NIS2 maatregelen: wat Artikel 21 echt van uw organisatie vraagt
Artikel 21, tweede lid, van de NIS2-richtlijn benoemt tien maatregelcategorieën die essentiële en belangrijke entiteiten minimaal moeten implementeren: risicoanalyse en beleid, incidentafhandeling, bedrijfscontinuïteit, supply chain security, veilige aanschaf en ontwikkeling, effectiviteitsbeoordeling, cyberhygiëne en training, cryptografie, toegangscontrole en assetbeheer, en multifactorauthenticatie. De concrete invulling moet passend en evenredig zijn voor uw risicoprofiel. Er bestaat geen universele checklist die voor iedere sector gelijk is; sectorspecifieke regelgeving kan wel concrete minimumeisen stellen.
Veel organisaties zoeken naar één universele lijst met NIS2-maatregelen, in de hoop een overzichtelijke checklist af te kunnen vinken. Begrijpelijk, maar die lijst bestaat niet en zo werkt de richtlijn niet. En het maakt uw organisatie niet veiliger.
De kern van de wetgeving zit in Artikel 21 NIS2. Dit artikel eist passende en evenredige technische, operationele en organisatorische maatregelen om risico's te beheersen; een uniform controlpakket schrijft het niet voor. Bij de beoordeling van wat "passend en evenredig" is, weegt u uw risicoblootstelling, uw omvang en de waarschijnlijkheid en ernst van incidenten mee, inclusief hun maatschappelijke en economische impact.1
Alle tien de categorieën moeten worden geadresseerd. De risicogedreven ruimte zit in de concrete maatregelen, diepgang en prioriteit waarmee u iedere categorie invult, niet in de keuze óf u incidentafhandeling, continuïteit of ketenbeveiliging organiseert.
Kern: NIS2-maatregelen staan nooit los van uw context, afhankelijkheden en risicoprofiel. De richtlijn verplicht u te verdedigen waarom juist deze maatregelen proportioneel zijn, niet alleen dát u maatregelen neemt.
Daar loopt het in de praktijk mis. Zelden door gebrek aan actie: maatregelen worden behandeld als losse verplichtingen in plaats van onderdeel van een samenhangend risicobeheersmodel.
Voor de overkoepelende visie op NIS2-implementatie, zie NIS2 implementatie.
De valkuil van de checklist: risico als startpunt
Een veelgemaakte ontwerpfout in NIS2-trajecten is dat organisaties te snel naar control frameworks grijpen. Men zoekt een matrix of gap-analyse, terwijl Artikel 21 juist eist dat u begint bij risicobeheer. Dit is geen semantische kwestie. Het bepaalt de hele logica van uw implementatie.
In de Nederlandse overheidspraktijk was dit patroon onder de eerdere BIO al zichtbaar. Pas toe of leg uit ontaardde regelmatig in een tekstuele motivering zonder expliciete risicokoppeling, eigenaar of herbeoordelingsmoment; of men paste gewoon toe, omdat de norm het nu eenmaal voorschreef. Beide routes leverden hetzelfde op: maatregelen zonder risicokoppeling. BIO2 begrenst die ruimte inmiddels scherper, met de verplichte overheidsmaatregelen als minimale ondergrens; ook daar blijft het risico bestaan dat maatregelen administratief worden afgevinkt zonder hun werking aantoonbaar te maken. Artikel 21 nodigt met tien maatregelcategorieën uit tot exact hetzelfde gedrag, maar rekent er bij toezicht wel op af.2
Een maatregel is onder NIS2 pas zinvol als deze is gekoppeld aan een concreet risico, een kritieke afhankelijkheid of een bestuurlijke afweging. Bestaande normen zoals NIST SP 800-53 en ISO/IEC 27005 ondersteunen dit uitgangspunt: controls zijn het resultaat van een risicoafweging, niet het startpunt.3
| Traditionele benadering | NIS2-benadering |
|---|---|
| Een vaste lijst controls afvinken | Alle tien categorieën adresseren; de concrete maatregelen risicogedreven inrichten |
| Controls implementeren omdat het "moet" | De invulling en zwaarte van maatregelen onderbouwen vanuit risico |
| Nadruk op beleid en documentatie | Nadruk op aantoonbare werking en bestuurbaarheid |
ENISA: van tien maatregelcategorieën naar dertien thema's met bewijsvoorbeelden
Voor de sectoren digitale infrastructuur, ICT-beheer en digitale aanbieders heeft de Europese Commissie de tien maatregelen uitgewerkt in Uitvoeringsverordening (EU) 2024/2690, met dertien thematische implementatiedomeinen. Die verordening is bindend voor de genoemde sectoren.4 ENISA heeft daarbij Technical Implementation Guidance gepubliceerd met concrete bewijsvoorbeelden per maatregel en mappings naar internationale standaarden; de guidance zelf is een gezaghebbend hulpmiddel, geen bindende regelgeving.5 Voor alle andere sectoren is zij een sterk, vrijwillig referentiekader met concrete implementatieopties en bewijsvoorbeelden; bindend is zij daar niet, en zij vervangt geen sector- of organisatiespecifieke beoordeling.
Wat organisaties vaak vergeten: operationalisatie
Het benoemen van maatregelen is stap één. Het terugkerende probleem is dat maatregelen niet worden geoperationaliseerd. Een control telt niet omdat zij in een beleidsdocument staat. Zij telt pas als voor uw organisatie helder is:
- waarom de maatregel is gekozen (de risicokoppeling);
- hoe zij is uitgewerkt in processen of techniek;
- wie verantwoordelijk is, op welk niveau en met welk mandaat;
- hoe zij wordt gemonitord en welke indicatoren daarbij horen;
- hoe u periodiek vaststelt dat zij daadwerkelijk werkt, via audits, tests, oefeningen of metrics.
NIS2-maatregelen zijn daarmee niet uitsluitend IT-onderwerpen: het zijn toetsbare bestuurlijke keuzes over techniek, processen en organisatie.
Voor de vertaling naar bewijsvoering en toezicht, zie NIS2 audit en aantoonbaarheid.
Hoe ik NIS2-maatregelen voor u vertaal
Ik werk niet met een standaardlijst die ik overal uitrol. Dat druist in tegen de kern van Artikel 21. Mijn aanpak richt zich op maatwerk en bestuurbaarheid:
- Context en risico als fundament. We expliciteren uw context, kritieke processen, afhankelijkheden en materiële risico's. Zonder deze basis is elke maatregel arbitrair.
- Gerichte invulling en prioritering. Alle tien de categorieën worden geadresseerd; binnen iedere categorie bepalen risico en context welke maatregelen, diepgang en volgorde passend zijn. We leggen bloot waar incidenthandling tekortschiet, welke leveranciers daadwerkelijke exposure opleveren, welke continuïteitsplannen ontbreken en waar de identity-architectuur gaten heeft.
- Normenkaders als gereedschap. ISO 27001/27002, BIO2, NIST CSF 2.0 en ENISA-guidance gebruiken we als toolkit om de maatregelen robuust in te richten: versnellers voor kwaliteit en aantoonbaarheid, geen doel op zich.6
Het doel: een set proportionele, uitlegbare en bestuurbare maatregelen die uw organisatie daadwerkelijk weerbaarder maakt. Een afgevinkte lijst is hooguit een bijproduct.
Uw maatregelen risicogedreven inrichten? Bekijk de dienst NIS2 en BIO2 →
Veelgestelde vragen over NIS2-maatregelen
Staat er een vaste lijst NIS2-maatregelen in de wet?
Ja en nee. Artikel 21, tweede lid, noemt tien verplichte maatregelcategorieën (letterpunten a tot en met j).2 Het schrijft niet voor dat iedere organisatie daarbinnen exact dezelfde controls implementeert: de concrete invulling hangt af van uw sector, risicoprofiel en afhankelijkheden. Dat is de proportionaliteitseis uit het eerste lid.
Zijn NIS2-maatregelen uitsluitend technisch?
Nee. De richtlijn eist expliciet technische, operationele én organisatorische maatregelen. Governance, risicomanagement, HR-security, leveranciersbeheer, training en crisismanagement zijn net zo belangrijk als techniek zoals cryptografie, segmentatie en MFA.
Is een gap-analyse voldoende om te voldoen?
Nee. Een gap-analyse is een nuttig startpunt, maar zonder diepgaande risicoanalyse leidt zij tot een boodschappenlijst met controls in plaats van een geïntegreerd, bestuurbaar managementsysteem. De toezichthouder toetst op de onderbouwing van keuzes, niet op de volledigheid van de lijst.
Welke maatregelen zijn in de praktijk het lastigst?
In mijn adviespraktijk zie ik vooral knelpunten in drie domeinen: supply chain risk management (vooral bij complexe ketens en cloud-afhankelijkheden), vulnerability- en patchmanagement (vooral bij legacy- en OT-systemen), en aantoonbare effectiviteitsbeoordeling (Artikel 21, tweede lid, onder f).
Is MFA nu wel of niet verplicht?
Artikel 21, tweede lid, onder j, verplicht MFA of continue authenticatie "waar passend". In de praktijk is MFA op kritieke systemen, beheerderstoegang en externe toegang de de facto baseline. Het ontbreken van MFA op kritieke systemen, beheerderstoegang of externe toegang zal vrijwel altijd om een expliciete, risicogedragen onderbouwing vragen.
Wilt u weten of uw maatregelen de toets van Artikel 21 doorstaan, van risicokoppeling tot aantoonbare werking? Plan een oriënterend gesprek.
Liever eerst zien wat een traject omvat? Bekijk de dienst NIS2 en BIO2 →
Bronnen
- Richtlijn (EU) 2022/2555 (NIS2-richtlijn), artikel 21, eerste lid. Bij de beoordeling van proportionaliteit wordt rekening gehouden met de mate van risicoblootstelling, de omvang van de entiteit en de waarschijnlijkheid en ernst van incidenten, inclusief de maatschappelijke en economische impact. Via EUR-Lex. ↩
- Richtlijn (EU) 2022/2555, artikel 21, tweede lid. De tien maatregelcategorieën (a t/m j): (a) risicoanalyse en informatiebeveiligingsbeleid; (b) incidentafhandeling; (c) bedrijfscontinuïteit, back-up, disaster recovery en crisismanagement; (d) supply chain security; (e) beveiliging bij aanschaf, ontwikkeling en onderhoud, inclusief vulnerability handling en disclosure; (f) beleid en procedures om de effectiviteit van maatregelen te beoordelen; (g) basis cyberhygiëne en training; (h) cryptografie en versleuteling; (i) personele beveiliging, toegangscontrole en assetbeheer; (j) multifactorauthenticatie of continue authenticatie, en beveiligde communicatie. ↩
- ISO/IEC 27005:2022, Guidance on managing information security risks. NIST SP 800-53 Rev. 5 positioneert controls als uitkomst van een risicogedreven selectieproces via SP 800-37 (Risk Management Framework). ↩
- Uitvoeringsverordening (EU) 2024/2690 van de Commissie van 17 oktober 2024, bindend voor de daarin genoemde sectoren (digitale infrastructuur, ICT-beheer en digitale aanbieders), met dertien thematische implementatiedomeinen. Via EUR-Lex. ↩
- ENISA, Technical Implementation Guidance on Cybersecurity Risk Management Measures (versie 1.0, juni 2025). Gezaghebbend hulpmiddel (zelf niet bindend) bij Uitvoeringsverordening (EU) 2024/2690, met bewijsvoorbeelden per maatregel en mappings naar internationale standaarden. Via enisa.europa.eu. ↩
- ISO/IEC 27001:2022 en ISO/IEC 27002:2022; NIST Cybersecurity Framework 2.0; Ministerie van Binnenlandse Zaken en Koninkrijksrelaties, Baseline Informatiebeveiliging Overheid 2 (BIO2), versie 1.3, via bio-overheid.nl. ↩