Nog niet gedaan? Deze stappen moet je organisatie zetten:

Bepaal status organisatie onder de wet
De NIS2-richtlijn maakt onderscheid tussen 'essentiële' en 'belangrijke' organisaties [5]. Essentiële entiteiten vallen bijvoorbeeld in sectoren als energie, transport, gezondheidszorg en digitale infrastructuur. Belangrijke entiteiten zijn onder andere post, afvalbeheer en onderzoeksinstellingen. Check op de website van de Rijksoverheid of het NCSC of je organisatie onder de wet valt.

Breng kroonjuwelen in kaart
Maak een lijst van alle systemen, data en processen die essentieel zijn voor de dienstverlening van de organisatie. Denk aan: klantdatabases, productiesystemen, financiële systemen, communicatieplatforms. Vraag je af: wat mag absoluut niet uitvallen?

Inventariseer ketenpartners
NIS2 verplicht organisaties om ook de beveiliging van de toeleveringsketen te waarborgen [2]. Maak een lijst van leveranciers die toegang hebben tot systemen of data, of die kritieke diensten leveren. Denk aan: cloud providers, IT-dienstverleners, softwareleveranciers.

Nog niet gedaan? Deze stappen moet je organisatie zetten:

Voer een risicoanalyse uit
Identificeer de dreigingen voor kritieke assets. Denk aan: ransomware, datalekken, DDoS-aanvallen, systeemuitval, menselijke fouten. Beoordeel per dreiging de kans dat het gebeurt en de impact als het gebeurt. Prioriteer op basis van risico (kans × impact).

Doe een gap-analyse
Leg de huidige beveiligingsmaatregelen naast de tien zorgplichtmaatregelen uit de tabel hierboven. Waar wordt al aan voldaan? Waar zitten de gaten? Wees eerlijk en specifiek. Bijvoorbeeld: "We hebben MFA, maar alleen voor VPN-toegang, niet voor alle kritieke systemen."

Maak een prioriteitenlijst
Welke hiaten vormen het grootste risico? Welke maatregelen hebben de hoogste impact en zijn relatief snel te implementeren? Dit zijn quick wins. Maak een actieplan met concrete stappen en deadlines.

Nog niet gedaan? Deze stappen moet je organisatie zetten:

Stel een incidentresponsplan op
Beschrijf stap voor stap wat er gebeurt bij een cyberincident: wie doet wat, wie neemt welke beslissingen, hoe wordt intern en extern gecommuniceerd? Belangrijk: de Cyberbeveiligingswet verplicht organisaties om significante incidenten binnen 24 uur te melden bij het NCSC [2]. Zorg dat bekend is wat een 'significant incident' is en hoe er melding moet worden gedaan via het NCSC-portaal.

Ontwikkel een plan voor bedrijfscontinuïteit
Hoe blijft de organisatie operationeel tijdens en na een crisis? Denk aan: back-ups, uitwijklocaties, alternatieve communicatiemiddelen, noodprocedures. Test dit plan regelmatig.

Formuleer een beleid voor de toeleveringsketen
Stel eisen aan leveranciers op het gebied van cyberveiligheid. Bijvoorbeeld: verplichte MFA, versleuteling van data, incidentmeldingen, audits. Leg dit vast in contracten en controleer de naleving.

Documenteer beveiligingsbeleid
Zorg dat alle maatregelen, procedures en verantwoordelijkheden zijn gedocumenteerd. Dit beleid moet worden goedgekeurd door het bestuur, want de NIS2 legt de eindverantwoordelijkheid expliciet bij het bestuur [2].

Nog niet gedaan? Deze stappen moet je organisatie zetten:

Implementeer Multi-Factor Authenticatie (MFA)
MFA is een van de meest effectieve maatregelen tegen ongeautoriseerde toegang. Zorg dat MFA verplicht is voor: alle externe toegang (VPN, remote desktop), toegang tot kritieke systemen, beheerdersaccounts. Gebruik bij voorkeur een authenticator-app of hardware token, geen SMS.

Pas versleuteling toe
Versleutel gevoelige data zowel in opslag (at rest) als tijdens verzending (in transit). Denk aan: harde schijven, laptops, USB-sticks, back-ups, e-mailverkeer, API-communicatie. Gebruik moderne, veilige encryptiestandaarden (bijvoorbeeld AES-256, TLS 1.3).

Segmenteer het netwerk van de organisatie
Deel het netwerk op in zones op basis van vertrouwelijkheid en functie. Bijvoorbeeld: een zone voor kantoorautomatisering, een zone voor productiesystemen, een zone voor externe toegang. Hierdoor kan een aanvaller zich na een inbraak niet makkelijk door het hele netwerk bewegen. Een private glasvezelverbinding, zoals dark fiber, biedt een uitstekende basis voor effectieve netwerksegmentatie omdat hiermee fysiek gescheiden verbindingen gemaakt kunnen worden.

Zorg voor tijdige updates
Implementeer een proces voor patch management. Houd bij welke systemen en software worden gebruikt, monitor updates en beveiligingspatches, test en installeer deze tijdig. Kwetsbaarheden in verouderde software zijn een veelvoorkomende ingang voor aanvallers.

Richt logging en monitoring in
Log alle relevante activiteiten op systemen: inlogpogingen, toegang tot gevoelige data, systeemwijzigingen, netwerkverkeer. Zorg voor alerting bij afwijkend gedrag. Bewaar logs veilig en centraal, zodat bij een incident geanalyseerd kan worden wat er is gebeurd.

Nog niet gedaan? Deze stappen moet je organisatie zetten:

Organiseer bewustwordingssessies
De menselijke factor is vaak de zwakste schakel. Organiseer een sessie voor alle medewerkers waarin wordt  uitgelegd: wat is NIS2 en waarom is het belangrijk, wat zijn de grootste dreigingen (phishing, ransomware, social engineering), wat is de rol van elke medewerker, hoe meld je een incident of verdachte situatie.

Voer een phishing-simulatie uit
Stuur een gesimuleerde phishing-mail naar medewerkers en kijk wie erop klikt. Dit maakt de dreiging tastbaar en biedt een leerzaam moment. Gebruik de resultaten om gerichte training te geven, niet om te straffen.

Stel duidelijke richtlijnen op
Maak een praktische handleiding voor veilig werken: wat is een sterk wachtwoord, omgaan met gevoelige data, wat doe je bij een verdachte e-mail, hoe werk je veilig vanaf een andere locatie. Houd het simpel en toegankelijk.

Plan training voor het bestuur
De NIS2 verplicht dat bestuurders een training volgen om risico's te kunnen identificeren en maatregelen te beoordelen [2]. Bestuurders hebben maximaal twee jaar na inwerkingtreding de tijd, maar plan dit al vroeg in. Het versterkt het draagvlak en de betrokkenheid.

Nog niet gedaan? Deze stappen moet je organisatie zetten:

Bereid de registratie bij het NCSC voor
Organisaties die onder de Cyberbeveiligingswet vallen, moeten zich registreren bij het NCSC via een portaal [2]. Zorg dat de volgende gegevens aanwezig zijn: contactgegevens van de organisatie, naam en contactgegevens van de verantwoordelijke persoon, overzicht van de diensten die worden geleverd, overzicht van internetdomeinen. De registratie wordt verplicht na inwerkingtreding, maar je kunt je organisatie nu al vrijwillig registreren.

Maak een roadmap voor de toekomst
Zet alle resterende actiepunten uit de gap-analyse op een tijdlijn. Wees realistisch over wat haalbaar is en plan voldoende tijd in. Zorg voor mijlpalen en momenten waarop de voortgang wordt geëvalueerd.

Beleg verantwoordelijkheden
Wie is er binnen de organisatie verantwoordelijk voor de continue verbetering van de cyberveiligheid? Wie houdt de voortgang bij? Wie rapporteert aan het bestuur? De NIS2 legt de eindverantwoordelijkheid expliciet bij het bestuur [2], maar de dagelijkse uitvoering ligt vaak bij de CISO of IT-manager.

Informeer en betrek het bestuur
Plan een rapportage aan het bestuur. Presenteer wat er is gebeurd, waar de organisatie staat, wat de resterende stappen zijn en wat nodig is (budget, mensen, tijd). Zorg voor goedkeuring en commitment. Dit verankert het belang van digitale veiligheid in de top van de organisatie.

Richt een proces in voor continue verbetering
NIS2 is geen eenmalig project, maar een doorlopend proces. Zorg voor regelmatige evaluaties, updates van de risicoanalyse, testen van plannen, bijscholing van medewerkers. Blijf op de hoogte van nieuwe dreigingen en ontwikkelingen.