Is een kwetsbaarhedenscan verplicht onder NIS2?
Gepubliceerd op 16 augustus 2026
Dit artikel is algemene informatie over wet- en regelgeving en geen juridisch advies.
In het kort: een kwetsbaarhedenscan is niet wettelijk verplicht onder NIS2. Geen enkele tool is dat. De wet eist passende maatregelen voor risicobeheer én het vermogen om die maatregelen aan te tonen. Voor veel organisaties wordt een doorlopende scan daar de praktische invulling van, zonder dat de wet het woord "scan" ooit gebruikt.
Wie voor het eerst een NIS2-vragenlijst van een grote klant ontvangt, zoekt al snel op de vraag of een kwetsbaarhedenscan verplicht is. Het antwoord is kort. De uitleg erachter bepaalt echter wat u wél moet regelen, en daar gaat dit artikel over.
Wat de wet wél eist
Artikel 21 van de NIS2-richtlijn verplicht essentiële en belangrijke entiteiten tot passende en evenredige technische, operationele en organisatorische maatregelen om de risico's voor hun netwerk- en informatiesystemen te beheersen. Lid 2 noemt daarbij expliciet onderwerpen als risicoanalyse, incidentenbehandeling, bedrijfscontinuïteit en de beveiliging van de toeleveringsketen. In Nederland zijn die eisen sinds 15 augustus 2026 van kracht via de Cyberbeveiligingswet, zonder algemene overgangstermijn.
Eén onderdeel komt dichter bij scannen dan de rest. Artikel 21 lid 2 noemt onder e (bij de beveiliging van verwerving, ontwikkeling en onderhoud van systemen) expliciet de respons op en bekendmaking van kwetsbaarheden, en onder f beleid en procedures om de effectiviteit van de maatregelen te beoordelen. De richtlijn laat open hóe u kwetsbaarheden opspoort, maar zonder een manier om ze te vinden valt er niets te behandelen, bekend te maken of te beoordelen.
Die opsomming noemt verder geen productnaam, scanner of frequentie. De kern van de zorgplicht: de maatregelen moeten passen bij uw risico's, en u moet kunnen laten zien dat ze werken. Geregeld hebben is niet genoeg; de lat ligt bij aantonen.
Waarom "verplicht" de verkeerde vraag is
De vraag "welke tool moet ik kopen om compliant te zijn" slaat precies de stap over die de wet vooropstelt: de risicoanalyse. Een leverancier die beweert dat zijn product NIS2-verplicht is, verkoopt urgentie. Dat geldt ook voor Exposentry: scannen is geen NIS2-compliance.
De vraag die een toezichthouder of auditor wél stelt: kent u uw kwetsbaarheden, beheert u ze, en kunt u dat laten zien? Daar komt de scan in beeld.
Papier of meting: wat de ander wil zien
Een beleidsdocument en een ingevulde vragenlijst beschrijven de bedoeling. Een externe meting laat de werkelijkheid zien: welke systemen er vandaag aan het internet hangen, welke bekende kwetsbaarheden daarop zichtbaar zijn en of de basisinstellingen kloppen. Voor de ketenzorgplicht is dat verschil wezenlijk: uw klant moet aan zíjn toezichthouder kunnen uitleggen waarom hij u vertrouwt, en een gedateerde, onafhankelijke rapportage is daarvoor sterker bewijs dan een belofte.
Hoe aantoonbaar bewijs er in de praktijk uitziet
Vier eigenschappen maken een meting bruikbaar als onderbouwing. Ze is gedateerd: het rapport laat zien wanneer er gemeten is, zodat duidelijk is hoe actueel het beeld is. Ze is herhaald: één losse scan van vorig jaar zegt weinig over vandaag; een reeks rapporten laat zien dat kwetsbaarheden worden opgevolgd. Ze is onafhankelijk: een meting van buitenaf, door een partij zonder belang bij de uitkomst, weegt zwaarder dan een eigen verklaring. En ze is verifieerbaar: wie het rapport ontvangt, moet kunnen controleren dat het sindsdien niet is aangepast, bijvoorbeeld via een digitale verzegeling met tijdstempel.
Een vragenlijst kan naast zo'n meting blijven bestaan. De combinatie is juist sterk: het papier beschrijft het beleid, de meting onderbouwt dat het beleid in de praktijk werkt.
Waar de scan past in kwetsbaarhedenbeheer
Het NCSC spreekt van kwetsbaarhedenbeheer; in de markt heet hetzelfde proces vaak kwetsbaarheidsbeheer. De stappen zijn gelijk: ontdekken wat u heeft, detecteren wat daarop kwetsbaar is, prioriteren, herstellen en aantonen. De scan is de detectiestap in dat proces. De stappen eromheen maken van de gevonden lijst het beheer dat u kunt verantwoorden. Wie dat doorlopend inricht, doet aan vulnerability monitoring: dezelfde detectie, maar dan doorlopend.
Zelf bepalen wat passend is
"Passend en evenredig" betekent dat een zzp'er met één website iets anders hoeft dan een leverancier van software aan ziekenhuizen. Voor de meeste MKB-organisaties in een keten is de combinatie logisch: een doorlopende, brede kwetsbaarhedenscan als basis, en gericht diepgaand onderzoek waar de risico's het grootst zijn. Hoe die twee zich verhouden staat in het verschil tussen een pentest en een kwetsbaarhedenscan.
Conclusie
Is een kwetsbaarhedenscan verplicht onder NIS2? Nee. Is het voor de meeste organisaties de praktische manier om de zorgplicht rond kwetsbaarheden in te vullen en aan te tonen? In veel gevallen wel. De wet schrijft geen tool voor. In de praktijk ligt de lat bij wat u kunt aantonen; die duiding komt uit audits en klantuitvragen, de wettekst zelf blijft techniekneutraal. Wat u meet, kunt u onderbouwen en gericht verbeteren.
Geschreven door Edward Hasekamp, oprichter van Exposentry en collaborator op het open-source OpenKAT-project. Zie het project op GitHub en het profiel op github.com/hasecon. Exposentry levert EU-soevereine, forensisch onderbouwde vulnerability monitoring op basis van OpenKAT. Meer artikelen in de Kennisbank.