De NIS2-checklist: wat moet er staan

Gebruik deze checklist om te zien waar uw organisatie staat. Alles wat u niet kunt afvinken, is werk dat nog moet gebeuren. Bewaar bij elk punt het bewijs: dat dossier is precies wat de toezichthouder of een grote klant wil zien.

Basis

• We hebben vastgesteld of we essentiële of belangrijke entiteit zijn (check)
• We staan geregistreerd in het entiteitenregister (uitleg)
• Er is een verantwoordelijke aangewezen voor informatiebeveiliging
• Het bestuur heeft de aanpak formeel goedgekeurd en een training gevolgd

De tien maatregelen van de zorgplicht

• Risicoanalyse uitgevoerd en beveiligingsbeleid vastgesteld
• Incidentenprocedure: detecteren, afhandelen, leren
• Bedrijfscontinuïteit: back-ups, herstelplan, crisisbeheer
• Leveranciers beoordeeld op beveiliging (leveranciersverklaring)
• Beveiliging geregeld bij inkoop, ontwikkeling en onderhoud van systemen
• We meten of de maatregelen werken (evaluatie en audits)
• Medewerkers krijgen cyberhygiëne-training
• Beleid voor versleuteling van gevoelige gegevens
• Toegangsbeheer op orde: wie mag wat, en offboarding binnen 24 uur
• Multifactorauthenticatie en beveiligde communicatie ingericht

Per maatregel uitleg en documentsjablonen vindt u bij de 10 verplichte maatregelen.

Meldplicht

• We weten wat een meldplichtig incident is en wie er belt
• Het meldproces (24 uur, 72 uur, eindrapport) staat op papier en is geoefend

Documentatie

• Alle bovenstaande punten zijn vastgelegd in een actueel dossier
• Documenten hebben een eigenaar en een herzieningsdatum

Wat telt als bewijs

Een afgevinkt punt zonder bewijs is bij een controle niets waard. De toezichthouder vraagt niet of u iets doet, maar hoe u laat zien dat u het doet. Per onderdeel is dat iets anders.

Het patroon is steeds hetzelfde: een document, een datum en een naam. Beleid zonder vaststellingsdatum telt niet mee, en een plan dat nooit geoefend is, is geen aantoonbare maatregel.

In welke volgorde

Alles tegelijk aanpakken werkt niet. Deze volgorde levert het snelst een verdedigbaar dossier op, omdat u begint met de punten die het meest opvallen als ze ontbreken.

Eerste week

• Stel vast of u essentiële of belangrijke entiteit bent en leg die conclusie schriftelijk vast, met de onderbouwing.
• Registreer de organisatie. Dit is openbaar en het eerste wat gecontroleerd wordt.
• Wijs iemand aan die verantwoordelijk is. Niet per se een securityspecialist, wel iemand met mandaat.
• Print een meldkaart: wie belt wie, welk nummer, binnen hoeveel uur. Dit kost een half uur en dekt uw grootste acute risico.

Eerste maand

• Doe de risicoanalyse met mensen die de processen kennen, niet alleen met ICT.
• Stel het informatiebeveiligingsbeleid vast en laat het bestuur tekenen.
• Maak een lijst van kritieke leveranciers en kijk welke contracten al beveiligingsafspraken bevatten.
• Laat het bestuur de verplichte training volgen en leg vast dat het gebeurd is.

Eerste kwartaal

• Werk de tien maatregelen af en documenteer per maatregel wat u doet en waarom dat past bij uw omvang.
• Test uw herstelplan een keer echt: zet een back-up terug en klok hoe lang het duurde.
• Oefen het meldproces met een fictief incident.
• Plan de jaarlijkse herziening in en geef elk document een herzieningsdatum.

Fouten die we vaak zien

Beleid schrijven zonder het vast te stellen. Er ligt een keurig document, maar het bestuur heeft het nooit formeel goedgekeurd. Dan is het geen beleid, maar een voorstel.

De risicoanalyse door ICT laten doen. ICT kent de systemen, maar niet welk proces stilvalt als een systeem uitvalt en wat dat per dag kost. Zonder die kant is de analyse niet compleet.

Back-ups wel maken, nooit terugzetten. Dit is de meest voorkomende bevinding na een ransomware-incident. Een back-up die niet getest is, is een aanname.

Alleen naar de eigen organisatie kijken. De leveranciersmaatregel wordt het vaakst overgeslagen, terwijl juist daar in de praktijk de meeste incidenten binnenkomen.

Wat u NIET hoeft te doen

Rond deze wet wordt veel verkocht dat niet verplicht is. Het scheelt tijd en geld om te weten wat er niet in de wet staat.

• Geen certificaat. ISO 27001 of NEN 7510 is niet vereist. Handig als uw klanten erom vragen, maar geen wettelijke eis.
• Geen 24-uurs securitycentrum. Voor een middelgrote organisatie is dat niet evenredig en dus niet nodig.
• Geen jaarlijkse pentest. De wet vraagt dat u de effectiviteit meet, niet hoe. Een interne controle kan volstaan.
• Geen aparte securityfunctionaris in dienst. Er moet iemand verantwoordelijk zijn; dat mag een bestaande medewerker zijn.

Wat wel altijd moet: registreren, de tien maatregelen afdekken met een onderbouwing, kunnen melden binnen 24 uur, en een bestuur dat het aantoonbaar heeft vastgesteld.

Veelgestelde vragen

Hoe lang duurt het om deze checklist af te werken?

Voor een organisatie van 50 tot 250 medewerkers die al een normale ICT-omgeving heeft, is drie tot zes maanden realistisch, met een paar uur per week. Het schrijfwerk is niet het probleem; het afstemmen en formeel vaststellen kost de meeste doorlooptijd.

Moet ik alles zelf doen of kan ik het uitbesteden?

De documenten en de risicoanalyse kunt u zelf, mits u een structuur heeft om in te vullen. Wat u niet kunt uitbesteden is het bestuursbesluit en de kennis van uw eigen processen. Een adviseur die uw risicoanalyse schrijft zonder uw mensen te spreken, levert een document dat bij de eerste vraag omvalt.

Hoe vaak moet ik deze lijst opnieuw doorlopen?

Minstens jaarlijks, en verder bij elke wezenlijke verandering: een nieuwe kritieke leverancier, een migratie naar de cloud, een overname of een incident. Zet de jaarlijkse ronde in de agenda met een vaste maand.