NIS2 audit en aantoonbaarheid: bewijzen dat uw beveiliging werkt

Wat is aantoonbaarheid onder NIS2?

De NIS2-zorgplicht vraagt om passende beveiligingsmaatregelen én om inzicht in hun werking. In Nederland volgt die verplichting uit de Cyberbeveiligingswet (Cbw) en de bijbehorende regelgeving. Uw organisatie moet kunnen onderbouwen welke risico’s zij beheerst, welke wettelijke eisen gelden en hoe het bestuur de maatregelen goedkeurt en op de uitvoering toeziet.¹

Het Cyberbeveiligingsbesluit (Cbb) maakt dit concreet: beleid en processen moeten aantoonbaar worden toegepast, herstel- en continuïteitsplannen periodiek getest en de doeltreffendheid van maatregelen periodiek geëvalueerd. De evaluatie wordt schriftelijk vastgelegd en leidt waar nodig tot aanpassing.² Voor de specifieke typen digitale aanbieders die onder Uitvoeringsverordening (EU) 2024/2690 vallen, gelden de Europese uitwerkingen in plaats van de artikelen 6 tot en met 18 van het Cbb.³

Twee toezichtregimes, dezelfde zorgplicht

De Cyberbeveiligingswet onderscheidt twee toezichtregimes. Het verschil zit vooral in de aanleiding voor toezicht; de zorgplicht is voor beide categorieën gebaseerd op passende en evenredige maatregelen. Dat betekent niet dat iedere organisatie dezelfde maatregelen moet nemen: risico’s, omvang, maatschappelijke impact en toepasselijke sectorregels bepalen de concrete invulling.

Essentiële entiteiten: proactief én reactief toezicht. De toezichthouder kan controleren zonder dat er eerst een incident of aanwijzing voor een overtreding is. Denk aan informatieverzoeken en inspecties. De bevoegde autoriteit kan op grond van artikel 72 Cbw ook een audit door een onafhankelijke en gekwalificeerde deskundige opleggen.¹

Belangrijke entiteiten: reactief toezicht. Bij bewijs, een aanwijzing of informatie over een mogelijke overtreding kan de bevoegde autoriteit optreden. Een incident is daarvoor geen voorwaarde. Ook een belangrijke entiteit kan een audit opgelegd krijgen, op grond van de artikelen 81 en 83 Cbw. De verplichtingen gelden dus al voordat er aanleiding is voor toezicht.¹

Wat telt als bewijs

Een beleidsdocument beschrijft wat u wilt bereiken. Voor aantoonbaarheid zijn ook de uitvoering, resultaten en bijsturing relevant. Bouw uw onderbouwing op uit bewijsstukken die naar elkaar verwijzen:

• Risicoanalyses en maatregelselectie. Leg vast welke processen en systemen zijn beoordeeld, welke risico’s en wettelijke eisen gelden, welke maatregelen volgen en wie besluiten neemt. Onderbouw restrisico’s en plan herbeoordeling. Risicoacceptatie vervangt geen wettelijke minimumeis.
• Bestuurlijke besluitvorming. Bewaar de goedkeuring van maatregelen en de rapportages en besluiten waaruit blijkt dat het bestuur toezicht houdt en bijstuurt. Dat sluit aan op artikel 24 Cbw. Alleen een handtekening onder beleid laat nog niet zien hoe dat toezicht in de praktijk werkt.¹
• Testresultaten en oefeningen. Denk aan pentests met opvolging, crisisoefeningen en hersteltests tegen de afgesproken hersteltijd en het aanvaardbare gegevensverlies. Een geslaagde back-uptaak bewijst op zichzelf nog niet dat u de dienstverlening binnen die grenzen kunt herstellen.
• Effectiviteitsbeoordeling. Artikel 21, tweede lid, onder f, van NIS2 vraagt om beleid en procedures waarmee u de doeltreffendheid van maatregelen beoordeelt.⁴ Leg vast wat u meet of test, wat het resultaat betekent en welke verbeteringen volgen. Artikel 18 Cbb werkt dit uit voor de entiteiten waarop dat artikel van toepassing is.²
• Logging en incidentdossiers. Maak detectie, beoordeling, escalatie en herstel herleidbaar. Leg bij mogelijke significante incidenten vast wanneer u ervan kennis kreeg, hoe u de meldplicht beoordeelde en wanneer eventuele meldingen zijn gedaan.
• Leveranciersbeoordelingen. Bewaar beveiligingseisen, beoordelingen, relevante testrapporten en de opvolging van tekortkomingen. Laat zien hoe u de afhankelijkheid van leveranciers beheerst en welke onzekerheden over hun dienstverlening nog bestaan.

Vermeld bij bewijs de datum, de onderzochte systemen of processen, de verantwoordelijke en eventuele beperkingen. Een oude test kan relevant zijn, maar onderbouw ook of latere wijzigingen de uitkomst nog bruikbaar maken.

De archeologische opgraving

Als bewijs verspreid zit over mailboxen, projectmappen en de hoofden van medewerkers, wordt iedere audit een archeologische opgraving. Medewerkers moeten reconstrueren wat is besloten, door wie en op basis waarvan. Dat kost tijd en maakt het lastig om vast te stellen welke onderbouwing op het moment van een besluit of incident beschikbaar was.

Richt daarom de werkprocessen zo in dat besluiten direct worden vastgelegd, tests een bruikbaar verslag opleveren en bevindingen bij een eigenaar terechtkomen. Verbind die informatie aan de betrokken risico’s, systemen en maatregelen. Dat vraagt inrichting en onderhoud, maar voorkomt dat u voor iedere toets opnieuw een dossier moet samenstellen.

Waarom die samenhang een ontwerpvraagstuk is, leest u in Security architectuur: van losse maatregelen naar samenhangende beveiliging.

Voorbereiden op de eerste toets

De Cyberbeveiligingswet en het Cyberbeveiligingsbesluit zijn op 15 augustus 2026 in werking getreden.² Voor organisaties waarop de zorgplicht van toepassing is, hoort bewijsvoering nu bij de reguliere uitvoering. Wachten op de eerste brief van de toezichthouder maakt het moeilijker om werking over een langere periode te onderbouwen.

De RDI heeft haar toezichtaanpak al gepubliceerd. Die omvat informatieverzoeken, vragenlijsten, gesprekken en risicogerichte inspecties, naast thematische onderzoeken en inspecties naar aanleiding van incidenten. Welke aanpak uw organisatie tegenkomt, hangt af van uw toezichthouder, toezichtregime en situatie.⁵ Drie praktische stappen:

1. Bepaal uw regime en toepasselijke eisen. Leg vast waarom uw organisatie essentieel of belangrijk is, welke toezichthouder bevoegd is en welke Nederlandse of Europese sectorregels gelden. Gebruik daarvoor ook de toelichting op de toepasselijkheid van de Cbw.
2. Toets uw bewijsketen. Kies een kritiek proces en volg de lijn van risico en wettelijke eis naar maatregel, eigenaar, testresultaat en bijsturing. Beoordeel of u die samenhang snel kunt laten zien. Een interne streeftermijn van bijvoorbeeld één werkdag kan daarbij helpen; dat is geen wettelijke aanlevertermijn.
3. Herstel ontbrekend bewijs bij de bron. Organiseer de ontbrekende test, leg de actuele afweging vast en verbeter het proces dat het bewijs moet opleveren. Maak onderscheid tussen wat destijds aantoonbaar was en wat u pas achteraf hebt vastgesteld. Volg verbeteringen tot en met de hertoets.

Uw bewijsketen langs deze lat leggen? Bekijk hoe het NIS2- en BIO2-traject daarop toetst →