NIS2 in Nederland: werken met de Cyberbeveiligingswet

NIS2 in Nederland krijgt uitvoering via de Cyberbeveiligingswet.

De Cyberbeveiligingswet geldt sinds 15 augustus 2026. Voor organisaties die eronder vallen, horen registratie, risicobeheersing en incidentmelding bij het dagelijkse bestuur en beheer. Een bruikbare inventaris helpt daarbij, maar een hulpmiddel maakt een organisatie niet vanzelf compliant. Zie de bekendmaking van de Rijksoverheid.

Wat betekent NIS2 voor je organisatie?

De Cyberbeveiligingswet geeft in Nederland uitvoering aan de Europese NIS2-richtlijn. De verplichtingen richten zich op digitale weerbaarheid: risico’s beheersen, maatregelen uitvoeren, significante incidenten melden en verantwoordelijkheid binnen de organisatie beleggen.

Bepaal eerst of en hoe je organisatie onder de wet valt. Sector, dienstverlening, omvang en uitzonderingen spelen daarbij een rol. Alleen naar het aantal medewerkers kijken is onvoldoende. De wet omvat onder meer organisaties in energie, vervoer, zorg, digitale infrastructuur, overheid en bepaalde ICT-dienstverlening. Raadpleeg de officiële uitleg van het NCSC voor de toepasselijke criteria.

Een leverancier kan daarnaast beveiligingseisen van klanten krijgen zonder zelf rechtstreeks onder dezelfde wettelijke verplichtingen te vallen. Houd die contractuele eisen en de eigen wettelijke positie uit elkaar.

Vijf onderdelen van aantoonbaar beheer

1. Een bruikbare assetregistratie

Weet welke systemen en diensten belangrijk zijn, wie verantwoordelijk is en welke leveranciers betrokken zijn. Beperk de registratie niet tot apparaten: applicaties, cloudvoorzieningen, accounts, certificaten en contracten kunnen even relevant zijn.

2. Zicht op afhankelijkheden

Verbind technische onderdelen met de diensten die ze ondersteunen. Bij een kwetsbaarheid of verstoring wil je kunnen bepalen welke dienstverlening geraakt wordt en wie moet handelen. Controleer de volledigheid van die relaties met de betrokken beheerders.

3. Risico’s en maatregelen

Leg vast welke risico’s zijn beoordeeld, welke maatregelen zijn afgesproken en wie de uitvoering opvolgt. Denk aan toegangsbeheer, onderhoud, herstelvoorzieningen en leveranciersafspraken. Een geregistreerde maatregel is nog geen bewijs dat zij effectief werkt: bewaar ook de beoordeling en uitkomst van controles.

4. Incidentafhandeling en melding

Spreek vooraf af wie een incident beoordeelt, escaleert en meldt. De algemene meldroute bestaat uit een vroegtijdige waarschuwing binnen 24 uur na kennisname, een melding binnen 72 uur en een eindverslag binnen een maand na die melding. Bij een langer durend incident volgt eerst een voortgangsverslag; bijzondere regels kunnen van toepassing zijn. Controleer de actuele meldinstructies van het NCSC.

Leg het moment van kennisname apart vast. De aanmaakdatum van een ticket is niet vanzelf het begin van de wettelijke termijn. Controleer rapportages en termijnen voordat je ze gebruikt voor een melding.

5. Besturing en bewijs

Beleg verantwoordelijkheid bij de juiste mensen en zorg dat het bestuur risico’s en voortgang kan beoordelen. Houd besluiten, goedkeuringen, controles en vervolgacties terugvindbaar. Een dashboard helpt alleen wanneer de onderliggende informatie betrouwbaar is.

Registratie bij het NCSC en je interne inventaris

De registratie van je organisatie bij het NCSC is een eigen verplichting. Het gaat om de gegevens die het officiële register vraagt; het is niet hetzelfde als het bijhouden van assets in een CMDB. Volg de registratie-instructies van het NCSC.

Je interne registratie ondersteunt het beheer en de onderbouwing van maatregelen. Verbind assets, eigenaren, risico’s, leveranciers, incidenten en bewijs zodat je een vraag van management, klant of toezichthouder kunt beantwoorden met controleerbare informatie.

Ook de toeleveringsketen stelt vragen

Klanten willen kunnen beoordelen hoe afhankelijkheden en leveranciersrisico’s worden beheerst. Zorg dat je afspraken, contactpersonen, ondersteuning en relevante beveiligingsinformatie kunt terugvinden. Bespreek welke informatie nodig is en deel die via een passend kanaal.

Onvoldoende inzicht kan herstel vertragen, contractbesprekingen bemoeilijken en toezichtsvragen opleveren. Bepaal daarom per maatregel wie verantwoordelijk is en hoe je de werking controleert.

Een praktische werklijst

1. Bepaal en documenteer de wettelijke positie van de organisatie.
2. Controleer de registratie bij het NCSC en de aangewezen contactpersonen.
3. Maak belangrijke assets en diensten zichtbaar, met een eigenaar.
4. Leg kritieke afhankelijkheden en leveranciers vast.
5. Verbind risico’s aan maatregelen en concrete vervolgacties.
6. Oefen beoordeling, escalatie en melding van een significant incident.
7. Controleer of besluiten, tests en bewijs terugvindbaar en actueel zijn.

Hoe ITLedger helpt

ITLedger verbindt assetgegevens, relaties, rollen, tickets, documenten en historie. Daarmee kun je beheerwerk en bewijs in dezelfde context terugvinden. Richard helpt vragen te stellen over beschikbare gegevens; de betrouwbaarheid van het antwoord blijft afhankelijk van de registratie en de controle door het team.

De inrichting ondersteunt je werkwijze en vervangt geen juridische beoordeling of officiële melding. Rapportages moeten worden gecontroleerd op volledigheid, relevantie en de juiste tijdstippen.

Begeleide onboarding is inbegrepen. Bij migratie uit spreadsheets of een bestaand systeem, zoals TOPdesk, hangen de mogelijkheden af van toegang, bestandsformaten, beschikbare koppelingen en afgesproken scope. Aanvullend werk wordt vooraf afgestemd. Lees meer over onboarding en ITLedger voor de Cyberbeveiligingswet.

Begin met de ontbrekende informatie

Controleer eerst je wettelijke positie en registratie. Kies daarna een belangrijke dienst en beoordeel of eigenaren, afhankelijkheden, risico’s en incidentafspraken compleet zijn. Gebruik de gevonden hiaten als concrete werklijst.

Bespreek de inrichting of start een gratis pilot. Deel gevoelige brongegevens pas nadat doel, toegang en afspraken duidelijk zijn.