NIS2 compliance checklist: aantoonbaar voldoen in 2026

Gepubliceerd op 22 augustus 2026

Valt uw organisatie onder de Cyberbeveiligingswet (Cbw)? Dan telt bij een controle maar één ding: kunt u aantonen wat u geregeld heeft. De wet is op 15 augustus 2026 in werking getreden, zonder algemene overgangstermijn, en geldt voor essentiële en belangrijke entiteiten. Deze checklist loopt de verplichtingen langs in de volgorde waarin u ze aanpakt: scope, de tien maatregelgebieden, de meldplicht en het bewijsdossier dat een audit doorstaat.

Val ik onder de Cyberbeveiligingswet?

De Cbw geldt voor organisaties in de aangewezen sectoren die de drempels voor medewerkersaantal of omzet en balanstotaal overschrijden. Ook wie zelf buiten de wet valt, kan als kritieke toeleverancier van een essentiële entiteit via contracten vergelijkbare eisen opgelegd krijgen.

Controleer of uw sector in de bijlagen van de NIS2-richtlijn staat.
Toets medewerkersaantal en omzet tegen de drempels voor essentiële of belangrijke entiteit, bijvoorbeeld met de NIS2-Zelfevaluatie van de RDI. Onze zelfcheck loopt dezelfde vragen langs.
Registreer uw organisatie in het entiteitenregister via MijnNCSC.
Bepaal of u direct in scope zit of indirect, via keteneisen van een opdrachtgever. Indirect in scope betekent in de praktijk: bewijs leveren aan uw opdrachtgever, met vaak dezelfde soort documentatie.

Toezicht, boetes en de rol van het bestuur

Het toezicht is sectoraal belegd. De RDI houdt toezicht op negen sectoren, waaronder digitale infrastructuur, energie en overheid; andere sectoren hebben een eigen toezichthouder, zoals DNB voor de financiële sector. Essentiële entiteiten krijgen proactief toezicht: de toezichthouder kan ook zonder aanleiding audits en inspecties uitvoeren. Belangrijke entiteiten worden reactief getoetst, na signalen of incidenten. De verplichtingen zijn voor beide klassen gelijk; het verschil zit in hoe waarschijnlijk het is dat u het bewijs ongevraagd moet kunnen tonen.

De sancties zijn fors: een bestuurlijke boete kan oplopen tot € 10 miljoen of 2% van de wereldwijde jaaromzet voor essentiële entiteiten, en tot € 7 miljoen of 1,4% voor belangrijke entiteiten. Daarnaast kan de toezichthouder bindende aanwijzingen geven en bij essentiële entiteiten in het uiterste geval bestuurders tijdelijk schorsen.

Het bestuur is daarbij persoonlijk aanspreekbaar. De wet verplicht bestuurders de maatregelen goed te keuren, toe te zien op de uitvoering en zelf een opleiding over cyberrisico's te volgen (hiervoor geldt een termijn van maximaal twee jaar na inwerkingtreding). Een beleidsdocument zonder bestuurlijke goedkeuring en zonder trainingsbewijs voor het bestuur zelf staat bij een controle dan ook zwak.

De vijffasenchecklist: van nulmeting naar continue naleving

Een NIS2-traject werkt het beste als projectmatige reeks met een duidelijk resultaat per fase.

Scope en registratie. Bepaal de entiteitsklasse en registreer in het entiteitenregister via MijnNCSC. Resultaat: een scopedocument met onderbouwing en datum.
Nulmeting en risicoanalyse. Inventariseer assets, processen en dreigingen. Resultaat: een risicoregister met een eigenaar per risico.
Gap-analyse en prioritering. Vergelijk de huidige situatie met de tien maatregelgebieden uit artikel 21 van de NIS2-richtlijn. Resultaat: een actieplan met verantwoordelijken.
Implementatie. Voer beleid, procedures en technische maatregelen in. Resultaat: getekend beleid, proceduredocumenten en technische configuratiebewijzen.
Monitoring en continue verbetering. Houd naleving actueel met interne audits en directiebeoordeling. Resultaat: een actueel bewijsdossier en verslagen van bestuurlijke toetsing.

Wie al een ISMS op basis van ISO 27001 heeft, heeft een groot deel van fase drie en vier liggen. De Cbw-eisen rond meldtermijnen, bestuursverantwoordelijkheid en ketenzorg vragen wel aanvullende bewijsvoering die een generiek ISMS niet automatisch levert. Het Cbw (NIS2) Control Framework van de Auditdienst Rijk en NOREA geeft daarvoor een herkenbare structuur; het stappenplan van NLdigital combineert die bouwstenen met NCSC- en ENISA-richtlijnen.

De tien maatregelgebieden: papieren bewijs én externe meting

Artikel 21 van de NIS2-richtlijn somt tien maatregelgebieden op. Bij elk gebied hoort tweeërlei bewijs: het document dat aantoont dat u het geregeld heeft, en waar mogelijk een meting die aantoont dat het ook buiten werkt. Wie beide kan laten zien, staat bij een auditor aanzienlijk sterker.

Maatregelgebied (art. 21 lid 2)	Papieren bewijs	Extern meetbaar signaal
a. Risicoanalyse en beveiligingsbeleid	Getekend beleid, risicoregister	n.v.t.
b. Incidentenbehandeling	Meldprocedure, oefenverslagen	Aanwezigheid en geldigheid van security.txt
c. Bedrijfscontinuïteit en back-ups	Hersteltest met gedocumenteerde hersteltijd	n.v.t.
d. Ketenbeveiliging	Leveranciersbeoordelingen, contracteisen	Scanrapport van de leverancier
e. Veilige ontwikkeling en inkoop	Eisen in inkoop- en ontwikkelproces	Verouderde software zichtbaar van buiten
f. Effectiviteitsbeoordeling	Interne audits, directiebeoordeling	Herhaalde externe scan toont trend
g. Cyberhygiëne en training	Trainingsregister, ook voor het bestuur	Mailbeveiliging (SPF, DKIM, DMARC) publiek toetsbaar
h. Cryptografie	Versleutelingsbeleid	TLS-configuratie en certificaten publiek toetsbaar
i. Personeel, toegang en assets	Toegangsreviews, in- en uitdienstproces	Blootgestelde beheerinterfaces
j. MFA en beveiligde communicatie	Uitrolbewijs MFA	Blootgestelde inlogschermen op publiek bereikbare diensten

De rechterkolom blijft in de praktijk geregeld leeg: beleid zegt dat alles gepatcht is, terwijl een externe scan een vergeten subdomein met een verlopen certificaat en een openstaande beheerinterface vindt. Beide kolommen vullen, dat is aantonen.

De meldplicht: 24 uur, 72 uur, één maand

Een significant incident (een ernstige operationele verstoring of aanzienlijke schade, voor de eigen organisatie of voor anderen) meldt u via het centrale meldportaal op MijnNCSC bij het CSIRT én uw toezichthouder, in drie stappen: een vroegtijdige waarschuwing binnen 24 uur, een volledige incidentmelding binnen 72 uur en een eindrapport binnen één maand na de incidentmelding. De klok start zodra u weet dat het incident significant is. Neem deze termijnen op in de meldprocedure, wijs een verantwoordelijke aan en oefen het scenario minstens jaarlijks: een gemiste 24-uurstermijn is ook bij een verder beheerst incident formeel een tekortkoming.

Het bewijsdossier: wat wil een toezichthouder zien?

Een vaste, gepubliceerde lijst ontbreekt. Een bruikbare vuistregel uit de auditpraktijk: per maatregel één bewijsstuk, met datum, eigenaar en goedkeuring. Denk aan getekend beleid met versiedatum, een actueel risicoregister, patchlogs, hersteltests met resultaat en trainingsregisters. Zorg voor tijdstempels die achteraf niet aanpasbaar zijn: een auditor die twijfelt aan de authenticiteit van een log, zet de hele bewijsvoering onder druk. In forensische evidence voor auditors en verzekeraars staat hoe u die herleidbaarheid praktisch regelt.

Ketenzorgplicht: leveranciersrisico beheersen én bewijzen

Uw eigen beveiliging kan op orde zijn terwijl een leverancier met toegang tot uw systemen het zwakste punt is. De ketenzorgplicht verplicht u die risico's beheersbaar én aantoonbaar te maken. Classificeer leveranciers op kriticiteit, leg meldtermijnen en het recht op verificatie contractueel vast, en herbeoordeel kritieke leveranciers op een vaste cyclus. Een vragenlijst die een leverancier zelf invult, is daarbij hooguit het startpunt; een onafhankelijke, herhaalde meting van de externe blootstelling is sterker bewijs, juist omdat de leverancier die niet zelf invult.

Waar begint u met beperkte tijd?

Begin met de maatregelen die het meeste risico wegnemen tegen de minste inspanning: multifactorauthenticatie op beheerdersaccounts en kritieke applicaties, openstaande kritieke patches wegwerken met een vaste SLA per risicoklasse voor het vervolg, een geteste en gedocumenteerde back-upherstelprocedure, en het opschonen van overbodige accounts en rechten. Structureel kwetsbaarheidsbeheer (het NCSC schrijft kwetsbaarhedenbeheer) maakt van die patchdiscipline een doorlopend proces. Scope en gap-analyse zijn in weken te doen; reken voor de implementatie in maanden, afhankelijk van omvang en uitgangspositie.

Wat de meeste checklists overslaan

De nadruk ligt vaak op techniek: MFA, patching, logging. De toezichthouder toetst nadrukkelijk ook de bestuurlijke kant, want daar legt de wet de verantwoordelijkheid. En de grootste blootstelling zit geregeld bij een leverancier die zelden onafhankelijk wordt gecontroleerd. Begin daarom met bewijs: documenteer wat u al doet, vul de gaten langs de tien maatregelgebieden, en geef elk stuk een datum, een eigenaar en een goedkeuring. De rest is uitvoering.

Waar Exposentry in dit traject past

Exposentry vult een groot deel van de rechterkolom van de maatregelentabel: doorlopende monitoring van uw externe aanvalsoppervlak, met maandelijkse rapportage over subdomeinen, blootgestelde diensten en kwetsbaarheden. De scans draaien op OpenKAT, de opensource scanner die binnen de Nederlandse overheid is ontwikkeld; Exposentry is daarop gebouwd en oprichter Edward Hasekamp draagt bij aan OpenKAT. Rapporten worden cryptografisch ondertekend met een onafhankelijk tijdstempel, zodat iedereen kan verifiëren dat ze authentiek en ongewijzigd zijn: bruikbaar bewijs richting toezichthouder, auditor en klanten. Een gratis securityscan laat zien wat een aanvaller van uw domein ziet; voor doorlopend bewijs in uw dossier is er de kwetsbaarhedenscan.

Bronnen

Verder lezen

Geschreven door Edward Hasekamp, oprichter van Exposentry en collaborator op het open-source OpenKAT-project. Zie het project op GitHub en het profiel op github.com/hasecon. Exposentry levert EU-soevereine, forensisch onderbouwde vulnerability monitoring op basis van OpenKAT. Meer artikelen in de Kennisbank.