NIS2 in de praktijk: je eerste 30 dagen als IT-verantwoordelijke

Maandagochtend. Je directeur heeft een artikel over NIS2 gelezen en stuurt het door met één regel: "Kun jij dit oppakken?" Je agenda zat al vol. Waar begin je?

Dit stuk is een werklijst voor de eerste dertig dagen. Het gaat uit van de Cyberbeveiligingswet, de Nederlandse uitwerking van de NIS2-richtlijn, die sinds 15 augustus 2026 van kracht is (rijksoverheid.nl, 15 augustus 2026). Voor de bestuurskant is er een apart stuk voor bestuurders.

Week 1: val je eronder, en als wat?

De wet geldt voor organisaties in 18 sectoren, en je bepaalt zelf of je eronder valt. Kijk naar je sector en je omvang. Als vuistregel geldt de wet vanaf middelgroot: 50 medewerkers of meer, of een jaaromzet en balanstotaal boven 10 miljoen euro.

In sectoren als energie, vervoer, zorg, drinkwater, digitale infrastructuur en overheid is een grote organisatie meestal een essentiële entiteit en een middelgrote meestal een belangrijke. In sectoren als post, afvalbeheer, chemie, voedsel en maakindustrie is een middelgrote of grote organisatie een belangrijke entiteit.

Leg je besluit en de redenering vast in een notitie van één pagina. Val je eronder, registreer je dan in het entiteitenregister van het NCSC.

Week 2: de gap-analyse

De zorgplicht vraagt passende maatregelen voor risicobeheer. Loop in elk geval deze onderwerpen langs en noteer per onderwerp wat er is, wat ontbreekt en wie eigenaar is:

• risicoanalyse en beveiligingsbeleid
• incidentafhandeling
• back-ups, herstel en crisisbeheer
• beveiliging van je leveranciers
• versleuteling en toegangsbeheer, inclusief MFA
• training van medewerkers en bestuur

Werk je al met ISO 27001 of de BIO? Begin dan niet aan een nieuw raamwerk. Leg de NIS2-onderwerpen ernaast en kijk waar de gaten zitten.

Vergeet je leveranciers niet. Vraag de belangrijkste waar ze je gegevens bewaren, onder welk recht ze vallen en hoe ze jou bij een incident informeren. Leg die afspraken vast in het contract.

Een snelle winst die bijna altijd telt: zet MFA aan op alle beheeraccounts en op de mail. Dat kost een middag en haalt een groot risico weg.

Week 3: de meldprocedure

De meldplicht is het deel waar het in de praktijk misgaat, omdat de klok gaat lopen op het slechtste moment. Een significant incident meld je in drie stappen:

1. Binnen 24 uur een vroege waarschuwing.
2. Binnen 72 uur een incidentmelding met een eerste beoordeling.
3. Binnen een maand een eindverslag met oorzaak en maatregelen.

Je meldt bij je CSIRT en je bevoegde autoriteit, via het meldportaal van het NCSC. Wanneer een incident significant is, staat per sector in de ministeriële regelingen. Zoek die drempels nu op, niet tijdens het incident. Controleer ook wie een account heeft voor het meldportaal, en of die persoon er morgen nog werkt.

Spreek daarna af wie meldt, wie besluit en wie het midden in de nacht en in het weekend doet. Zet de telefoonnummers op papier. Bij een ransomware-aanval werkt je wiki misschien niet.

Week 4: vastleggen en oefenen

Documenteer wat je hebt gedaan: de scopenotitie, de gap-analyse, het plan en de meldprocedure. Een toezichthouder kijkt naar wat je kunt laten zien.

Maak ook een eerste versie van je plan: per gat een maatregel, een eigenaar en een datum. Houd het klein. Tien regels die je echt afmaakt, zijn meer waard dan honderd die in een map verdwijnen.

Sluit de maand af met een tafeloefening van een uur. Neem een realistisch scenario, bijvoorbeeld een beheeraccount dat is overgenomen, en loop de meldprocedure door. Je vindt bijna altijd iets dat niet klopt. Dat is precies de bedoeling.

Na dertig dagen

Je hebt dan een scope, een lijst met gaten, een plan en een meldprocedure die geoefend is. Het plan zelf loopt maanden. Plan elk kwartaal een voortgangsgesprek met het bestuur, want dat is eindverantwoordelijk.

Noveu werkt aan een Compliance Console die NIS2-maatregelen bijhoudt en bewijs automatisch verzamelt. Die is in ontwerp; er is nog geen versie om te gebruiken. Voor nu doe je dit met je eigen lijsten, en daar is niets mis mee. Wat Noveu vandaag al technisch regelt, staat per kader op onze compliancepagina.