NIS2 check klaar voor de inspectie

De Cyberbeveiligingswet (Cbw) is de Nederlandse uitwerking van de Europese NIS2-richtlijn. De wet geldt sinds 15 augustus 2026 en vervangt de Wet beveiliging netwerk- en informatiesystemen (Wbni). Organisaties die eronder vallen moeten zich registreren, passende beveiligingsmaatregelen nemen en significante incidenten melden.

Dat hangt af van je sector en je omvang. NIS2 geldt voor organisaties in achttien sectoren met in de regel 50 medewerkers of meer, of een jaaromzet of balanstotaal van €10 miljoen of meer. Denk aan energie, transport, bankwezen, zorg, drinkwater, digitale infrastructuur, ICT-dienstverlening, overheid, post, afval, chemie, voeding, maakindustrie, digitale aanbieders en onderzoek. Sommige organisaties vallen er ongeacht hun omvang onder, zoals DNS-aanbieders, topleveldomeinregisters en vertrouwensdiensten, en de minister kan organisaties aanwijzen. In de intake van de NIS2 check stellen we vast of je essentieel, belangrijk of geen entiteit bent.

Ja. Organisaties die onder NIS2 vallen, moeten ook de beveiliging van hun leveranciers beoordelen. Je krijgt dus steeds vaker vragenlijsten en eisen in contracten. Met de rapporten uit de NIS2 check kun je die vragen snel en onderbouwd beantwoorden.

Essentiële entiteiten zijn meestal grotere organisaties in de meest kritieke sectoren. Zij staan onder proactief toezicht en kunnen ook zonder incident een controle krijgen. Belangrijke entiteiten staan vooral onder reactief toezicht, bijvoorbeeld na een incident of een signaal. De eisen uit de zorgplicht en meldplicht gelden voor beide.

Voor de meeste sectoren is de Rijksinspectie Digitale Infrastructuur (RDI) de toezichthouder. Sommige sectoren hebben een eigen toezichthouder. Een essentiële entiteit kan een boete krijgen tot €10 miljoen of 2% van de wereldwijde jaaromzet, een belangrijke entiteit tot €7 miljoen of 1,4%. Daarnaast zijn bestuurders zelf verantwoordelijk voor het goedkeuren van en toezicht houden op de maatregelen.

Een beschrijving van je organisatie, je systemen en je maatregelen, per eis uit de Cyberbeveiligingswet en het Cyberbeveiligingsbesluit. De vragen die een toezichthouder stelt, zijn beantwoord en onderbouwd met verwijzingen naar beleid, instellingen en afspraken. Het rapport is geschreven om direct aan een inspecteur te geven.

Een eerlijke analyse van je IT-landschap en de staat van je beveiliging. Je ziet welke gaten er zijn, hoe ernstig ze zijn, in welke volgorde je ze oppakt en wat je concreet moet doen. Optioneel nemen we kwetsbaarheden en datalekken mee die we vinden, zoals gelekte inloggegevens of systemen die onnodig open staan.

De NIS2 check kost vanaf €2.950 voor de check en beide rapporten. De precieze prijs hangt af van de omvang van je organisatie, zoals het aantal systemen en locaties, en spreken we vooraf vast af. Binnen 2 à 3 weken ben je klaar, afhankelijk van hoe snel we de gesprekken kunnen plannen en de informatie krijgen.

Na de check weet je precies waar je staat. Als er gaten zijn, staan ze in het interne rapport met wat je moet doen om ze te dichten. Dat kan je eigen team oppakken, of wij helpen je. Zo kun je aantonen dat je je zorgplicht serieus invult en weet je wat er nog moet gebeuren.

Weinig. We plannen een paar gesprekken met de directie en de mensen die je IT beheren, intern of extern. Je deelt de documenten die je al hebt, zoals beleid en contracten, en geeft toegang waar dat nodig is. De rest doen wij.

Een significant incident meld je binnen 24 uur met een vroegtijdige waarschuwing, inclusief of je een aanval vermoedt en of andere landen geraakt kunnen zijn. Binnen 72 uur volgt een melding met een eerste inschatting van de ernst en impact. Binnen een maand stuur je een eindrapport met de oorzaak en de genomen maatregelen. In de NIS2 check kijken we of je organisatie dat proces op orde heeft en getest heeft.

Een incident is significant als het ernstige verstoring van je dienstverlening of financieel verlies veroorzaakt of kan veroorzaken, of als het anderen aanzienlijke materiële of immateriële schade toebrengt of kan toebrengen. Voor bepaalde digitale aanbieders, zoals cloud, datacenters en MSP's, gelden concretere drempels uit een Europese uitvoeringsverordening.

NIS2 eist minimaal maatregelen op tien gebieden: risicoanalyse en beveiligingsbeleid, incidentafhandeling, bedrijfscontinuïteit met back-ups en crisisbeheer, beveiliging van de toeleveringsketen, beveiliging bij aanschaf, ontwikkeling en onderhoud van systemen, het meten van de effectiviteit, cyberhygiëne en training, cryptografie en versleuteling, personeelsbeveiliging met toegangsbeheer en assetbeheer, en multifactorauthenticatie met beveiligde communicatie. De maatregelen moeten passend zijn bij je omvang en risico's.

Ja. De directie moet de cybersecuritymaatregelen goedkeuren, toezien op de uitvoering en kan aansprakelijk worden gesteld als de organisatie tekortschiet. Bestuurders moeten ook zelf een cybersecuritytraining volgen, en medewerkers horen regelmatig training te krijgen. In het inspectierapport laten we zien hoe dat bij jou geregeld is.

ISO 27001 helpt veel, want een groot deel van de NIS2-maatregelen overlapt ermee. Maar het dekt niet alles, zoals de meldtermijnen, de registratie en de verantwoordelijkheid en training van bestuurders. In de check gebruiken we wat je al hebt en kijken we alleen naar wat ontbreekt. Hetzelfde geldt voor wat je al voor de AVG of DORA hebt geregeld.

Ja. Voor onder meer cloudaanbieders, datacenters, MSP's en MSSP's, DNS-aanbieders en online marktplaatsen gelden gedetailleerde technische eisen uit Europese uitvoeringsverordening 2024/2690. Die nemen we in de check mee als ze op jou van toepassing zijn.