De 10 verplichte maatregelen, in gewone taal
De kern van de zorgplicht staat in artikel 21 van de NIS2-richtlijn: tien onderwerpen waarop elke plichtige organisatie passende maatregelen moet nemen. De wet schrijft niet voor hóe, wel dát u het regelt en kunt aantonen. Hieronder elk onderwerp in gewone taal, met het document dat erbij hoort.
| # | Maatregel | Wat het in de praktijk betekent | Document |
|---|---|---|---|
| 1 | Risicoanalyse en beveiligingsbeleid | Breng in kaart wat uw kritieke systemen zijn, wat er mis kan gaan en wat u daartegen doet | Risicoanalyse + informatiebeveiligingsbeleid |
| 2 | Incidentbehandeling | Een vaste procedure om aanvallen te herkennen, te stoppen en ervan te leren | Incidentresponsplan |
| 3 | Bedrijfscontinuïteit | Back-ups die werken, een herstelplan en afspraken wie wat doet in een crisis | Back-up- en continuïteitsplan |
| 4 | Beveiliging van de toeleveringsketen | Weet welke leveranciers toegang hebben tot uw systemen of data en beoordeel hun beveiliging | Leveranciersregister + verklaringen |
| 5 | Beveiliging bij inkoop en ontwikkeling | Beveiligingseisen meenemen bij nieuwe systemen, updates en onderhoud | Inkoop- en patchbeleid |
| 6 | Effectiviteit meten | Periodiek controleren of de maatregelen werken, bijvoorbeeld met een jaarlijkse evaluatie | Evaluatieverslag |
| 7 | Cyberhygiëne en training | Basisregels voor iedereen (wachtwoorden, phishing, updates) en aantoonbare training | Trainingsregistratie |
| 8 | Cryptografie | Gevoelige gegevens versleuteld opslaan en versturen | Versleutelingsbeleid |
| 9 | Personeel en toegang | Wie mag waarbij, rechten intrekken bij vertrek, gevoelige functies extra beschermen | Toegangsbeleid |
| 10 | MFA en beveiligde communicatie | Multifactorauthenticatie op belangrijke accounts en veilige kanalen voor gevoelige communicatie | Authenticatiebeleid |
Passend bij uw omvang
De wet vraagt maatregelen die passen bij uw risico en omvang. Een mkb-bedrijf hoeft geen securityafdeling op te tuigen; het moet de tien onderwerpen wel serieus en aantoonbaar geregeld hebben. Dat aantonen is de crux: een maatregel zonder document bestaat voor de toezichthouder niet.
In NIS2centraal beantwoordt u per maatregel een korte vragenlijst en genereert het platform het bijbehorende document, ingevuld met uw situatie. Wijzigt er iets, dan past u één antwoord aan en zijn alle documenten weer actueel.
De tien maatregelen kort langs
Elke maatregel heeft een eigen pagina met uitleg, een minimumniveau en wat u moet vastleggen. Dit is het overzicht, zodat u ziet waar u staat.
| Maatregel | Waar het om draait |
|---|---|
| Risicoanalyse en beleid | Weten wat er mis kan gaan en wat u daaraan doet, vastgesteld door het bestuur |
| Incidentafhandeling | Incidenten opmerken, afhandelen en ervan leren, met een geoefend plan |
| Bedrijfscontinuïteit | Back-ups, herstel en crisisbeheer, met een geslaagde herstelproef |
| Toeleveringsketen | Weten welke leveranciers kritiek zijn en wat u met ze heeft afgesproken |
| Veilige ontwikkeling en inkoop | Beveiliging meenemen bij aanschaf, bouw en onderhoud van systemen |
| Effectiviteit meten | Controleren of de maatregelen echt werken, en dat vastleggen |
| Cyberhygiëne en training | Medewerkers en bestuur jaarlijks trainen, met deelnemerslijst |
| Cryptografie | Beleid over versleuteling en toepassing op gevoelige gegevens |
| Toegangsbeheer en personeel | Wie mag waarbij, periodiek gecontroleerd, en snelle offboarding |
| Authenticatie en communicatie | Multifactorauthenticatie en beveiligde communicatiemiddelen |
Waar organisaties blijven steken
Vier van de tien maatregelen kosten in de praktijk de meeste moeite, en dat zijn niet de technische.
De toeleveringsketen. Dit vraagt gesprekken met leveranciers en aanpassingen in contracten, en dat kost doorlooptijd waar u zelf geen grip op heeft. Begin er daarom als eerste mee.
Effectiviteit meten. Organisaties voeren maatregelen in en controleren nooit of ze werken. Een jaarlijkse steekproef, vastgelegd in een kort verslag, is genoeg om deze maatregel af te dekken.
Continuïteit. Back-ups draaien wel, maar zijn nooit teruggezet. Het bewijs dat deze maatregel vraagt is niet het schema maar het testverslag.
Bestuurstraining. Wordt vergeten omdat het geen technisch onderwerp is, terwijl het een expliciete verplichting is en bij aansprakelijkheid zwaar meeweegt.
Hoe u dit aantoonbaar maakt
Per maatregel legt u dezelfde drie dingen vast: wat u doet, waarom dat past bij uw omvang en risico, en wat u bewust niet doet. Geef elk document een eigenaar, een datum en een herzieningsmoment. Dat is het hele verschil tussen "wij doen aan beveiliging" en een dossier dat een controle doorstaat.
Zie ook de zorgplicht uitgelegd voor de toets die de wet aanlegt, en de checklist om te zien waar u nu staat.
Wie doet wat
De tien maatregelen worden vaak op het bordje van ICT gelegd, en dat is de snelste manier om vast te lopen. Vier van de tien gaan niet over techniek maar over besluiten, mensen en contracten. Deze verdeling werkt in de praktijk.
| Rol | Waarvoor |
|---|---|
| Bestuur | Beleid en risicoanalyse vaststellen, budget vrijmaken, zelf de training volgen |
| Trekker (vaak de directeur of een manager) | Voortgang bewaken, dossier bijhouden, de jaarlijkse ronde plannen |
| ICT of de ICT-leverancier | Authenticatie, back-ups, toegangsrechten, logging, updates |
| Inkoop of degene die contracten tekent | Leveranciers in kaart brengen en afspraken vastleggen |
| HR | Indiensttreding en vertrek, screening, deelname aan training |
De trekker is de rol die het vaakst ontbreekt. Zonder iemand die het geheel bewaakt, blijft elke maatregel half af omdat iedereen op iemand anders wacht.
Waar u het bewijs bewaart
De tien maatregelen leveren samen een stuk of vijftien documenten op. Waar die staan is geen detail: bij een incident is uw eigen netwerk mogelijk het eerste dat onbereikbaar is.
Houd daarom een kopie van de kerndocumenten buiten uw eigen omgeving. Het incidentresponsplan met de meldkaart, de contactgegevens van uw ICT-leverancier en het CSIRT, en het herstelplan. Geprint of op een aparte opslagplek, maar niet op dezelfde server die versleuteld kan raken. Dit is het soort maatregel dat niets kost en dat achteraf altijd de belangrijkste blijkt.
Veelgestelde vragen
Moet ik alle tien de maatregelen tegelijk invoeren?
Nee, maar u moet ze alle tien afdekken en een gefaseerde aanpak vastleggen. Een planning met data en een bestuursbesluit erachter is verdedigbaar; een onderwerp overslaan niet.
Zijn de maatregelen anders voor essentiële en belangrijke entiteiten?
De maatregelen zijn hetzelfde. Het verschil zit in het toezicht: essentiële entiteiten kunnen proactief gecontroleerd worden, belangrijke entiteiten pas na een incident of signaal.
Wie mag deze maatregelen invoeren?
Dat mag u zelf doen. De wet stelt geen eisen aan certificering van de uitvoerder. Wel moet het bestuur de maatregelen goedkeuren en toezien op de uitvoering, en dat kan niet worden uitbesteed.
Verwante onderwerpen
- De Cyberbeveiligingswet uitgelegd
- NIS2-registratie: zo meldt u uw organisatie aan
- De NIS2-checklist: wat moet er staan
- De leveranciersverklaring: het nieuwe visitekaartje van de keten
- De zorgplicht: wat 'passende maatregelen' echt betekent
- Voor wie geldt NIS2?
- NIS2-checklist
- De meldplicht: 24 uur is korter dan u denkt
Weet binnen 2 minuten waar u staat
Beantwoord een paar vragen en zie direct of de Cyberbeveiligingswet voor uw organisatie geldt, of u essentiële of belangrijke entiteit bent en wat u dan moet regelen.
Of ga direct verder: Doe de gratis NIS2-check. We mailen alleen over de Cyberbeveiligingswet en uw afmelding staat in elke mail. Zie de privacyverklaring.