gevoelige of kritieke omgevingen.

MFA voegt een extra verificatiestap toe bovenop een wachtwoord. Zelfs als een aanvaller een wachtwoord bemachtigt, kan hij zonder de tweede factor niet inloggen. Dit maakt MFA een van de meest effectieve maatregelen tegen accountovername, phishing en credential stuffing.

In de praktijk betekent NIS2-compliance op het gebied van MFA het volgende:

• MFA is verplicht voor toegang tot bedrijfsnetwerken, zeker via remote access en VPN.
• Beheerdersaccounts met verhoogde rechten moeten altijd met MFA worden beveiligd.
• Cloudomgevingen en SaaS-applicaties met bedrijfskritische data vallen ook onder de MFA-verplichting.
• Wachtwoorden alleen zijn niet meer voldoende als beveiligingsmaatregel voor systemen die onder NIS2 vallen.

Wij werken bij NTNT met Cisco Duo als MFA-oplossing. Cisco Duo maakt het eenvoudig om MFA in te richten voor zowel on-premise als cloudomgevingen, zonder dat medewerkers er veel gedoe van merken. Gebruiksgemak en beveiliging gaan daarin goed samen.

Hoe voer je een toegangsbeoordeling uit die voldoet aan NIS2?

Een NIS2-conforme toegangsbeoordeling is een gestructureerd proces waarbij je periodiek controleert of alle gebruikers nog de juiste rechten hebben, overbodige rechten intrekt en de bevindingen documenteert. De beoordeling moet aantoonbaar zijn: je moet kunnen laten zien dat je dit doet, wanneer je het hebt gedaan en wat de uitkomsten waren.

Een effectieve toegangsbeoordeling voer je uit in een aantal stappen:

1. Inventariseer alle accounts: maak een overzicht van alle gebruikersaccounts, serviceaccounts en beheerdersaccounts binnen je organisatie.
2. Koppel accounts aan functies: controleer of elk account nog hoort bij een actieve medewerker en of de toegangsrechten nog passen bij de huidige functie.
3. Beoordeel de rechten: ga per account na of de toegangsrechten in lijn zijn met het least privilege-principe. Zijn er rechten die niet meer nodig zijn?
4. Verwijder of pas aan: trek overbodige rechten in, deactiveer accounts van ex-medewerkers en pas rechten aan waar de functie is veranderd.
5. Documenteer de uitkomsten: leg vast wie de beoordeling heeft uitgevoerd, wanneer dit is gedaan en welke wijzigingen zijn doorgevoerd.
6. Stel een herhaalfrequentie in: voer de beoordeling minimaal jaarlijks uit, bij voorkeur elk kwartaal voor accounts met verhoogde rechten.

Een veelgemaakte fout is dat toegangsbeoordelingen worden uitgevoerd zonder duidelijke eigenaren. Bepaal vooraf wie verantwoordelijk is voor het beoordelen van de rechten per afdeling of systeem. Zonder die verantwoordelijkheid blijven beoordelingen papieren exercities.

Welke tools en systemen helpen bij NIS2-compliant toegangsbeheer?

Voor NIS2-compliant toegangsbeheer heb je tools nodig die identiteiten centraal beheren, toegang controleren, MFA afdwingen en logging mogelijk maken. De meest gebruikte categorieën zijn Identity and Access Management (IAM)-systemen, privileged access management (PAM)-tools en MFA-oplossingen. De juiste combinatie hangt af van de omvang en complexiteit van je IT-omgeving.

Identiteits- en toegangsbeheer

IAM-systemen zoals Microsoft Entra ID (voorheen Azure AD) vormen voor veel MKB-bedrijven de basis van toegangsbeheer. Ze bieden centrale controle over wie toegang heeft tot welke applicaties en systemen, en maken het eenvoudig om rechten in te trekken wanneer een medewerker uit dienst gaat. Koppeling met HR-systemen zorgt ervoor dat accounts automatisch worden aangemaakt en verwijderd op basis van dienstverband.

MFA en wachtwoordbeheer

Naast een IAM-systeem heb je een betrouwbare MFA-oplossing nodig. Cisco Duo integreert goed met de meeste omgevingen en is gebruiksvriendelijk voor medewerkers. Voor wachtwoordbeheer werken wij met Keeper, een wachtwoordmanager die medewerkers helpt sterke en unieke wachtwoorden te gebruiken zonder dat ze die zelf hoeven te onthouden. Sterke wachtwoorden in combinatie met MFA vormen een solide basis voor NIS2-compliant toegangsbeheer.

Wat zijn de gevolgen als toegangsbeheer niet voldoet aan NIS2?

Organisaties die niet voldoen aan de NIS2-eisen voor toegangsbeheer riskeren aanzienlijke boetes, reputatieschade en persoonlijke aansprakelijkheid van het management. De toezichthouder kan bij ernstige overtredingen boetes opleggen tot 10 miljoen euro of 2% van de wereldwijde jaaromzet voor essentiële entiteiten. Voor belangrijke entiteiten liggen de maxima op 7 miljoen euro of 1,4% van de omzet.

Naast de financiële gevolgen zijn er operationele risico’s. Slecht toegangsbeheer vergroot de kans op een succesvolle cyberaanval aanzienlijk. Bij een incident waarbij blijkt dat onvoldoende maatregelen waren getroffen, kan de toezichthouder ook tijdelijke beperkingen opleggen aan de bedrijfsactiviteiten. Voor bedrijven in kritieke sectoren kan dit ernstige gevolgen hebben.

Een aspect dat veel organisaties onderschatten, is de persoonlijke aansprakelijkheid van directeuren en bestuurders. NIS2 maakt het management direct verantwoordelijk voor het naleven van de beveiligingsvereisten. Dit betekent dat het niet langer voldoende is om IT-beveiliging volledig te delegeren aan de IT-afdeling zonder betrokkenheid op bestuursniveau.

Tot slot zijn er de indirecte gevolgen: klanten, partners en aanbestedende partijen vragen steeds vaker om aantoonbare NIS2-compliance. Wie niet kan laten zien dat toegangsbeheer op orde is, loopt het risico opdrachten mis te lopen of uit toeleveringsketens te worden gezet.

Hoe NTNT helpt met NIS2-compliant toegangsbeheer

NIS2 vertalen naar de dagelijkse praktijk is voor veel MKB-bedrijven een uitdaging. De eisen zijn duidelijk, maar de implementatie vraagt om kennis, tijd en de juiste tools. Bij NTNT helpen we je om toegangsbeheer concreet en beheersbaar te maken, zonder dat je er zelf alle technische details voor hoeft te kennen.

Wat wij voor je kunnen doen:

• Toegangsaudit: we brengen in kaart wie toegang heeft tot welke systemen en signaleren direct waar het misgaat.
• Implementatie van least privilege: we richten rechten opnieuw in op basis van functies en zakelijke noodzaak.
• MFA-uitrol: we implementeren Cisco Duo voor jouw organisatie, inclusief begeleiding van medewerkers.
• Wachtwoordbeheer: we zorgen voor een gecontroleerde uitrol van Keeper zodat iedereen veilig en eenvoudig met wachtwoorden omgaat.
• Periodieke toegangsbeoordelingen: we voeren beoordelingen uit en leveren de documentatie die je nodig hebt om compliance aan te tonen.
• Monitoring en logging: we zorgen dat toegangsactiviteiten worden bijgehouden en dat je bij een incident kunt aantonen wat er is gebeurd.

Wil je weten hoe jouw organisatie er nu voor staat op het gebied van NIS2 en toegangsbeheer? Bekijk onze cybersecuritydiensten en ontdek hoe we je kunnen helpen om stap voor stap aan de NIS2-eisen te voldoen.