Welke maatregelen eist NIS2 artikel 21 en waar staan ze in de Cbw?

Waar Trusq dit op baseert

Deze gekeurde regels staan in Trusq en worden bij elke publicatie opnieuw ingelezen; verandert een regel, dan verandert deze pagina mee.

• Organisatie: Onderhoud beleid voor beveiliging en risicomanagement. NIS2 21(2)(a), Cbw 21(3)(a)
• Organisatie: Gebruik passende authenticatie en beveiligde communicatie. NIS2 21(2)(j), Cbw 21(3)(j)

Bronnen

1. [1] NIS2 art. 21(2) (Richtlijn (EU) 2022/2555 (NIS2)). NIS2 artikel 21, lid 2, somt de maatregelen a tot en met j op.

   2. De in lid 1 bedoelde maatregelen zijn gebaseerd op een benadering die alle gevaren omvat en tot doel heeft netwerk- en informatiesystemen en de fysieke omgeving van die systemen tegen incidenten te beschermen, en omvatten ten minste het volgende: […] a) beleid inzake risicoanalyse en beveiliging van informatiesystemen; b) incidentenbehandeling; c) bedrijfscontinuïteit, zoals back-upbeheer en noodvoorzieningenplannen, en crisisbeheer; d) de beveiliging van de toeleveringsketen, met inbegrip van beveiligingsgerelateerde aspecten met betrekking tot de relaties tussen elke entiteit en haar rechtstreekse leveranciers of dienstverleners; e) beveiliging bij het verwerven, ontwikkelen en onderhouden van netwerk- en informatiesystemen, met inbegrip van de respons op en bekendmaking van kwetsbaarheden; f) beleid en procedures om de effectiviteit van maatregelen voor het beheer van cyberbeveiligingsrisico’s te beoordelen; g) basispraktijken op het gebied van cyberhygiëne en opleiding op het gebied van cyberbeveiliging; h) beleid en procedures inzake het gebruik van cryptografie en, in voorkomend geval, encryptie; i) beveiligingsaspecten ten aanzien van personeel, toegangsbeleid en beheer van activa; j) wanneer gepast, het gebruik van multifactor-authenticatie- of continue-authenticatieoplossingen, beveiligde spraak-, video- en tekstcommunicatie en beveiligde noodcommunicatiesystemen binnen de entiteit.

   Bron, opgehaald op 2 oktober 2026.
2. [2] Cbw art. 21(3) (Cyberbeveiligingswet). Cbw artikel 21, lid 3, bevat dezelfde tien onderdelen.

   3. De maatregelen, bedoeld in het eerste lid, zijn gebaseerd op een benadering die alle gevaren omvat en tot doel heeft netwerk- en informatiesystemen en de fysieke omgeving van die systemen tegen incidenten te beschermen, en omvatten ten minste het volgende: […] a. beleid inzake risicoanalyse en beveiliging van informatiesystemen; b. incidentenbehandeling; c. bedrijfscontinuïteit, zoals back-upbeheer en herstelplannen, en crisisbeheer; d. de beveiliging van de toeleveringsketen, met inbegrip van beveiligingsgerelateerde aspecten met betrekking tot de relaties tussen de entiteit en haar rechtstreekse leveranciers of dienstverleners; e. beveiliging bij het verwerven, ontwikkelen en onderhouden van netwerk- en informatiesystemen, met inbegrip van de respons op en bekendmaking van kwetsbaarheden; f. beleid en procedures om de effectiviteit van maatregelen voor het beheersen van cyberbeveiligingsrisico’s te beoordelen; g. basispraktijken op het gebied van cyberhygiëne en opleiding op het gebied van cyberbeveiliging; h. beleid en procedures inzake het gebruik van cryptografie en, in voorkomend geval, encryptie; i. beveiligingsaspecten ten aanzien van personeel, toegangsbeleid en beheer van assets; en j. wanneer gepast, het gebruik van multifactor-authenticatie- of continue-authenticatieoplossingen, beveiligde spraak-, video- en tekstcommunicatie en beveiligde noodcommunicatiesystemen binnen de entiteit.

   Bron, opgehaald op 2 oktober 2026.
3. [3] Cbb art. 4 (Cyberbeveiligingsbesluit). Cbb artikel 4 sluit de artikelen 6 tot en met 18 uit voor onder meer cloud-, datacenter- en beheerde-dienstenaanbieders.

   Gelet op artikel 1 van de Uitvoeringsverordening (EU) 2024/2690 zijn de artikelen 6 tot en met 18 niet van toepassing op de volgende essentiële entiteiten en belangrijke entiteiten: a. DNS-dienstverleners; b. registers voor topleveldomeinnamen; c. aanbieders van cloudcomputingdiensten; d. aanbieders van datacentrumdiensten; e. aanbieders van netwerken voor de levering van inhoud; f. aanbieders van beheerde diensten; g. aanbieders van beheerde beveiligingsdiensten; h. aanbieders van onlinemarktplaatsen; i. aanbieders van onlinezoekmachines; j. aanbieders van platforms voor socialenetwerkdiensten; en k. verleners van vertrouwensdiensten.

   Bron, opgehaald op 2 oktober 2026.