NIS2 implementatie: van wettelijke verplichting naar bestuurbaar proces

De Cyberbeveiligingswet (Cbw) is sinds 15 augustus 2026 van kracht.¹ Voor organisaties die eronder vallen, gaat de implementatie over concrete besluiten: welke maatregelen zijn nodig, wie voert ze uit en hoe weet het bestuur of ze werken?

Mijn aanpak verbindt risicoanalyse, security-architectuur en governance. Daarmee ontstaat een proces waarin wettelijke eisen worden vertaald naar uitvoering, toetsing en verbetering. Een implementatieplan helpt om dat werk te organiseren. Het vervangt de uitvoering niet.

Wat NIS2 daadwerkelijk van organisaties vraagt

Begin met de wettelijke reikwijdte: valt uw organisatie onder de Cbw, in welke categorie en welke nadere regels gelden? Bepaal ook welke netwerk- en informatiesystemen uw werkzaamheden en dienstverlening ondersteunen. Die afbakening vormt samen met uw risicoanalyse de basis voor de inrichting.

Artikel 21 van de NIS2-richtlijn verlangt passende en evenredige technische, operationele en organisatorische maatregelen en benoemt tien maatregelcategorieën. Artikel 20 legt de goedkeuring en het toezicht op de uitvoering bij het bestuursorgaan en verlangt training.² In Nederland zijn de zorgplicht en bestuurlijke verplichtingen uitgewerkt in de artikelen 21 en 24 Cbw. De wet bevat daarnaast een meldplicht en registratieplicht.¹

Passend en evenredig vraagt een onderbouwde afweging. Het geeft geen algemene ruimte om wettelijke minimumeisen over te slaan. Toets dus zowel de risico's als de concrete voorschriften uit het Cbb en de toepasselijke sectorregeling.

Voor specifieke typen digitale entiteiten geldt Uitvoeringsverordening (EU) 2024/2690. Het gaat om DNS-dienstverleners, TLD-registries, cloud- en datacenterdienstverleners, CDN-providers, MSP's, MSSP's, online marktplaatsen, online zoekmachines, sociale-netwerkplatforms en verleners van vertrouwensdiensten. De verordening bevat technische en methodologische eisen in dertien thema's en criteria voor significante incidenten.³ Voor deze entiteiten gelden de artikelen 6 tot en met 18 Cbb niet. De overige toepasselijke wettelijke verplichtingen blijven bestaan.

De bijbehorende ENISA-guidance biedt praktische uitwerkingen en voorbeelden van bewijs. De guidance en de afzonderlijke mappingtabel zijn hulpmiddelen en zelf niet bindend. Buiten de reikwijdte van de uitvoeringsverordening kunt u ze als referentie gebruiken, naast uw eigen sectorregels.⁴

De NIS2-aanpak: een doorlopende cyclus

Een eerste implementatie kan als project worden georganiseerd. Daarna vragen veranderende risico's, systemen en leveranciers om blijvende aandacht. Mijn aanpak bestaat daarom uit drie samenhangende onderdelen. Het bestuur is vanaf de start betrokken.

Registratie, het meldproces en maatregelen tegen directe risico's krijgen meteen aandacht. Die wachten niet op afronding van de volledige analyse. Als verplichtingen al gelden, schort een verbeterplan ze niet op.

1. Context, eisen en risicofundament

We brengen uw kritieke processen, gegevens en afhankelijkheden in beeld. Wat gebeurt er als een dienst uitvalt, gegevens worden gewijzigd of een leverancier wegvalt? Welke hersteldoelen horen daarbij? Methoden zoals ISO/IEC 27005:2022 en NIST SP 800-30 Rev. 1 helpen om risico's systematisch te beoordelen.⁵ We leggen de uitkomsten naast de wettelijke eisen en bepalen wat moet worden aangepakt, met welke prioriteit en door wie.

Het resultaat is een afgebakend overzicht van eisen, risico's, bestaande beheersing en tekortkomingen. Besluiten over resterende risico's krijgen een eigenaar en een herbeoordelingsmoment, binnen de ruimte die de wet laat.

2. Architectuur en implementatie

We vertalen de uitkomsten naar samenhangende maatregelen: van incidentrespons, cryptografie en toegangsbeheer tot herstelvoorzieningen en leveranciersafspraken. Per maatregel maken we duidelijk welk risico en welke eis zij afdekt, hoe zij wordt ingericht en hoe de werking wordt getoetst.

ISO 27001 en NIST CSF 2.0 kunnen daarbij helpen. Waar regelgeving normen voorschrijft, behandelen we die als wettelijke eisen. Voor de overheid werken de BZK-regeling en het hoofdstuk voor overheidsorganisaties in de IenW-regeling de toepassing van ISO en relevante BIO2-maatregelen uit.⁶ BIO2 is in die context dus meer dan een vrij te kiezen hulpmiddel.

We richten ook de registratie en incidentmelding praktisch in: eigenaarschap, actuele contactgegevens, criteria voor significante incidenten, meldroutes naar het toepasselijke CSIRT en de bevoegde autoriteit, en vervanging bij afwezigheid. Een oefening laat zien of detectie, beoordeling en melding binnen de wettelijke termijnen op elkaar aansluiten.

3. Governance en aantoonbaarheid

Het bestuur keurt de maatregelen goed en volgt de uitvoering. Daarvoor zijn rapportages nodig over risico's, voortgang, testresultaten en tekortkomingen die een besluit vragen. De kennis- en trainingsverplichtingen uit artikel 24 Cbw worden onderdeel van die inrichting.

We leggen vast wanneer maatregelen worden geëvalueerd en hoe bevindingen worden opgevolgd. Denk aan hersteltests, toegangsbeoordelingen, incidentoefeningen en leveranciersbeoordelingen. Het bewijs ontstaat zo in de bedrijfsvoering. Voor entiteiten onder artikel 18 Cbb moeten periodieke evaluaties van de doeltreffendheid schriftelijk worden vastgelegd en waar nodig tot aanpassing leiden.¹

Wat deze aanpak oplevert

Uitlegbare keuzes. U kunt onderbouwen welke wettelijke eis of welk risico achter een maatregel zit, wie het besluit heeft genomen en welke uitkomst u verwacht.

Gericht gebruik van wat er al is. We beoordelen uw bestaande ISMS, processen en bewijs en gebruiken die waar ze aansluiten. Tekortkomingen in scope, uitvoering of werking krijgen een plaats in dezelfde verbetercyclus.

Bijsturing bij veranderingen. Een nieuwe cloudprovider, overname, dreiging of gewijzigde wettelijke eis kan aanleiding zijn om uw risicoanalyse, architectuur en maatregelen opnieuw te beoordelen. Daarvoor richten we een vast proces in.

Deze aanpak is de kern van de dienst NIS2 en BIO2 →

Bekende fouten bij de implementatie

Bij claims over afgeronde NIS2-trajecten is de relevante vraag wat er is opgeleverd en getoetst. Ging het om een gap-analyse, de invoering van maatregelen of ook om bewijs van werking? Vraag naar de scope en toetsingscriteria. Ervaring met ISO- en BIO-trajecten is waardevol en vraagt een expliciete vertaling naar de Cbw-verplichtingen.

In mijn audit- en advieswerk zag ik bij een zakelijke dienstverlener het securityprogramma pas van de grond komen toen de top er persoonlijk op ging sturen. Budget en mandaat volgden die betrokkenheid. Daarom begint bestuurlijke sturing in deze aanpak bij de eerste afbakening en prioritering.

In maart 2023 schreef ik al over de kennis, expertise en capaciteit die de hogere NIS2-eisen zouden vragen. Ook de personeelsschaarste en mogelijke vertraging van de Nederlandse wetgeving kwamen aan bod.⁷ Op 15 augustus 2026 trad de Cbw in werking. Capaciteit en eigenaarschap blijven praktische voorwaarden voor de uitvoering.

Historisch onderzoek laat zien waar de voorbereiding destijds stond. In het derde kwartaal van 2025 gaf 35% van de respondenten in een onderzoek van Grant Thornton aan zeer bekend te zijn met NIS2 en aan compliance te werken, tegenover 24% in het tweede kwartaal.⁸ Dit betreft zelfrapportage uit het mkb en de mid-market, geen onafhankelijk vastgestelde naleving of actueel beeld van september 2026.

De RDI analyseerde 3.389 anoniem ingevulde Quickscans uit februari 2024 tot en met september 2025. Respondenten uit de negen RDI-sectoren noemden vooral bestuurstraining, leveranciersbeveiliging, de meldprocedure, effectiviteitsbeoordeling en cryptografiebeleid als verbeterpunten.⁹ Ook dit zijn zelfbeoordelingen. De onderwerpen laten zien waar uitvoering aandacht vroeg, maar zijn niet allemaal nieuwe beveiligingsprincipes die pas met NIS2 zijn ontstaan.

Bij de implementatie let ik daarom op drie manieren waarop de samenhang verloren kan gaan:

1. De juridische vertaling blijft op papier. De eisen zijn beschreven, maar nog niet gekoppeld aan systemen, processen, eigenaren en uitvoerbare maatregelen.
2. De techniek loopt voor op de afweging. Er wordt tooling aangeschaft voordat duidelijk is welke risico's zij moet beheersen en hoe de werking wordt gemeten.
3. De gap-analyse wordt het eindproduct. Er ligt een actielijst, terwijl budget, mandaat, uitvoering en toetsing nog ontbreken.

Een concreet voorbeeld is een continuïteitsplan dat nog nooit is geoefend. Pas bij een hersteltest blijkt of de afgesproken hersteltijd haalbaar is, wie afhankelijk is van een leverancier en welke bevoegdheden tijdens een crisis ontbreken.

Waarom dit een architectuurvraagstuk is

Een implementatie kan tegelijk raken aan legacysystemen, cloudvoorzieningen, leveranciers en verdeeld eigenaarschap. Security-architectuur maakt zichtbaar hoe maatregelen in die omgeving samenwerken en waar afhankelijkheden of tegenstrijdige keuzes zitten.

Dat helpt om te bepalen welke voorzieningen u centraal inricht, welke afspraken u met leveranciers maakt en welke besluiten het bestuur moet nemen. Detectie, preventie en herstel krijgen elk een onderbouwde plaats, binnen de toepasselijke wettelijke eisen. Zo wordt de verbinding tussen beleid en uitvoering toetsbaar.