NIS2 checklist: in 10 stappen op weg naar compliance

Een NIS2 checklist helpt om overzicht te houden in een traject dat al snel maanden loopt. De volgorde is belangrijker dan de volledigheid: wie in de goede volgorde werkt, doet minder werk dubbel.

Hieronder staan tien stappen op volgorde. Per stap leest u wat er gebeurt en waar het in de praktijk stokt. Het is geen lijst om af te vinken en in te leveren, maar een werkvolgorde.

Stap 1: bepaal of de wet op u van toepassing is

Kijk eerst naar uw sector, daarna naar uw omvang. Staat uw sector niet in de bijlagen, dan valt u er niet onder. Let op de uitzonderingen waarbij omvang niet meetelt.

Leg de uitkomst vast met de onderbouwing erbij, ook als u er net buiten valt. Dat vastgelegde oordeel is precies wat u later aan een klant of toezichthouder laat zien. Zie voor wie geldt NIS2.

Stap 2: registreer u en zoek uw toezichthouder

Valt u eronder, dan moet u zich melden bij de aangewezen instantie. Dat is een aparte verplichting die vaak wordt vergeten omdat alle aandacht naar de maatregelen gaat.

Zoek in dezelfde beweging uit welke toezichthouder voor uw sector geldt. Dat bepaalt bij wie u meldt en wie u kan bevragen.

Stap 3: bepaal de scope

Welke diensten, systemen, locaties en mensen zijn nodig voor de dienst waarop de wet ziet. Die afbakening bepaalt de omvang van al het werk daarna.

Wees hier eerlijk over afhankelijkheden. Een systeem dat op het eerste gezicht buiten de scope valt maar wel nodig is om de dienst te leveren, hoort er alsnog bij.

Stap 4: breng in kaart wat er al ligt

Dit is de stap die het meeste scheelt en die het vaakst wordt overgeslagen. Bijna elke organisatie heeft al beleid, back-ups, toegangsafspraken en een leverancierslijst.

Wat ontbreekt is doorgaans niet de maatregel maar de samenhang en de vastlegging. Zie de NIS2 gap-analyse.

Stap 5: voer de risicobeoordeling uit

Bepaal eerst uw criteria voor kans en impact en uw acceptatiegrens, en scoor daarna pas. Zonder die afspraken vooraf scoort iedereen op gevoel en zijn de uitkomsten niet vergelijkbaar.

De beoordeling is het scharnier van uw hele dossier, want daaruit volgt welke maatregelen u kiest en welke u bewust niet neemt. Zie de risicoanalyse informatiebeveiliging.

Stap 6: beleg rollen en mandaat

Wie is verantwoordelijk voor het geheel, wie zijn de risico-eigenaren en welk directielid draagt het. Zonder mandaat loopt het traject vast op het eerste besluit dat geld of tijd kost.

Stap 7: vul de maatregelen aan

Werk de onderwerpen af die de wet benoemt en die bij u nog niet op orde zijn. Begin bij de basishygiëne, want daar zit de meeste winst per bestede uur. Zie de NIS2 zorgplicht.

Stap 8: richt de meldketen in

Stel criteria vast voor wanneer een incident significant is, leg vast wie beoordeelt en wie besluit, en regel de bereikbaarheid buiten kantooruren.

Test die keten een keer voordat u hem nodig heeft. Zie de NIS2 meldplicht en de cybercrisisoefening.

Stap 9: pak de keten aan

Breng in kaart welke leveranciers toegang hebben tot uw systemen of gegevens en welke een kritieke functie raken. Leg per leverancier vast wat er is afgesproken over incidenten, toegang en onderaanneming.

Reken op doorlooptijd die u niet zelf in de hand heeft, want u bent afhankelijk van hun reactie.

Stap 10: beleg het ritme

Zet de terugkerende momenten in de agenda: herziening van de risicobeoordeling, toetsing van de maatregelen, en de bespreking met het bestuur. Zonder ritme staat het systeem binnen een jaar stil.

Wat u parallel kunt laten lopen

De volgorde ligt grotendeels vast, maar drie onderdelen hoeven niet op hun beurt te wachten en dat scheelt weken.

De keten kunt u meteen starten. Het inventariseren van uw leveranciers en het uitzetten van vragen is vooral wachttijd, en die loopt door terwijl u aan de risicobeoordeling werkt. Begin er vroeg mee, want dit is het onderdeel met de langste doorlooptijd en de minste eigen controle.

De basishygiëne hoeft ook niet te wachten op een risicobeoordeling. Updates, toegangsbeheer, beproefde back-ups en meerfactorauthenticatie zijn maatregelen die hoe dan ook nodig zijn.

En de bestuurlijke kant kunt u vanaf het begin meenemen door het onderwerp meteen te agenderen. Dan bouwt u de vastlegging gaandeweg op in plaats van achteraf te reconstrueren dat het bestuur betrokken was.

Hoe u het overzicht houdt zonder projectbureau

Een traject van tien stappen over meerdere maanden vraagt om enige administratie, maar veel minder dan vaak wordt opgetuigd.

Wat volstaat is een lijst met per stap een verantwoordelijke, een status en een datum. Dat past op een A4 en het is precies genoeg om te zien waar het stokt. Een projectplan van dertig pagina’s leest niemand na week twee.

Plan daarnaast de besluitmomenten vooruit in plaats van ze aan te vragen als ze nodig zijn. Een risicobeoordeling die klaar is maar drie weken wacht op een directievergadering is wachttijd die u zelf veroorzaakt.

En houd één plek aan waar het bewijs landt. Niet een map per stap, maar een vaste structuur waarin per onderwerp staat wat er is en wie het heeft geleverd. Dat is dezelfde structuur die u later bij een audit of een toezichtvraag nodig heeft, dus dat werk doet u maar een keer.

Veelgestelde vragen over de NIS2 checklist

Kan ik stappen overslaan?

De eerste vier niet, want die bepalen samen hoe groot de opgave is. Wie begint bij maatregelen zonder te weten of de wet van toepassing is en wat er al ligt, doet vrijwel zeker werk dat niet nodig was.

Hoe lang duurt zo’n traject?

Dat hangt vooral af van stap vier. Ligt er al een managementsysteem, dan is het aanvullen en vastleggen. Begint u bij nul, reken dan op maanden, met de keten als grootste onzekerheid.

Moeten wij ISO 27001 halen?

Nee, de wet schrijft geen norm voor. Het is wel de handigste manier om aantoonbaar te maken dat u de zorgplicht invult. Zie ISO 27001 en NIS2.

Wat is de meest gemaakte fout?

Beginnen bij techniek. De onderwerpen die het meeste werk opleveren zijn ketenbeveiliging, het aantonen van effectiviteit en de bestuurlijke kant, en dat zijn geen technische vraagstukken.

Wie moet dit binnen onze organisatie trekken?

Iemand met overzicht en mandaat, met een directielid dat het draagt. Bij kleinere organisaties is dat vaak een taak naast een andere rol, en dan is het belangrijk dat er tijd voor is vrijgemaakt.