Voldoen aan NIS2 komt op vijf dingen neer: vaststellen of je onder de wet valt, je registreren bij de toezichthouder, passende beveiligingsmaatregelen nemen (de zorgplicht), incidenten op tijd melden en dat geheel op bestuursniveau borgen. Hieronder werken we die route stap voor stap uit.
Stap 1: bepaal of je eronder valt
Ga na of je organisatie een essentiële of belangrijke dienst levert in een van de sectoren die NIS2 aanwijst, en of je qua omvang meetelt (meestal vanaf middelgrote organisaties). Let ook op je rol in de keten: ook als toeleverancier kun je indirect met de eisen te maken krijgen, omdat je klanten hun eigen keten moeten beheersen. Twijfel je? In valt jouw organisatie onder NIS2? lopen we de afbakening door, en het NCSC biedt een flowchart en een zelfevaluatie aan.
Stap 2: registreer je organisatie
Organisaties die onder de wet vallen, moeten zich registreren bij het NCSC via het portaal MijnNCSC op mijn.ncsc.nl. Inloggen gaat met eHerkenning (of SSO Rijk voor rijksorganisaties). Uitleg en de aanmeldpagina staan op de registratiepagina van het NCSC. Betrek er iemand met inhoudelijke kennis (bijvoorbeeld je CISO) en iemand met beslissingsbevoegdheid bij, en doe het tijdig: sinds de wet in augustus 2026 in werking trad, geldt de registratieplicht.
Stap 3: geef invulling aan de zorgplicht
De zorgplicht vraagt om passende technische en organisatorische maatregelen om je diensten te beschermen en de continuïteit te waarborgen. In de praktijk gaat het onder meer om:
- Risicomanagement: een actueel beeld van je belangrijkste dreigingen en risico’s, en beleid om die te beheersen.
- Toegang en detectie: toegangsbeleid, sterke authenticatie, logging en het tijdig opmerken van verdachte activiteit.
- Continuïteit: back-up, herstel en een geoefend plan voor als het misgaat.
- Ketenbeveiliging: afspraken over beveiliging met je leveranciers en dienstverleners.
- Basishygiëne en bewustzijn: patchmanagement, veilige configuraties en training van medewerkers.
Een erkend raamwerk zoals ISO 27001 helpt om dit gestructureerd en aantoonbaar in te richten. Je hoeft dus niet vanaf nul te beginnen als je daar al mee werkt.
Stap 4: richt de meldplicht in
Onder NIS2 geldt een meldplicht voor significante incidenten, met korte termijnen. In de regel meld je binnen 24 uur een eerste signaal (early warning), binnen 72 uur een uitgebreidere melding en binnen een maand een eindrapportage. Zorg dat vooraf vastligt wie meldt, waar en binnen welke tijd, zodat je tijdens een incident niet hoeft te improviseren.
Stap 5: borg het op bestuursniveau
NIS2 legt de verantwoordelijkheid nadrukkelijk bij de leiding. Bestuurders moeten betrokken zijn bij de maatregelen, er kennis van hebben en toezicht houden op de uitvoering. Maak informatiebeveiliging daarom een vast onderwerp op bestuursniveau, met heldere eigenaren en periodieke rapportage, in plaats van iets dat alleen bij de IT-afdeling ligt.
Waar sta je nu?
Een goede eerste stap is een gap-analyse: waar voldoe je al aan en waar zitten de gaten? Op basis daarvan maak je een realistisch plan met prioriteiten. Zie onze NIS2 / Cbw gap-analyse, of plan een kennismaking om vrijblijvend te sparren.
Let op: de precieze eisen en termijnen liggen in wetgeving vast en kunnen wijzigen. Controleer voor de zekerheid altijd de actuele informatie van het NCSC.