← Terug naar Blog

NIS2-compliance checklist: 10 stappen om klaar te zijn voor de deadline

Een praktische checklist van 10 stappen om uw organisatie voor te bereiden op NIS2-compliance — van scopebepaling en risicobeoordeling tot incidentrapportage en continue verbetering.

---

NIS2-compliance checklist: 10 stappen om klaar te zijn voor de deadline

De NIS2-richtlijn hervormt cyberbeveiligingsverplichtingen in heel Europa en de klok tikt. Nu lidstaten de richtlijn omzetten in nationale wetgeving en handhaving nadert, hebben organisaties een duidelijk, uitvoerbaar stappenplan nodig om compliance te bereiken.

Deze checklist splitst de NIS2-voorbereiding op in 10 concrete stappen — elk met specifieke acties die u vandaag kunt ondernemen. Of u nu vanuit het niets begint of voortbouwt op een bestaand beveiligingsprogramma, deze gids helpt u hiaten te identificeren en uw inspanningen te prioriteren.

Stap 1: Bepaal of u binnen het toepassingsgebied valt

Waarom dit belangrijk is: NIS2 dramatically expanded the number of organizations subject to cybersecurity obligations. If you assume you're not covered, you may be wrong.

Acties:

• Controleer uw sector: NIS2 dekt 18 sectoren in twee bijlagen. Bijlage I (essentiële entiteiten) omvat energie, transport, bankwezen, gezondheidszorg, digitale infrastructuur en ICT-diensten. Bijlage II (belangrijke entiteiten) omvat postdiensten, afvalbeheer, chemicaliën, voedsel, productie en digitale aanbieders
• Controleer uw omvang: De richtlijn is van toepassing op middelgrote organisaties (50+ werknemers OF €10 miljoen+ omzet) en grote organisaties (250+ werknemers OF €50 miljoen+ omzet) in gedekte sectoren
• Controleer uitzonderingen: Sommige entiteitstypen vallen ongeacht hun omvang onder de richtlijn — DNS-aanbieders, TLD-registers, openbare communicatienetwerken en vertrouwensdienstverleners
• Beoordeel supply chain-blootstelling: Zelfs als u niet direct binnen het toepassingsgebied valt, kunnen uw klanten in gedekte sectoren NIS2-conforme beveiliging van hun leveranciers eisen

Hoe KENSAI helpt: Het platform van KENSAI is ontworpen voor organisaties die binnen het NIS2-toepassingsgebied vallen en biedt het continue kwetsbaarheidsbeheer en de rapportage die de richtlijn vereist. Beginnen met een gratis scan geeft u direct inzicht in uw huidige beveiligingshouding.

Stap 2: Classificeer uw entiteitstype

Waarom dit belangrijk is: Essential entities face stricter oversight and higher penalties than important entities. Your classification determines your obligations.

Acties:

• Essentiële entiteiten (Bijlage I-sectoren, grote organisaties): Onderworpen aan proactief regelgevend toezicht, inclusief inspecties ter plaatse en regelmatige audits. Maximale boetes van €10 miljoen of 2% van de wereldwijde omzet
• Belangrijke entiteiten (Bijlage II-sectoren, middelgrote organisaties): Onderworpen aan reactief toezicht (na een incident of bewijs van non-compliance). Maximale boetes van €7 miljoen of 1,4% van de wereldwijde omzet
• Documenteer uw classificatie en de onderbouwing ervan
• Controleer de nationale omzetting — sommige lidstaten kunnen strengere criteria toepassen. De Duitse NIS2UmsuCG introduceert bijvoorbeeld aanvullende categorieën

Hoe KENSAI helpt: De compliancerapportage van KENSAI koppelt bevindingen aan de specifieke vereisten die van toepassing zijn op uw entiteitsclassificatie, waardoor uw beveiligingsbewijs overeenkomt met uw verplichtingen.

Stap 3: Zorg voor draagvlak en verantwoordelijkheid bij het management

Waarom dit belangrijk is: NIS2 Article 20 makes management bodies personally responsible for cybersecurity. This isn't a suggestion — it's a legal requirement with personal liability implications.

Acties:

• Informeer het bestuur en de directie over NIS2-vereisten en hun persoonlijke aansprakelijkheid
• Wijs een verantwoordelijke directielid aan voor cyberbeveiligingstoezicht (CISO, CTO of equivalent)
• Stel een governance-structuur vast waarin het management formeel cyberbeveiligingsbeleid goedkeurt en risicobeoordelingen beoordeelt
• Plan verplichte cyberbeveiligingstraining voor alle leden van het bestuursorgaan — NIS2 vereist dit expliciet
• Documenteer de betrokkenheid van het management bij cyberbeveiligingsbeslissingen voor auditdoeleinden
• Neem cyberbeveiliging op als vast agendapunt in bestuursvergaderingen

Hoe KENSAI helpt: KENSAI biedt executive dashboards en trendrapporten die het management het inzicht geven dat nodig is om hun toezichtverantwoordelijkheden na te komen zonder diepgaande technische expertise.

Stap 4: Voer een uitgebreide risicobeoordeling uit

Waarom dit belangrijk is: NIS2 Article 21 requires "appropriate and proportionate" technical and organizational measures based on a risk assessment. Without a documented risk assessment, you can't demonstrate that your measures are proportionate.

Acties:

• Identificeer kritieke assets: Breng alle netwerk- en informatiesystemen in kaart die uw essentiële diensten ondersteunen
• Beoordeel dreigingen: Documenteer het dreigingslandschap dat relevant is voor uw sector en geografie (ransomware, door staten gesponsorde aanvallen, supply chain-compromittering, insider threats)
• Evalueer kwetsbaarheden: Voer technische kwetsbaarheidsbeoordelingen uit van uw infrastructuur, applicaties en processen
• Bepaal de impact: Beoordeel voor elk geïdentificeerd risico de potentiële impact op dienstcontinuïteit, gegevensintegriteit en getroffen partijen
• Bereken risiconiveaus: Gebruik een consistente methodologie (waarschijnlijkheid × impact) om risico's te prioriteren
• Documenteer alles: De risicobeoordeling moet schriftelijk zijn, worden beoordeeld en regelmatig worden bijgewerkt

Hoe KENSAI helpt: De geautomatiseerde kwetsbaarheidsscanning van KENSAI levert de technische kwetsbaarheidsgegevens die uw risicobeoordeling nodig heeft. In plaats van te vertrouwen op eenmalige handmatige beoordelingen, levert KENSAI continue kwetsbaarheidsintelligentie die uw risicobeoordeling actueel houdt.

Stap 5: Breng uw aanvalsoppervlak in kaart

Waarom dit belangrijk is: NIS2 requires security measures for your network and information systems. You can't secure what you don't know exists.

Acties:

• Inventariseer alle extern gerichte assets: Webapplicaties, API's, mailservers, VPN-endpoints, clouddiensten, subdomeinen
• Identificeer shadow IT: Ontdek ongeautoriseerde clouddiensten, vergeten testomgevingen en legacy-systemen
• Breng verbindingen met derden in kaart: Documenteer alle externe integraties, API-verbindingen en gegevensstromen met leveranciers en partners
• Beoordeel cloudblootstelling: Controleer IaaS-, PaaS- en SaaS-configuraties op misconfiguraties en buitensporige machtigingen
• Documenteer uw bevindingen: Houd een levende inventaris bij van uw aanvalsoppervlak

Hoe KENSAI helpt: De aanvalsoppervlakontdekking van KENSAI identificeert automatisch uw extern gerichte assets, inclusief vergeten subdomeinen en blootgestelde diensten die interne inventarissen missen. Voer een gratis scan uit om uw aanvalsoppervlak vanuit het perspectief van een aanvaller te bekijken.

Stap 6: Implementeer de 10 minimale beveiligingsmaatregelen

Waarom dit belangrijk is: NIS2 Article 21(2) lists ten specific categories of security measures that all covered entities must implement. These aren't optional.

Acties per maatregel:

a) Risicoanalyse en informatiebeveiligingsbeleid

• Ontwikkel en documenteer een informatiebeveiligingsbeleid
• Stel een risicobeheerframework vast met regelmatige beoordelingscycli

b) Incidentafhandeling

• Maak een incident response-plan met duidelijke rollen, verantwoordelijkheden en escalatieprocedures
• Implementeer incidentdetectie- en monitoringcapaciteiten
• Voer regelmatig incident response-oefeningen uit

c) Bedrijfscontinuïteit en crisismanagement

• Ontwikkel bedrijfscontinuïteitsplannen voor kritieke diensten
• Implementeer en test back-up- en disaster recovery-procedures
• Zorg ervoor dat offline/onveranderlijke back-ups bestaan (essentieel voor ransomware-weerbaarheid)

d) Supply chain-beveiliging

• Beoordeel de cyberbeveiligingspraktijken van kritieke leveranciers
• Neem beveiligingsvereisten op in inkoop en contracten
• Monitor de leveranciersbeveiliging op doorlopende basis

e) Beveiliging bij aanschaf, ontwikkeling en onderhoud

• Implementeer veilige ontwikkelingspraktijken (SDLC)
• Voer kwetsbaarheidsafhandeling en regelmatige beveiligingstests uit
• Stel patchbeheer-procedures vast

f) Effectiviteitsbeoordeling

• Plan regelmatige beveiligingsaudits en -beoordelingen
• Implementeer beveiligingsmetrieken en KPI's
• Beoordeel en actualiseer maatregelen op basis van beoordelingsresultaten

g) Cyberhygiëne en training

• Rol security awareness-training uit voor alle medewerkers
• Implementeer phishing-simulatieprogramma's
• Stel basisstandaarden voor cyberhygiëne vast (wachtwoordbeleid, clean desk, enz.)

h) Cryptografie en encryptie

• Versleutel gegevens in transit (TLS 1.2+ voor alle diensten)
• Versleutel gegevens in rust voor gevoelige informatie
• Beheer cryptografische sleutels volgens best practices

i) Personeelsbeveiliging en toegangscontrole

• Implementeer multi-factor authenticatie voor alle kritieke systemen
• Pas het principe van minste privilege toe
• Stel toegangsbeoordelingsprocessen vast

j) Beveiligde communicatie

• Implementeer versleutelde communicatiekanalen voor gevoelige gesprekken
• Stel noodcommunicatieprocedures vast die werken wanneer primaire systemen zijn gecompromitteerd

Hoe KENSAI helpt: KENSAI ondersteunt direct maatregelen (e), (f) en de kwetsbaarheidsafhandelingsaspecten van (a) en (d). Continue geautomatiseerde scanning zorgt ervoor dat u voldoet aan de vereisten voor "regelmatige tests" en "kwetsbaarheidsafhandeling" met verifieerbaar bewijs.

Stap 7: Stel incidentrapportagecapaciteiten vast

Waarom dit belangrijk is: NIS2 introduces strict multi-stage incident reporting requirements. Missing the 24-hour early warning deadline can result in penalties independent of the incident itself.

Acties:

• Definieer criteria voor "significant incident" voor uw organisatie, in overeenstemming met de NIS2-definitie (ernstige operationele verstoring, financieel verlies of aanzienlijke schade aan anderen)
• Implementeer 24/7 monitoring die in staat is significante incidenten in realtime te detecteren — u kunt niet melden wat u niet heeft gedetecteerd
• Identificeer uw nationale CSIRT en bevoegde autoriteit — weet precies waar en hoe u moet melden
• Bereid rapportagesjablonen voor voor elke fase:
• 24-uurs vroegtijdige waarschuwing: Basale incidentfeiten, of het vermoedelijk onrechtmatig of kwaadaardig is, potentiële grensoverschrijdende impact
• 72-uurs melding: Initiële beoordeling, ernst, impact, indicators of compromise
• Eindrapport na 1 maand: Gedetailleerde beschrijving, oorzaakanalyse, mitigatiemaatregelen, grensoverschrijdende impact
• Wijs incidentmelders aan en train hen — zorg ervoor dat meerdere teamleden rapporten kunnen indienen
• Oefen het meldingsproces — voer tabletop-oefeningen uit die de rapportagetijdlijn omvatten

Hoe KENSAI helpt: De continue monitoring van KENSAI betekent dat kwetsbaarheden worden gedetecteerd en gerapporteerd voordat ze incidenten worden. Wanneer problemen worden gevonden, bieden de gedetailleerde technische rapporten van KENSAI de indicators of compromise en technische details die nodig zijn voor snelle incidentrapportage.

Stap 8: Pak supply chain-beveiliging aan

Waarom dit belangrijk is: NIS2 explicitly requires organizations to manage cybersecurity risks in their supply chain. The directive recognizes that many major breaches originate through trusted suppliers.

Acties:

• Identificeer kritieke leveranciers: Breng leveranciers met toegang tot uw systemen, gegevens of netwerk in kaart
• Beoordeel de beveiligingshouding van leveranciers: Vraag beveiligingscertificeringen op (ISO 27001, SOC 2), voer vragenlijsten uit of eis beoordelingen door derden
• Neem beveiligingsvereisten op in contracten: Definieer minimale beveiligingsstandaarden, incidentmeldingsverplichtingen, auditrechten en beëindigingsclausules voor beveiligingsfouten
• Monitor doorlopende leveranciersbeveiliging: Beoordeel niet alleen bij onboarding — voer regelmatige reviews uit
• Ontwikkel incident response-procedures voor leveranciers: Weet wat er gebeurt wanneer een leverancier is gecompromitteerd
• Diversifieer kritieke afhankelijkheden: Vermijd single points of failure in uw supply chain

Hoe KENSAI helpt: KENSAI kan de extern gerichte infrastructuur van uw leveranciers scannen (met hun toestemming) om een objectief beeld te geven van hun beveiligingshouding. Dit geeft u verifieerbare gegevens in plaats van uitsluitend te vertrouwen op zelfgerapporteerde vragenlijsten.

Stap 9: Documenteer alles voor auditgereedheid

Waarom dit belangrijk is: NIS2 supervision includes the power to conduct audits, inspections, and evidence requests. If you can't demonstrate compliance through documentation, you're not compliant.

Acties:

• Onderhoud een compliance-bewijsrepository met alle beleidsregels, procedures, risicobeoordelingen en testresultaten
• Houd registraties bij van alle beveiligingsincidenten en uw responsacties, ongeacht of ze de drempel van "significant" haalden
• Documenteer goedkeuringen van het management — elke beleidsgoedkeuring, risicoacceptatie en budgetbeslissing
• Archiveer beveiligingstestresultaten met tijdstempels — continue scanning biedt sterker bewijs dan jaarlijkse rapporten
• Volg trainingsvoltooiing voor al het personeel, met bijzondere aandacht voor managementtraining
• Registreer supply chain-beoordelingen en contractuele beveiligingsclausules
• Onderhoud wijzigingslogboeken voor alle beveiligingsgerelateerde beleidsregels en procedures

Hoe KENSAI helpt: KENSAI genereert automatisch scanrapporten met tijdstempels, kwetsbaarheids-trackinggeschiedenissen en hersteltijdlijnen. Dit creëert een continu auditspoor dat doorlopende beveiligingstests aantoont — veel overtuigender voor toezichthouders dan een enkel jaarlijks pentestrapport.

Stap 10: Implementeer continue verbetering

Waarom dit belangrijk is: NIS2 isn't a one-time checkbox exercise. The directive requires ongoing risk management and regular assessment of measure effectiveness. Regulators will look for evidence of continuous improvement, not static compliance.

Acties:

• Plan kwartaallijkse beveiligingsreviews om de effectiviteit van geïmplementeerde maatregelen te beoordelen
• Volg beveiligingsmetrieken in de tijd: Kwetsbaarheidsaantallen, gemiddelde hersteltijd, incidentfrequentie, trainingsvoltooiingspercentages
• Werk risicobeoordelingen bij wanneer het dreigingslandschap verandert, na significante incidenten of ten minste jaarlijks
• Benchmark tegen frameworks: Gebruik ISO 27001, NIST CSF of CIS Controls als volwassenheidsbenchmarks
• Neem deel aan informatie-uitwisseling: Sluit u aan bij sectorspecifieke ISAC's (Information Sharing and Analysis Centers) en werk samen met uw nationale CSIRT
• Beoordeel en actualiseer deze checklist — herzie uw NIS2-compliancestatus elk kwartaal
• Plan voor regelgevende evolutie: NIS2 zal worden herzien en mogelijk bijgewerkt; bouw flexibiliteit in uw beveiligingsprogramma in

Hoe KENSAI helpt: Het continue scanmodel van KENSAI is inherent afgestemd op continue verbetering. Elke scan bouwt voort op eerdere resultaten, volgt welke kwetsbaarheden zijn opgelost, welke nieuw zijn en hoe uw algehele beveiligingshouding in de loop van de tijd evolueert. Het platform biedt de metrieken en trendgegevens die verbetering aantonen aan auditors en toezichthouders.

Uw NIS2-compliance tijdlijn

Hier is een realistische tijdlijn voor het implementeren van deze checklist:

Maand 1-2: Beoordelingsfase - Stappen 1-2: Scopebepaling en classificatie - Stap 3: Managementbriefing en draagvlak - Stap 4: Begin risicobeoordeling - Stap 5: Aanvalsoppervlak in kaart brengen (begin met KENSAI gratis scan)

Maand 3-4: Fundamentfase - Stap 4: Voltooi risicobeoordeling - Stap 6: Begin met implementatie van de 10 minimale maatregelen (prioriteer hiaten) - Stap 7: Stel incidentrapportagecapaciteiten vast

Maand 5-6: Implementatiefase - Stap 6: Ga door met implementatie van minimale maatregelen - Stap 8: Pak supply chain-beveiliging aan - Stap 9: Stel documentatie- en bewijsbeheer in

Maand 7+: Continue fase - Step 10: Lopend improvement, monitoring, and assessment - Regelmatige reviews en updates voor alle stappen

Veelgemaakte fouten om te vermijden

• NIS2 behandelen als een IT-only project: Het vereist managementbetrokkenheid en cross-functionele samenwerking
• Wachten op nationale omzetting: De vereisten zijn duidelijk; begin nu
• Te veel vertrouwen op certificeringen: ISO 27001 is een sterke basis maar staat niet automatisch gelijk aan NIS2-compliance
• Supply chain-verplichtingen verwaarlozen: Dit is waar veel organisaties onvoorbereid zullen worden betrapt
• Eenmalige compliance: NIS2 vereist doorlopend risicobeheer, geen jaarlijkse oefeningen
• De 24-uurs meldingsvereiste negeren: Dit vereist monitoringcapaciteiten, niet alleen een beleidsdocument

---

Begin met zichtbaarheid

U kunt niet herstellen wat u niet kunt zien. De eerste stap naar NIS2-compliance is het begrijpen van uw huidige beveiligingshouding.

👉 Ontvang uw gratis KENSAI-beveiligingsscan op kensai.app/free-scan — breng uw aanvalsoppervlak in kaart en identificeer kwetsbaarheden in minuten.