Hoe maak je NIS2-compliance aantoonbaar richting toezichthouders?

NIS2-compliance aantoonbaar maken richting toezichthouders vereist meer dan alleen technische maatregelen. Je moet kunnen bewijzen dat je organisatie structureel en bewust omgaat met cybersecurity, dat risico’s worden beheerd, en dat het bestuur actief betrokken is. Wie dat bewijs niet kan leveren, loopt bij een inspectie of incident direct risico op sancties en reputatieschade.

De Cyberbeveiligingswet, de Nederlandse vertaling van NIS2, treedt naar verwachting in het tweede kwartaal van 2026 in werking. Vanaf dat moment kunnen toezichthouders actief handhaven. In dit artikel beantwoorden we de meest gestelde vragen over NIS2-verantwoording, documentatie en inspectievoorbereiding.

Welke bewijslast verwachten toezichthouders bij NIS2?

Toezichthouders verwachten bij NIS2 aantoonbaar bewijs dat je organisatie een structureel risicobeheerproces voert, beveiligingsmaatregelen heeft geïmplementeerd, en incidenten tijdig meldt. Het gaat niet om een eenmalige controle, maar om doorlopende naleving die je op ieder moment kunt onderbouwen met concrete documentatie.

Concreet betekent dit dat je moet kunnen overleggen:

• Een actuele risicoanalyse, inclusief de methodologie en de uitkomsten
• Een gedocumenteerd incident response plan
• Bewijs van uitgevoerde beveiligingsmaatregelen, zoals toegangsbeheer, encryptie en patchbeleid
• Aantoonbare ketenbeveiliging, inclusief afspraken met leveranciers
• Meldingsregistraties bij incidenten die de wettelijke drempel overschrijden
• Bewijs van bestuurderstraining en bewustwording binnen de organisatie

Toezichthouders beoordelen niet alleen of maatregelen bestaan, maar ook of ze effectief zijn en regelmatig worden geëvalueerd. Een beleidsdocument dat twee jaar geleden is opgesteld en sindsdien niet is bijgewerkt, schiet tekort. Actualiteit en aantoonbare opvolging zijn net zo belangrijk als de maatregelen zelf.

Hoe documenteer je beveiligingsmaatregelen op een auditwaardige manier?

Auditwaardige NIS2-documentatie vereist dat elk beleid, elke maatregel en elke beslissing traceerbaar is: wie heeft wat besloten, wanneer, op basis van welke informatie, en wat is er sindsdien gewijzigd. Structuur en consistentie zijn hierbij belangrijker dan omvang.

Praktische richtlijnen voor goede NIS2-documentatie:

• Versiebeheer: Elk document krijgt een versienummer, datum en naam van de verantwoordelijke. Zo is altijd duidelijk welke versie actueel is.
• Koppeling aan risicoanalyse: Elke maatregel verwijst naar het risico dat ermee wordt beheerst. Dit maakt de logica achter je beveiligingsbeleid inzichtelijk.
• Aantoonbare uitvoering: Documenteer niet alleen het beleid, maar ook de uitvoering. Denk aan logbestanden, testrapportages van penetratietests, of screenshots van ingestelde beveiligingscontroles.
• Regelmatige review: Leg vast wanneer documenten zijn beoordeeld en door wie. Een jaarlijkse reviewcyclus is een minimumvereiste.
• Centrale opslag: Bewaar documentatie op een centrale, toegankelijke locatie met een duidelijke eigenaarschapsstructuur.

Een veelgemaakte fout is dat organisaties goede maatregelen nemen, maar dit nergens vastleggen. Bij een audit telt alleen wat je kunt bewijzen, niet wat je in de praktijk doet.

Wat is het verschil tussen NIS2-compliance en NIS2-aantoonbaarheid?

NIS2-compliance betekent dat je organisatie daadwerkelijk voldoet aan de technische en organisatorische eisen van de richtlijn. NIS2-aantoonbaarheid betekent dat je dit ook kunt bewijzen richting toezichthouders, auditors of ketenpartners. Je kunt compliant zijn zonder aantoonbaar te zijn, maar voor toezichthouders is alleen aantoonbaarheid relevant.

Dit onderscheid is cruciaal. Een organisatie kan uitstekende beveiligingspraktijken hebben, maar als die niet zijn gedocumenteerd, geregistreerd en reproduceerbaar gemaakt, bestaat het bewijs niet in de ogen van een toezichthouder. Omgekeerd schiet een organisatie die alleen papieren compliance nastreeft ook tekort: de maatregelen moeten écht werken.

De ideale situatie combineert beide: je neemt effectieve maatregelen én je legt ze zo vast dat je op ieder moment verantwoording kunt afleggen. Dit vraagt om een structureel proces, niet om een eenmalige inspanning voor een audit.

Welke rol speelt de directie bij NIS2-verantwoording?

Onder de Cyberbeveiligingswet zijn bestuurders persoonlijk verantwoordelijk voor NIS2-naleving. Dit betekent dat de directie niet alleen beleid moet goedkeuren, maar ook aantoonbaar betrokken moet zijn bij risicobeheer, incidentrespons en de evaluatie van beveiligingsmaatregelen. Onwetendheid is geen verweer.

Concreet betekent dit voor bestuurders:

• Aantoonbare kennis: Bestuurders moeten beschikken over actuele kennis van cyberrisico’s en de wettelijke verplichtingen. Dit moet via training worden geborgd en gedocumenteerd.
• Goedkeuring van beleid: Beveiligingsbeleid en risicoanalyses worden formeel vastgesteld door het bestuur, met een handtekening en datum.
• Betrokkenheid bij incidenten: Bij significante beveiligingsincidenten is het bestuur aantoonbaar betrokken bij de besluitvorming en communicatie.
• Periodieke rapportage: Het bestuur ontvangt regelmatig rapportages over de cybersecuritystatus van de organisatie en neemt op basis daarvan aantoonbaar besluiten.

De wet schrijft expliciet voor dat bestuurders binnen twee jaar na inwerkingtreding van de Cyberbeveiligingswet over de vereiste kennis en vaardigheden moeten beschikken. Periodieke bijscholing is daarna verplicht.

Hoe bereid je je organisatie voor op een NIS2-inspectie?

Een NIS2-inspectie voorbereiden begint met een nulmeting: breng in kaart waar je organisatie staat ten opzichte van de wettelijke vereisten. Vervolgens werk je systematisch toe naar een volledig gedocumenteerd en aantoonbaar compliancepakket, zodat je bij een aangekondigde én onaangekondigde inspectie direct kunt overleggen wat gevraagd wordt.

Een praktische voorbereiding bestaat uit de volgende stappen:

1. Scope bepalen: Stel vast welke systemen, processen en diensten onder de NIS2-verplichtingen vallen.
2. Nulmeting uitvoeren: Vergelijk je huidige situatie met de wettelijke eisen en identificeer de gaps.
3. Prioriteiten stellen: Pak de grootste risico’s en de meest zichtbare tekortkomingen als eerste aan.
4. Documentatie op orde brengen: Zorg dat alle maatregelen, beleidsprocessen en trainingen zijn gedocumenteerd en actueel.
5. Interne oefening houden: Simuleer een inspectie of audit intern om te testen of je documentatie compleet is en of de juiste mensen de juiste antwoorden kunnen geven.
6. Contactpersoon aanwijzen: Benoem een verantwoordelijke die bij een inspectie het aanspreekpunt is en de documentatie beheert.

Inspectievoorbereiding is geen eenmalig project. Bouw een ritme in waarbij documentatie kwartaalgewijs wordt gecontroleerd en bijgewerkt, zodat je altijd inspectie-gereed bent.

Welke tools helpen bij het continu monitoren van NIS2-compliance?

Voor het continu monitoren van NIS2-compliance zijn tools nodig die inzicht geven in de beveiligingsstatus van je omgeving, afwijkingen signaleren en rapportages genereren die je bij een audit kunt gebruiken. Binnen het Microsoft-ecosysteem zijn hiervoor meerdere krachtige oplossingen beschikbaar.

Relevante tools en functionaliteiten:

• Microsoft Secure Score: Geeft doorlopend inzicht in de beveiligingsstatus van je Microsoft 365-omgeving en toont concrete verbeterpunten.
• Microsoft Defender for Cloud: Monitort continu op beveiligingsrisico’s en geeft aanbevelingen op basis van compliance-frameworks.
• Microsoft Purview Compliance Manager: Helpt bij het bijhouden van complianceverplichtingen, inclusief NIS2-gerelateerde maatregelen, en genereert auditrapportages.
• Microsoft Sentinel: Een SIEM-oplossing die beveiligingsincidenten detecteert, registreert en analyseert, inclusief de logging die toezichthouders verwachten.
• Entra ID (voorheen Azure AD): Biedt uitgebreide logging van toegang en identiteitsbeheer, essentieel voor het aantonen van toegangscontrole.

Naast technische tooling is een GRC-platform (Governance, Risk and Compliance) waardevol voor het beheren van beleidsprocessen, het bijhouden van risicoanalyses en het genereren van compliancerapportages. De combinatie van technische monitoring en gestructureerd beleidsbeheer geeft je de volledigste basis voor NIS2-aantoonbaarheid.

Hoe Puur ICT helpt met NIS2-compliance aantoonbaar maken

Wij begrijpen dat NIS2-compliance voor veel organisaties een complexe en tijdrovende opgave is, zeker als je geen dedicated CISO in huis hebt. Als Microsoft 365-specialist en ISO 9001-gecertificeerde ICT-dienstverlener helpen wij je stap voor stap naar volledige aantoonbare naleving. Dit is wat we voor je doen:

• Nulmeting en gap-analyse: We brengen je huidige beveiligingssituatie in kaart en identificeren waar je nog tekortkomt ten opzichte van de NIS2-vereisten.
• Implementatie van technische maatregelen: We configureren en beheren de juiste beveiligingsoplossingen binnen het Microsoft-ecosysteem, van Secure Score tot Sentinel.
• Documentatie en auditvoorbereiding: We helpen je beveiligingsbeleid, risicoanalyses en procedures op een auditwaardige manier vast te leggen.
• Bestuurderstraining: We verzorgen de verplichte training voor bestuurders, inclusief aantoonbaar bewijs van deelname en inhoud.
• Doorlopend beheer en monitoring: We bewaken je compliancestatus continu, zodat je altijd inspectie-gereed bent.

We werken in begrijpelijke taal, met korte lijnen en persoonlijk contact. Zo zorgen we dat jouw organisatie niet alleen voldoet aan de wet, maar ook structureel digitaal veiliger wordt. Wil je weten waar je organisatie nu staat? Neem contact op met Puur ICT en we starten met een vrijblijvende nulmeting.

Gerelateerde artikelen

• Wat is NIS2 en voor wie geldt de richtlijn?
• Waar begin je als je organisatie nog niets heeft geregeld voor NIS2?
• Hoe kies je het juiste beveiligingsniveau voor je website?
• Hoe maak je je organisatie data-gedreven zonder grote investeringen in nieuwe systemen?
• Wat kost NIS2-compliance gemiddeld voor een middelgrote organisatie?