← Terug naar Blog

NIS2-compliancechecklist: 10 stappen die elk DACH-bedrijf vóór 2027 moet voltooien

Duitsland, Oostenrijk en Zwitserland implementeren NIS2 elk anders. Deze DACH-specifieke checklist geeft u de exacte 10 stappen met landspecifieke vereisten en echte deadlines.

---

Waarom DACH-bedrijven een specifieke NIS2-checklist nodig hebben

De EU NIS2-richtlijn (2022/2555) had uiterlijk 17 oktober 2024 omgezet moeten zijn. De realiteit: Duitslands NIS2UmsuCG doorloopt nog het parlement, Oostenrijk nam NISG 2024 medio 2025 aan, en Zwitserland heeft zijn ISG afgestemd op NIS2-principes.

Handhaving komt in 2026-2027, met boetes tot €10 miljoen of 2% van de wereldwijde omzet.

---

Stap 1: Bepaal uw NIS2-classificatie

• Essentiële entiteiten: Energie, transport, bankwezen, gezondheidszorg, digitale infrastructuur (250+ werknemers OF €50M+ omzet)
• Belangrijke entiteiten: Postdiensten, afval, chemie, voedsel, productie (50+ werknemers OF €10M+ omzet)

Stap 2: Registreer bij uw nationale autoriteit

• Duitsland: BSI — registratie binnen 3 maanden
• Oostenrijk: Ministerie van Binnenlandse Zaken
• Zwitserland: BACS voor kritieke infrastructuur

Stap 3: Cybersecurity-governance opzetten

• CISO benoemen met directe rapportagelijn naar het bestuur
• Bestuurdersaansprakelijkheid: Artikel 20 NIS2

Stap 4: Uitgebreide risicobeoordeling uitvoeren

• All-hazards risicobeoordeling volgens Artikel 21
• BSI IT-Grundschutz, ISO 27005 of NIST CSF

Stap 5: Technische beveiligingsmaatregelen implementeren

• De 10 sub-eisen van Artikel 21.2: beveiligingsbeleid, incidentbeheer, bedrijfscontinuïteit, toeleveringsketen, cryptografie, toegangscontrole, MFA

Stap 6: Incidentmeldingsprocedures opzetten

• 24 uur: vroegtijdige waarschuwing aan nationaal CSIRT
• 72 uur: incidentmelding met initiële beoordeling
• 1 maand: gedetailleerd eindrapport

Stap 7: Continu kwetsbaarheidsbeheer

• Continue kwetsbaarheidsscanning
• Gratis KENSAI-scan

Stap 8: Toeleveringsketen beveiligen

• Kritieke leveranciers inventariseren
• Cybersecurity-eisen in contracten

Stap 9: Voorbereiden op audits

• Boetes: tot €10M of 2% wereldwijde omzet

Stap 10: Cultuur van continue compliance opbouwen

• Driemaandelijkse beveiligingsreviews
• Jaarlijkse oefeningen

---

Wacht niet op handhaving

Het compliancevenster sluit snel. Bedrijven die nu beginnen hebben een gestructureerd pad naar compliance.