NIS2-checklist

Hoe je deze checklist gebruikt

Bovenaan deze pagina staat de lijst zelf: negenendertig punten in dertien groepen, met achter elk punt een verwijzing naar de plek waar de onderbouwing staat. Je vinkt af wat er al ligt. De vinkjes bewaart je eigen browser, dus ze verdwijnen zodra je een ander apparaat pakt en ze komen nooit bij ons terecht.

De eerste tien groepen volgen de onderwerpen die de richtlijn bij de zorgplicht opsomt. De laatste drie gaan over het bestuur, over melden en over aanmelden. Die drie staan los van de maatregelen zelf en worden daardoor het vaakst vergeten, terwijl er per stuk een eigen termijn of een eigen loket aan hangt.

Een vinkje betekent niet dat je klaar bent. Het betekent dat je iets kunt laten zien: een stuk met een datum eronder, een verslag van een test, een overzicht dat overeenkomt met de werkelijkheid. Kun je dat niet tonen, laat het punt dan open staan, ook als het in de praktijk allang goed loopt. Het verschil tussen die twee is precies wat een toezichthouder later wil zien.

Beleid, risico en incidenten

De eerste drie groepen hangen aan elkaar vast. Je bepaalt waar het mis kan gaan, je legt vast wat je daaraan doet en je regelt wat er gebeurt als het toch gebeurt. Losse maatregelen zonder die volgorde leveren wel werk op maar geen verhaal.

Bij beleid en risicoanalyse gaat het om twee dingen die vaak ontbreken. Ten eerste een methode: hoe kom je van een dreiging naar een cijfer of een categorie, en welk niveau accepteer je bewust zonder verdere maatregel. Ten tweede een vaststelling door het bestuur, met een datum. Een stuk dat alleen door de beveiligingsverantwoordelijke is getekend telt niet als besluit van de organisatie.

Bij incidentbehandeling telt vooral de aansluiting op de meldplicht. Detectie zonder iemand die erop reageert loopt dood, en een reactie zonder afspraak over wie de klok in de gaten houdt levert een te late melding op. Zet daarom in dezelfde procedure wie constateert, wie besluit dat het significant is en wie het bericht verstuurt.

Continuïteit is de groep waar het bewijs het makkelijkst te maken is en het vaakst wordt uitgesteld. Een back-up die nooit is teruggezet is een aanname. Een crisisplan dat nooit is geoefend ook. Beide leveren na een oefening van een halve dag een verslag op dat jaren meegaat als bewijs. Wat dat in tijd en geld kost, staat bij de kostenposten van de zorgplicht.

De keten: jouw leveranciers en jouw klanten

Groep vier is de enige waar het werk buiten je eigen organisatie ligt, en dat maakt hem traag. Je toetst je directe leveranciers aan je eigen eisen, je herhaalt dat periodiek en je legt de uitkomst vast. In de praktijk betekent dat bestaande afspraken openbreken, want de meeste contracten zijn geschreven voordat dit een eis was.

De keten heeft ook een andere kant. Lever je aan iemand die de wet wel moet volgen terwijl jij er zelf buiten blijft, dan bereikt dezelfde eis je via zijn contract, meestal als vragenlijst of als bijlage bij de overeenkomst. Wie wel en wie niet kwalificeert, loopt valt mijn organisatie onder de Cyberbeveiligingswet in vier stappen na.

Voor beide kanten geldt dezelfde besparing: leg het antwoord een keer goed vast in plaats van per klant of per leverancier opnieuw. Een vaste set antwoorden met verwijzingen naar je eigen bewijs scheelt bij elke volgende aanvraag een middag.

Techniek, toetsing en mensen

De groepen vijf tot en met tien lopen van inkoop tot inlogscherm. Ze zijn technischer dan de rest, maar het bewijs eronder is dat niet: het gaat steeds om een lijst die klopt, een afspraak die iemand nakomt of een meting die wordt herhaald.

Bij verwerving en ontwikkeling stel je je eisen voordat er getekend wordt, niet erna. Daar hangt kwetsbaarhedenbeheer aan vast: welke gaten staan open, wie kijkt ernaar en binnen hoeveel dagen gaan ze dicht. De publiek zichtbare kant daarvan kun je vandaag meten, zonder iemand in te huren.

Toetsen of maatregelen werken is het onderwerp dat organisaties met een managementsysteem al hebben ingericht en de rest zelden. Het hoeft geen audit te heten. Een periodieke beoordeling waarin iemand anders dan de uitvoerder naar de uitkomst kijkt en waarin het bestuur een besluit neemt, dekt de eis. Hoe dat samenvalt met een norm, staat bij NIS2 en ISO 27001.

De laatste drie groepen gaan over gedrag en toegang. Basistraining voor iedereen, met een registratie van wie hem heeft gevolgd. Cryptografie met vastgelegde keuzes in plaats van instellingen die ooit toevallig zo stonden. Een actueel overzicht van bedrijfsmiddelen, toegangsrechten die worden ingetrokken en multifactorauthenticatie op alles wat van buiten bereikbaar is. Geen van die punten is exotisch. Ze vragen alleen onderhoud, en dat is precies waarom ze in een lijst horen die je terugpakt.

Bestuur, melden en registreren

De laatste drie groepen kun je niet aan de techniek overlaten. Ze horen bij de leiding, bij de crisisorganisatie en bij de administratie.

Het bestuur heeft eigen taken: de maatregelen goedkeuren, zelf genoeg kennis hebben om ze te beoordelen, daarvoor een training met certificaat volgen en die kennis aantoonbaar bijhouden. Die eisen gelden per bestuurslid en niet per bestuur, en de uiterste datum voor de kenniseis is 15 augustus 2028. Wie later wordt benoemd, krijgt twee jaar vanaf de benoeming. Wat er op het certificaat hoort te staan en welke onderwerpen de training moet dekken, staat in wat het bestuur zelf moet doen onder NIS2.

De meldplicht kost geen invoeringsproject maar wel een besluit vooraf. Drie termijnen lopen bij een significant incident: een vroegtijdige waarschuwing binnen 24 uur, een incidentmelding binnen 72 uur en een eindrapport uiterlijk een maand na die melding. Meldingen gaan naar je CSIRT, en dat is niet automatisch dezelfde partij als je toezichthouder. Zoek beide op voordat je ze nodig hebt en zet naam plus contactgegevens in de procedure zelf. De volledige termijnentabel staat bij de meldplicht.

De registratie is de kortste klus op deze pagina en tegelijk degene die het vaakst blijft liggen, want niemand stuurt je een brief. Of je kwalificeert stel je zelf vast, net als de categorie waaronder dat gebeurt, en daarna meld je jezelf aan met je gegevens, je sector, je IP-adresbereiken en een beschrijving van je diensten. Daarna houd je die gegevens bij. Wat er precies wordt gevraagd, staat bij de registratieplicht.

Wat de toezichthouder hiervan wil zien

Een handhavingsbesluit valt niet uit de lucht. De wet schrijft voor waar de bevoegde autoriteit rekening mee houdt: de ernst en de duur van de overtreding, eerdere overtredingen, de schade, opzet of nalatigheid, de maatregelen die je nam om schade te beperken, de naleving van goedgekeurde gedragscodes of certificeringsmechanismen en de mate waarin je meewerkt. Die laatste twee zijn de enige die je op de dag van het onderzoek nog kunt beïnvloeden.

Dezelfde bepaling noemt vijf gevallen die in elk geval ernstig zijn. Drie daarvan gaan niet over de staat van je beveiliging maar over je gedrag richting de toezichthouder: een incident niet melden of niet verhelpen, een bindende aanwijzing niet opvolgen en onjuiste informatie verstrekken over je zorgplicht of je meldplicht. Wie zijn incident meldt, een aanwijzing opvolgt en de toezichthouder juist informeert, blijft buiten die drie.

Er zit ook een volgorde in. Een boete mag alleen samen met of na een waarschuwing of een ander instrument, dus het eerste gesprek gaat over herstel en niet over geld. Bij een essentiële entiteit mag de toezichthouder proactief langskomen, bij een belangrijke entiteit pas als er een aanwijzing van een overtreding is. Welke instrumenten op die ladder staan en wie er behalve de entiteit nog kan worden beboet, staat in NIS2-boetes en aansprakelijkheid.

Van afvinken naar bewijs

Een lijst is een begin. Wat een toezichthouder, een klant of een auditor vraagt is het bewijs achter elk vinkje, en dat bewijs verzamelt zich niet vanzelf op een plek waar je het terugvindt.

Het goedkoopste stuk kun je nu meteen doen. Onze gratis domeinscan kijkt naar wat je servers en je DNS nu al prijsgeven: het certificaat, de beveiligingsheaders, DNSSEC en de instellingen rond je e-mail. Per uitkomst zie je voor welke norm die meetelt als bewijs. Dat dekt de buitenkant van groep vijf, acht en tien, zonder account en zonder afspraak.

De rest is werk met een volgorde. Wil je zien hoeveel dat er is voordat je iemand inhuurt, reken het dan door zonder account. Wil je de punten van deze lijst met het bewijs eronder op een vaste plek hebben, dan is dat precies wat het platform doet: per onderwerp de openstaande taak, de eigenaar en het document dat het afdekt.