NIS2-zorgplicht: de beveiligingsmaatregelen

Kort antwoord: Artikel 21 van Richtlijn (EU) 2022/2555 (NIS2) verplicht essentiële en belangrijke entiteiten passende en evenredige technische, operationele en organisatorische maatregelen te nemen om de risico's voor hun netwerk- en informatiesystemen te beheersen. De maatregelen zijn risicogebaseerd en samengevat in tien concrete categorieën. Het bestuur van de organisatie is eindverantwoordelijk en aansprakelijk voor naleving.

Wettelijke grondslag en reikwijdte

Artikel 21, lid 1 van de NIS2-richtlijn schrijft voor dat lidstaten waarborgen dat essentiële en belangrijke entiteiten maatregelen nemen die in verhouding staan tot het risico, rekening houdend met de stand van de techniek en de implementatiekosten. De maatstaf is niet een uniforme vereistenlijst, maar een risicoanalyse die de organisatie zelf uitvoert. Artikel 20 bepaalt daarnaast dat het bestuur van een entiteit de maatregelen goedkeurt, toeziet op de uitvoering en aansprakelijk kan worden gesteld bij niet-naleving. Bestuurders moeten daarvoor over voldoende cybersecuritykennis beschikken of die verwerven via periodieke training.

De tien maatregelen van artikel 21, lid 2

De richtlijn noemt de volgende verplichte categorieën, die voor de Nederlandse uitvoeringspraktijk door het NCSC zijn uitgewerkt:

1. Risicoanalyse en beleid — vastgesteld beleid voor analyse van netwerk- en informatiesysteemrisico's.
2. Incidentrespons — procedures voor het afhandelen van beveiligingsincidenten.
3. Bedrijfscontinuïteit — back-upbeheer, noodherstelplannen en crisisbeheer.
4. Ketenbeveiliging — beveiligingsaspecten van relaties met directe leveranciers en dienstverleners.
5. Beveiliging bij ontwikkeling en onderhoud — veilige verwerving, ontwikkeling en onderhoud van systemen, inclusief patchbeheer en kwetsbaarheidsafhandeling.
6. Effectiviteitsbeoordeling — beleid en procedures voor het periodiek testen van beveiligingsmaatregelen.
7. Cyberhygiëne en training — basispraktijken voor digitale hygiëne en bewustwordingstraining van medewerkers.
8. Cryptografie en encryptie — beleid voor het gebruik van cryptografische standaarden en sleutelbeheer.
9. Personeel, toegang en assetbeheer — screening van medewerkers, toegangsbeheer en inventarisatie van bedrijfsmiddelen.
10. Multifactorauthenticatie — inzet van MFA of continue authenticatie en beveiligde communicatiekanalen.

Proportionaliteit en Nederlandse implementatie

De maatregelen zijn niet one-size-fits-all: de organisatie weegt omvang, blootstellingsprofiel en sectorspecifieke risico's mee. Nederland heeft de NIS2-richtlijn nog niet volledig omgezet; de Europese omzettingstermijn was 17 oktober 2024. Het wetsvoorstel Cyberbeveiligingswet is in 2025 bij de Tweede Kamer ingediend en treedt naar verwachting in de loop van 2026 in werking. Organisaties die nu al vallen onder de reikwijdte van de richtlijn, worden geacht vrijwillig aan de verplichtingen te voldoen in afwachting van de formele inwerkingtreding.