NIS2 checklist 2026: wat moet je als IT-manager geregeld hebben om compliant te zijn?

Weet u of uw organisatie onder NIS2 valt? De eerste stap klinkt eenvoudig, maar gaat in de praktijk regelmatig mis. NIS2 maakt onderscheid tussen essentiële en belangrijke entiteiten. Beide categorieën vallen onder de richtlijn, maar de toezichteisen en sancties verschillen. Uw sector en organisatieomvang bepalen in welke categorie u valt.

Sectoren zoals energie, transport, financiële dienstverlening, zorg en digitale infrastructuur vallen in de meeste gevallen onder de essentiële categorie. Middelgrote organisaties in sectoren zoals voedselproductie, afvalbeheer en post vallen onder de belangrijke entiteiten. De Nederlandse implementatie via de Cyberbeveiligingswet maakt dit verder concreet.

Als uw organisatie nog geen formele classificatie heeft uitgevoerd, is dat stap nul. Zonder die classificatie weet u niet welke verplichtingen voor u gelden. Gensys adviseert om deze stap te documenteren en te laten accorderen door het bestuur, want NIS2 legt ook bestuursverantwoordelijkheid vast.

Risicobeheer: meer dan een jaarlijkse risicoanalyse

NIS2 vereist een structureel risicobeheerproces, niet een eenmalig document. U moet kunnen aantonen dat uw organisatie risico’s identificeert, beoordeelt en beheerst op een continue basis. Dat vraagt om een aanpak die is ingebed in de dagelijkse IT operatie.

Een praktisch voorbeeld: een gemeente die haar risicobeheer uitvoert via een jaarlijkse BIO toets voldoet op papier aan een basiseis, maar mist de continuïteit die NIS2 vereist. Risico’s veranderen als u een nieuwe leverancier toevoegt, een systeem migreert of een nieuwe applicatie in gebruik neemt. Elk van die momenten vraagt om een actuele risicoafweging.

Uw checklist op dit punt: beschikt u over een formeel risicobeheerproces, zijn rollen en verantwoordelijkheden belegd, en wordt de risicoanalyse bijgewerkt bij relevante wijzigingen? Als het antwoord op een van deze vragen nee is, heeft u hier werk te doen.

Technische maatregelen: wat er minimaal aanwezig moet zijn

NIS2 schrijft geen specifieke tools voor, maar stelt wel eisen aan het niveau van technische beveiliging. U moet passende en evenredige maatregelen hebben genomen. Wat passend is, hangt af van uw risicoprofiel. Wat evenredig is, hangt af van uw organisatieomvang en sector.

Op technisch vlak verwacht de richtlijn in elk geval aandacht voor de volgende gebieden:

  • Toegangsbeheer en authenticatie
  • Netwerksegmentatie
  • Encryptie van data in transit en in rust
  • Patchbeheer en kwetsbaarheidsbeheer
  • Logging en monitoring
  • Voor organisaties met OT omgevingen gelden aanvullende eisen rond de beveiliging van industriële systemen.

Een productiebedrijf dat zijn OT netwerk nog niet heeft gesegmenteerd van het IT netwerk, loopt hier een reëel risico. Een aanvaller die toegang krijgt tot het kantorennetwerk, kan zo doordringen tot de productieomgeving. NIS2 vraagt van u dat u dit soort kwetsbaarheden actief beheert en niet pas aanpakt als er iets misgaat.

Incidentrespons en meldplicht: u heeft minder tijd dan u denkt

Een van de meest concrete verplichtingen onder NIS2 is de meldplicht bij significante incidenten. U heeft 24 uur voor een eerste melding aan de toezichthouder na ontdekking van een incident. Binnen 72 uur volgt een gedetailleerdere melding. Binnen een maand levert u een eindrapportage aan.

Dat tijdpad is strak. Om het te halen, heeft u een incidentresponsproces nodig dat klaarstaat voor het incident plaatsvindt. Dat betekent: een vastgesteld responsplan, duidelijke rollen, geoefende procedures en technische middelen om een incident snel te detecteren en te classificeren.

Een ziekenhuis dat pas bij een ransomware aanval ontdekt dat niemand weet wie de meldplicht moet afhandelen, voldoet niet. Gensys ziet in de praktijk dat juist de governance rondom incidentrespons nog bij veel organisaties ontbreekt. De tools zijn er, maar de processen zijn niet aantoonbaar belegd.

Ketenbeveiliging: uw leveranciers zijn uw risico

NIS2 maakt u expliciet verantwoordelijk voor de beveiliging van uw toeleveringsketen. Het is niet voldoende om uw eigen omgeving op orde te hebben als uw kritieke leveranciers dat niet zijn. U moet aantoonbaar grip hebben op de beveiligingsstatus van partijen waarvan u afhankelijk bent.

Dat vraagt om een leveranciersregister met een actueel overzicht van alle externe afhankelijkheden. Per leverancier bepaalt u welk risico die partij vertegenwoordigt en welke eisen u stelt. Die eisen legt u vast in contracten en verwerkingsovereenkomsten. Vervolgens controleert u periodiek of leveranciers aan die eisen voldoen.

Een logistiek bedrijf dat tien jaar dezelfde transportmanagementsoftware gebruikt zonder ooit de beveiligingsstatus van die leverancier te hebben beoordeeld, heeft een blinde vlek. NIS2 vraagt u die blinde vlekken te elimineren. Niet eenmalig, maar structureel.

Documentatie en bestuursverantwoordelijkheid: aantonen wat u doet

NIS2 introduceert een expliciete bestuursverantwoordelijkheid. Het bestuur van een organisatie is eindverantwoordelijk voor de naleving van de richtlijn en kan persoonlijk aansprakelijk worden gesteld bij ernstige nalatigheid. Dat betekent dat IT managers niet alleen de techniek op orde moeten hebben, maar ook moeten kunnen rapporteren aan het bestuur op een manier die beslissers begrijpen.

Goede documentatie is hierbij essentieel. U heeft vastgelegde beleidsmaatregelen nodig, aantoonbare risicoafwegingen, logboeken van incidenten en afwijkingen, en rapportages over de effectiviteit van maatregelen. Dat is niet alleen voor de toezichthouder, maar ook voor intern gebruik bij audits en bij bestuursrapportages.

Gensys adviseert organisaties om NIS2 compliance niet als een eenmalig project te behandelen, maar als een doorlopend beheerproces. De documentatie die u vandaag bijhoudt, is het bewijs dat u morgen nodig heeft.

Veelgestelde vragen over NIS2 checklist 2026

Geldt NIS2 ook voor mijn organisatie als wij geen IT bedrijf zijn?

Ja. NIS2 is sectorbreed van toepassing op organisaties die vallen binnen de aangewezen sectoren, ongeacht of IT hun kernactiviteit is. Een zorginstelling, een waterbedrijf of een voedselproducent kan evengoed onder de richtlijn vallen. De sector en de organisatiegrootte zijn bepalend, niet het type bedrijf.

Dan draagt dat risico over naar jouw organisatie. NIS2 maakt jou verantwoordelijk voor het beheer van risico’s in je keten. Als een kritieke leverancier niet aan de eisen voldoet, moet je dat signaleren, escaleren en mitigerende maatregelen nemen. In het uiterste geval betekent dat het herzien van de samenwerking.

Er is geen vaste frequentie voorgeschreven, maar de eis is dat de analyse actueel is. Dat betekent in de praktijk dat je de analyse bijwerkt bij significante wijzigingen in de omgeving, zoals nieuwe systemen, nieuwe leveranciers of gewijzigde bedrijfsprocessen. Een jaarlijkse review is een minimum, maar in dynamische omgevingen zul je vaker moeten bijwerken.

NIS2 compliance is geen eindbestemming

Organisaties die NIS2 behandelen als een project met een einddatum, missen het punt. De richtlijn vraagt om een cultuur van continu risicobeheer, structurele documentatie en aantoonbare verantwoordelijkheid. Dat is een manier van werken, geen lijst die u eenmalig afvinkt.

Heeft u hulp nodig bij het inrichten van de juiste tooling of processen? Gensys levert de oplossingen en het advies om uw NIS2 aanpak structureel te verankeren. Neem contact op om te bespreken waar uw organisatie nu staat.