NIS2 audit en aantoonbaarheid: bewijzen dat uw beveiliging werkt

Wat is aantoonbaarheid onder NIS2?

Veel organisaties lezen de NIS2-zorgplicht als een implementatievraagstuk: welke maatregelen moeten we nemen? De vraag die de richtlijn werkelijk stelt is een andere: kunt u laten zien dat uw maatregelen passend zijn, dat ze werken, en dat uw bestuur erop stuurt? Dat is aantoonbaarheid, en het is de lat waarop toezichthouders en auditors gaan meten.

Twee toezichtregimes, dezelfde lat

De Cyberbeveiligingswet kent twee regimes:¹

Ex ante toezicht (essentiële entiteiten). De toezichthouder mag proactief controleren: audits opleggen, inspecties uitvoeren, informatie en bewijs opvragen, ook zonder incident of klacht. U kunt dus op elk moment de vraag krijgen om uw risicoanalyse, uw maatregelen en de werking daarvan te onderbouwen.

Ex post toezicht (belangrijke entiteiten). De toezichthouder grijpt in na incidenten, meldingen of signalen van niet-naleving. Dat klinkt milder, maar het bewijs moet er dan wel líggen: na een incident alsnog reconstrueren waarom uw maatregelen passend waren, is een beroerde uitgangspositie.

De onderliggende verwachting van aantoonbaarheid is in beide regimes vergelijkbaar. Het verschil zit in het moment en de wijze waarop die wordt getoetst: vooraf op verzoek, of achteraf onder druk.

Wat telt als bewijs

Aantoonbaarheid is breder dan een map met beleidsdocumenten. De toezichthouder en de auditor kijken naar de keten van risico naar werking:

• Risicoanalyses met eigenaarschap. Niet alleen het document, maar wie het heeft vastgesteld, wanneer het is herzien, en welke besluiten eruit volgden. Een risicoacceptatie zonder eigenaar en herbeoordelingsmoment is een aanname, geen acceptatie.
• Bestuurlijke besluitvorming. Notulen en besluiten waaruit blijkt dat het bestuur de maatregelen heeft goedgekeurd en toezicht houdt, zoals Artikel 20 eist. Een handtekening onder een beleidsstuk is het minimum, niet het bewijs.
• Testresultaten en oefeningen. Pentestrapporten met opvolging, hersteltests tegen de afgesproken RTO en RPO, crisisoefeningen met evaluatie. Een back-up die nooit is teruggezet, is voor de auditor geen back-up.
• Effectiviteitsbeoordeling. Artikel 21, tweede lid, onder f, eist procedures om te beoordelen of maatregelen werken. Dit is de eis waar organisaties het vaakst op stuklopen: er is wel geïmplementeerd, maar nooit gemeten.²
• Logging en incidentdossiers. Detectie, escalatie, meldingen binnen de termijnen van Artikel 23, en de lessen die eruit zijn getrokken.
• Leveranciersbeoordelingen. Contracten met beveiligingseisen, assessments en de afweging waar u een black box accepteert en waar niet.

De archeologische opgraving

Het patroon bij organisaties zonder samenhangend ontwerp is voorspelbaar. De maatregelen zijn er wel, maar het bewijs zit verspreid over mailboxen, projectmappen en de hoofden van medewerkers. Elke audit wordt dan een archeologische opgraving: weken reconstrueren wat er is besloten, door wie, en waarom. Dat kost niet alleen tijd. Het ondermijnt de geloofwaardigheid van elk antwoord, want wie moet zoeken naar zijn onderbouwing, wekt de indruk dat die onderbouwing er nooit was.

De tegenhanger is een omgeving waarin bewijs een bijproduct is van hoe er gewerkt wordt: besluiten worden vastgelegd op het moment dat ze worden genomen, tests produceren rapportages in een vaste cyclus, en de koppeling tussen risico en maatregel is vanaf het begin expliciet. Dat is geen extra administratie. Het is architectuur.

Waarom die samenhang een ontwerpvraagstuk is, leest u in Security architectuur: van losse maatregelen naar samenhangende beveiliging.

Voorbereiden op de eerste toets

De Cyberbeveiligingswet treedt op 15 augustus 2026 in werking; vanaf dat moment is het toezicht actief. Voor de zorg-, meld- en registratieplicht geldt geen algemene overgangstermijn.³ Drie stappen die het verschil maken:

1. Bepaal uw regime en toezichthouder. Essentieel of belangrijk, en welke sectorale toezichthouder (IGJ, DNB, RDI, NVWA of een andere) op u van toepassing is.¹
2. Toets uw bewijsketen, niet alleen uw maatregelen. Loop per kernmaatregel de vraag na: kunnen we binnen een dag laten zien waarom deze passend is en dat hij werkt? Waar het antwoord nee is, zit uw werkelijke verbeterpunt.
3. Repareer bij de bron. Ontbrekend bewijs lost u op door het proces aan te passen dat het bewijs had moeten produceren, niet met documentatie achteraf: de testcyclus, het besluitvormingsproces, de leveranciersbeoordeling.

Uw bewijsketen langs deze lat leggen? Bekijk hoe het NIS2- en BIO2-traject daarop toetst →