NIS2 maatregelen: wat Artikel 21 echt van uw organisatie vraagt
Artikel 21 van de NIS2-richtlijn benoemt tien verplichte maatregelcategorieën voor essentiële en belangrijke entiteiten. In Nederland is de zorgplicht sinds 15 augustus 2026 vastgelegd in de Cyberbeveiligingswet. De concrete eisen volgen uit de wet, het Cyberbeveiligingsbesluit en de toepasselijke sector- of Europese regelgeving. Uw risicoanalyse bepaalt de passende uitvoering en eventuele aanvullende maatregelen. Wettelijke minimumeisen blijven daarbij het uitgangspunt. U moet kunnen onderbouwen waarom uw maatregelen passend zijn en aantonen dat ze werken.
Een overzicht met NIS2-maatregelen helpt om uw aanpak te structureren. Voor een onderbouwde inrichting heeft u ook inzicht nodig in uw dienstverlening, afhankelijkheden en risico's. Dezelfde maatregel kan bij een ziekenhuis, een gemeente en een clouddienstverlener een andere uitwerking vragen.
Artikel 21 NIS2 verlangt passende en evenredige technische, operationele en organisatorische maatregelen. Bij de invulling houdt u rekening met de stand van de techniek, uitvoeringskosten en relevante normen. De proportionaliteit hangt onder meer af van uw risicoblootstelling, omvang en de kans en ernst van incidenten, inclusief hun maatschappelijke en economische gevolgen. De beoordeling omvat ook de fysieke omgeving van uw netwerk- en informatiesystemen.1
Voor Nederlandse organisaties is deze zorgplicht sinds 15 augustus 2026 verankerd in artikel 21 van de Cyberbeveiligingswet (Cbw). De tien categorieën staan in het derde lid van dat artikel. Gebruik bij de implementatie ook het Cyberbeveiligingsbesluit (Cbb) en de toepasselijke sectorregeling. Voor bepaalde digitale dienstverleners gelden rechtstreeks Europese uitvoeringsregels.2 Stel eerst vast welke verplichtingen op uw organisatie van toepassing zijn; zie daarvoor het artikel over de reikwijdte van de Cyberbeveiligingswet.
De tien categorieën vormen de minimale inhoud van de zorgplicht. De risicogedreven ruimte zit in de concrete invulling, zwaarte en samenhang van maatregelen. Waar een voorschrift een minimum stelt, moet uw uitvoering daaraan voldoen. Waar de regelgeving ruimte laat voor een beoordeling van passendheid of toepasselijkheid, onderbouwt u die keuze. Alleen een risico accepteren is onvoldoende om een wettelijke eis terzijde te schuiven.
Kern: breng wettelijke eisen en risico's samen in één aanpak. Leg per maatregel vast aan welke verplichting en welk risico zij bijdraagt, wie verantwoordelijk is en hoe u de werking toetst.
Die samenhang vraagt aandacht bij de inrichting. Een leveranciersbeoordeling, herstelplan en toegangsbeleid moeten aansluiten op dezelfde kritieke processen en afhankelijkheden. Anders blijven het afzonderlijke documenten zonder duidelijk beeld van de bescherming van uw dienstverlening.
Voor de overkoepelende visie op NIS2-implementatie, zie NIS2 implementatie.
De valkuil van de checklist: risico als startpunt
Een normenkader of gap-analyse is bruikbaar om eisen en tekortkomingen zichtbaar te maken. Het risico ontstaat wanneer die inventarisatie de plaats inneemt van een inhoudelijke risicoafweging. U moet kunnen uitleggen welke dienstverlening bescherming nodig heeft, welke scenario's die bedreigen en waarom de gekozen maatregelen voldoende zijn.
Voor overheidsinstanties heeft BIO2 inmiddels een wettelijke rol via de toepasselijke ministeriële regeling. Zo verplicht de Cyberbeveiligingsregeling sector overheid, die waterschappen uitzondert, tot het gebruik van de aangewezen ISO-beheersmaatregelen en de relevante BIO2-overheidsmaatregelen. Andere normenkaders zijn onder voorwaarden mogelijk, waarbij noodzakelijkheid en een ten minste gelijkwaardig beveiligingsniveau aantoonbaar moeten zijn. Ook opzet, bestaan en werking van de maatregelen moeten aantoonbaar zijn.3
Een maatregel kan dus volgen uit een wettelijke ondergrens, een risicoafweging of beide. ISO/IEC 27005:2022 biedt handvatten voor het identificeren, beoordelen en behandelen van informatiebeveiligingsrisico's. Daarmee kunt u de keuze en uitwerking van maatregelen onderbouwen binnen de regels die voor uw organisatie gelden.4
| Checklist als eindpunt | Risicogedreven uitvoering |
|---|---|
| Een vaste lijst controls afvinken | De tien categorieën en toepasselijke minimumeisen vertalen naar uw risico's en dienstverlening |
| Een maatregel overnemen zonder de invulling te onderbouwen | Vastleggen welke eis en welk risico de maatregel afdekt, en welke uitvoering nodig is |
| Een beleidsdocument als bewijs van voltooiing gebruiken | Beleid uitvoeren, de werking toetsen en tekortkomingen opvolgen |
ENISA: van tien maatregelcategorieën naar dertien thema's met bewijsvoorbeelden
Uitvoeringsverordening (EU) 2024/2690 stelt bindende technische en methodologische eisen aan specifiek omschreven typen entiteiten binnen NIS2. Het gaat om DNS-dienstverleners, registers voor topleveldomeinnamen, aanbieders van cloud- en datacentrumdiensten, content delivery networks, beheerde diensten (MSP's), beheerde beveiligingsdiensten (MSSP's), onlinemarktplaatsen, onlinezoekmachines, socialenetwerkplatforms en vertrouwensdiensten. De verordening geldt dus niet automatisch voor iedere organisatie binnen een breed aangeduide digitale sector.5
De bijlage werkt de eisen uit in dertien thema's. Voor de essentiële en belangrijke entiteiten uit deze opsomming bepaalt artikel 4 Cbb dat artikelen 6 tot en met 18 Cbb niet van toepassing zijn. Zij gebruiken voor die uitwerking de Europese verordening. De overige toepasselijke Cbw-verplichtingen blijven gelden.
ENISA publiceerde daarbij de Technical Implementation Guidance, versie 1.0 van juni 2025. Deze bevat implementatieadvies, bewijsvoorbeelden en koppelingen met internationale standaarden. Op de publicatiepagina staat ook een afzonderlijke mappingtabel, versie 1.2. De guidance en mappingtabel zijn hulpmiddelen; de verordening bevat de bindende eisen.6 Organisaties buiten de reikwijdte kunnen de voorbeelden gebruiken naast de voor hen geldende Nederlandse regels.
Van maatregel naar aantoonbare uitvoering
Het benoemen van maatregelen is de eerste stap. Voor de uitvoering moet per maatregel duidelijk zijn:
- waarom zij nodig is: welke wettelijke eis en welk risico zij afdekt;
- hoe zij is uitgewerkt in processen, techniek en werkinstructies;
- wie verantwoordelijk is voor uitvoering en besluitvorming, met welk mandaat;
- hoe de uitvoering wordt gevolgd en welke afwijkingen om actie vragen;
- wanneer en hoe de werking wordt getoetst, bijvoorbeeld met audits, hersteltests of oefeningen, en hoe bevindingen worden opgevolgd.
Voor organisaties waarop artikelen 6 tot en met 18 Cbb van toepassing zijn, is dit nader uitgewerkt. Artikel 6 verlangt een managementsystematiek om aantoonbaar aan de zorgplicht te voldoen. Artikel 9 verlangt onder meer periodieke tests van herstel- en continuïteitsplannen. Artikel 18 verplicht tot periodieke evaluatie van de doeltreffendheid, schriftelijke vastlegging van de resultaten en aanpassing waar nodig.2
Een back-upbeleid krijgt bijvoorbeeld pas betekenis wanneer duidelijk is welke gegevens worden beschermd, wie herstel uitvoert en of herstel binnen de afgesproken tijd lukt. Testresultaten, geconstateerde problemen en uitgevoerde verbeteringen maken de werking toetsbaar.
Voor de vertaling naar bewijsvoering en toezicht, zie NIS2 audit en aantoonbaarheid.
Hoe ik NIS2-maatregelen voor u vertaal
Mijn aanpak verbindt de toepasselijke eisen aan de inrichting van uw organisatie:
- Context, eisen en risico's vaststellen. We brengen uw kritieke processen, afhankelijkheden en materiële risico's in beeld. Daarbij stellen we vast welke wettelijke bepalingen en nadere regels gelden.
- Maatregelen uitwerken en prioriteren. We adresseren de tien categorieën en de toepasselijke minimumeisen. We bepalen waar incidentafhandeling tekortschiet, welke leveranciersrisico's beheersing vragen, welke herstelvoorzieningen ontbreken en waar toegang onvoldoende is beveiligd. Prioritering helpt bij de uitvoering; een verbeterplan schort geldende verplichtingen niet op.
- Normenkaders gericht toepassen. ISO 27001/27002, NIST CSF 2.0 en ENISA-guidance helpen om maatregelen te structureren en te toetsen. Waar een regeling normen of BIO2-maatregelen voorschrijft, verwerken we die als wettelijke eisen, met de ruimte en voorwaarden die de regeling biedt.
Het resultaat is een onderbouwde inrichting met duidelijke verantwoordelijkheden, toetsbare maatregelen en zicht op resterende risico's. Zo kan uw bestuur besluiten over de beveiliging van de dienstverlening.
Uw maatregelen risicogedreven inrichten? Bekijk de dienst NIS2 en BIO2 →
Veelgestelde vragen over NIS2-maatregelen
Staat er een vaste lijst NIS2-maatregelen in de wet?
Artikel 21, tweede lid, NIS2 noemt tien maatregelcategorieën. In de Cbw staan die in artikel 21, derde lid. De concrete invulling hangt af van uw risico's en de toepasselijke nadere regelgeving. Het Cbb, sectorregelingen en Europese uitvoeringsregels kunnen concrete minimumeisen stellen. Controleer daarom zowel de algemene zorgplicht als de regels voor uw type organisatie.
Zijn NIS2-maatregelen uitsluitend technisch?
Nee. De zorgplicht omvat technische, operationele en organisatorische maatregelen. Daaronder vallen ook personele beveiliging, leveranciersbeheer, training, crisismanagement en de fysieke bescherming van systemen. De samenhang met uw dienstverlening bepaalt hoe u die maatregelen inricht.
Is een gap-analyse voldoende om te voldoen?
Nee. Een gap-analyse laat zien waar uw inrichting afwijkt van de eisen. Daarna moet u passende maatregelen uitvoeren, de werking toetsen en tekortkomingen opvolgen. Een toezichthouder kan zowel de naleving van concrete voorschriften als de onderbouwing en werking van uw maatregelen beoordelen. Een volledige lijst en een goede risicoanalyse zijn onderdelen van die aantoonbaarheid.
Welke maatregelen zijn in de praktijk het lastigst?
In mijn adviespraktijk zie ik vooral knelpunten bij leveranciersrisico's in complexe ketens en cloudomgevingen, bij vulnerability- en patchmanagement voor legacy- en OT-systemen, en bij het aantoonbaar beoordelen van de effectiviteit van maatregelen. In die situaties moeten technische beperkingen, verantwoordelijkheden en besluitvorming op elkaar aansluiten.
Is MFA verplicht?
Artikel 21, tweede lid, onder j, NIS2 noemt multifactorauthenticatie of continue authenticatie wanneer gepast. De Cbw neemt dit over in artikel 21, derde lid, onder j. Voor entiteiten onder Uitvoeringsverordening 2024/2690 koppelt onderdeel 11.7 van de bijlage de toepassing en sterkte van authenticatie aan de classificatie van het systeem of middel waartoe toegang wordt verkregen.5
Beoordeel dus per toegangsvorm wat nodig is, met bijzondere aandacht voor beheeraccounts, externe toegang en kritieke systemen. Controleer ook de sectorale eisen. Waar de regelgeving ruimte laat om MFA niet toe te passen, moet die keuze inhoudelijk onderbouwd zijn. Een technische beperking is aanleiding om een passende oplossing of toegestane gelijkwaardige invulling te onderzoeken.
Wilt u weten of uw maatregelen aansluiten op de Cbw-zorgplicht, van risicoafweging tot aantoonbare werking? Plan een oriënterend gesprek.
Liever eerst zien wat een traject omvat? Bekijk de dienst NIS2 en BIO2 →
Bronnen
- Richtlijn (EU) 2022/2555 (NIS2), artikel 21, eerste tot en met vierde lid: proportionaliteit, de tien maatregelcategorieën, leveranciersrisico's en corrigerende maatregelen. De meldplicht staat in artikel 23. Via EUR-Lex. ↩
- Cyberbeveiligingswet, Staatsblad 2026, 187, artikel 21 (zorgplicht) en artikel 24 (governance), via officielebekendmakingen.nl. Cyberbeveiligingsbesluit, Staatsblad 2026, 189, artikel 4 (verhouding tot EU-verordening 2024/2690) en artikelen 6–18 (nadere zorgplichteisen), via officielebekendmakingen.nl. NCTV, Wetten en regelgeving, voor de inwerkingtreding op 15 augustus 2026 en gepubliceerde sectorregelingen. ↩
- Ministerie van Binnenlandse Zaken en Koninkrijksrelaties, Cyberbeveiligingsregeling sector overheid, Staatscourant 2026, 27679. Artikel 2 bepaalt de reikwijdte; artikelen 3–5 regelen de managementsystematiek, cruciale systemen en het gebruik van ISO-beheersmaatregelen en relevante BIO2-overheidsmaatregelen, inclusief de voorwaarden voor andere normenkaders. De regeling verwijst naar BIO2 versie 1.3. Via officielebekendmakingen.nl. ↩
- ISO/IEC 27005:2022, Guidance on managing information security risks. De openbare ISO-beschrijving licht de ondersteuning bij het identificeren, beoordelen en behandelen van informatiebeveiligingsrisico's toe. Via iso.org. ↩
- Uitvoeringsverordening (EU) 2024/2690 van 17 oktober 2024. Artikelen 1 en 2 bepalen de reikwijdte en toepassing; de bijlage bevat dertien thema's. Onderdeel 11.7 gaat over multifactorauthenticatie. Bij eisen met een toepasselijkheidsvoorbehoud verlangt artikel 2 een begrijpelijk vastgelegde motivering wanneer een entiteit zo'n eis niet toepast. Via EUR-Lex. ↩
- ENISA, Technical Implementation Guidance on Cybersecurity Risk Management Measures, versie 1.0, gepubliceerd op 26 juni 2025. De publicatiepagina bevat ook de afzonderlijke Mapping table, versie 1.2. Beide zijn ondersteunende hulpmiddelen bij Uitvoeringsverordening 2024/2690 en zelf niet bindend. Via enisa.europa.eu. ↩