Vertaal de zorgplicht uit NIS2 en de Cyberbeveiligingswet naar concrete maatregelen, eigenaren en bewijs.
Start met risico en bestuurlijke verantwoordelijkheid
Breng kritieke diensten, netwerk- en informatiesystemen, afhankelijkheden en dreigingen samen in één risicoanalyse. Laat het bestuur richting geven, maatregelen goedkeuren en toezicht houden op uitvoering.
Maak per maatregel zichtbaar welk risico wordt beheerst, wie eigenaar is, hoe werking wordt gecontroleerd en welk bewijs beschikbaar is.
Onderstaande onderwerpen vatten de zorgplicht samen. Het is geen volledige wettelijke checklist. De concrete maatregelen volgen uit jullie risicoanalyse en de toepasselijke regels.
- risicoanalyse en beleid voor systeembeveiliging
- incidentbehandeling en meldproces
- bedrijfscontinuïteit, back-up en crisisbeheer
- beveiliging van de toeleveringsketen
- veilige ontwikkeling, onderhoud en kwetsbaarheden
- effectiviteitsbeoordeling, opleiding en cyberhygiëne
- cryptografie, personeel, toegang en activa
- waar passend: multifactorauthenticatie en beveiligde communicatie
Maak maatregelen passend en evenredig
Niet iedere organisatie hoeft dezelfde techniek op dezelfde manier in te richten. Leg uit waarom een maatregel passend is bij de omvang, blootstelling, mogelijke incidentimpact en stand van de techniek.
Onderbouw welke maatregelen passend en evenredig zijn en leg de uitvoering en eventuele alternatieven vast. Risicoacceptatie door het bestuur heft wettelijke verplichtingen niet op. Toets ook de nadere eisen die voor jouw type organisatie gelden.
Van plan naar aantoonbare werking
Zet acties in een uitvoerbaar plan met prioriteiten. Verzamel bewijs in het werkproces: testresultaten, reviews, verslagen, incidentregistraties en leveranciersbeoordelingen.
Hergebruik bestaande managementsystemen
Een bestaand ISMS volgens ISO 27001 of NEN 7510 kan veel bouwstenen leveren. Maak wel een expliciete mapping naar de Cyberbeveiligingswet, zodat aanvullende eisen, meldtermijnen, registratie en bestuurlijke taken niet tussen bestaande processen verdwijnen.
Veelgestelde vragen
Is een ISO 27001-certificaat genoeg voor NIS2?+
Het kan veel maatregelen ondersteunen, maar vervangt geen toets van wettelijke toepasselijkheid en aanvullende verplichtingen.
Moeten alle maatregelen tegelijk af zijn?+
Houd rekening met de toepasselijke wettelijke termijnen en prioriteer op risico en wettelijke noodzaak. Maak open punten en herstelacties zichtbaar voor het bestuur; een eigen prioriteitenlijst geeft geen extra uitstel.
Wie is verantwoordelijk?+
Het bestuur heeft een actieve rol; uitvoering wordt verdeeld over passende eigenaren.
Gebruikte en geraadpleegde bronnen
Voor feitelijke en tijdgevoelige informatie gebruiken we bij voorkeur primaire bronnen. Controleer bij belangrijke besluiten altijd de actuele officiële publicatie.
- NCSC: de zorgplicht en maatregelenGeraadpleegd op 20 september 2026
- EUR-Lex: NIS2-richtlijnGeraadpleegd op 20 september 2026
- Cyberbeveiligingswet: definitieve wet (Staatsblad 2026, 187)Geraadpleegd op 20 september 2026
- Cyberbeveiligingsbesluit: uitwerking en inwerkingtreding (Staatsblad 2026, 189)Geraadpleegd op 20 september 2026
Gerelateerde artikelen
Deze uitleg is algemeen en vervangt geen juridische beoordeling of de officiële normtekst.