NIS2 audit
Een NIS2 audit is een beoordeling of uw organisatie voldoet aan de zorgplicht uit de Cyberbeveiligingswet (CBW), de Nederlandse uitwerking van NIS2. De beoordeling kan intern plaatsvinden of door een externe partij, en levert een rapport op waarmee u aantoont waar u staat.
Op deze pagina leest u wat zo’n audit inhoudt, welk bewijsstuk uw opdrachtgever werkelijk accepteert, wie wat mag uitvoeren en hoe u in zes stappen een dossier opbouwt dat de toets doorstaat. De wet geldt vanaf 15 augustus 2026.
Wij komen deze vraag meestal tegen als een opdrachtgever schriftelijk om onderbouwing vraagt, of als een organisatie zelf wil weten of het dossier klopt voordat er iemand van buiten naar kijkt.
Wat een NIS2 audit is binnen de Cyberbeveiligingswet
Een NIS2 audit toetst of de maatregelen die de zorgplicht vraagt daadwerkelijk zijn ingericht, worden uitgevoerd en aantoonbaar zijn.
De zorgplicht bestaat uit een reeks onderwerpen: risicobeheer, incidentafhandeling, continuïteit, ketenbeveiliging, kwetsbaarhedenbeheer, het beoordelen van de eigen maatregelen, cyberhygiëne en opleiding, cryptografie, toegangsbeleid en meervoudige verificatie. Een audit loopt die onderwerpen langs en vraagt per onderwerp om bewijs.
Het woord audit veroorzaakt hier verwarring, omdat het drie verschillende dingen kan betekenen. Een interne beoordeling die u zelf laat uitvoeren. Een onderzoek door een externe auditor die daar een verklaring over afgeeft. Of het toezicht door de toezichthouder, wat formeel geen audit is maar wel zo wordt genoemd.
Deze pagina gaat over de eerste twee. Het toezicht komt verderop aan bod, want dat verloopt anders dan de meeste organisaties verwachten.
Is een NIS2 audit verplicht, en bestaat er een NIS2-certificaat?
Er bestaat geen NIS2-certificaat. De wet kent geen certificeringsplicht en geen aangewezen keurmerk.
Dat is belangrijk om te weten, want er wordt in de markt wel zo over gesproken. Wat de wet wel vraagt is dat u de effectiviteit van uw maatregelen beoordeelt en dat u kunt aantonen dat u aan de zorgplicht voldoet. Hoe u dat organiseert, mag u zelf bepalen.
In de praktijk betekent dit dat de vraag om een audit zelden van de wetgever komt. Die komt van uw opdrachtgever. Organisaties die zelf onder de wet vallen moeten hun toeleveringsketen beheersen, en dat vertalen zij naar eisen aan hun leveranciers. Daar begint bij de meeste bedrijven het traject.
Een interne audit is daarnaast gewoon verstandig. Het is aanzienlijk prettiger om zelf te ontdekken dat het bewijs voor een maatregel ontbreekt dan om dat van een opdrachtgever te horen.
Toezicht door de RDI: essentiële en belangrijke entiteiten
De Rijksinspectie Digitale Infrastructuur houdt toezicht op een groot deel van de sectoren, en dat toezicht verschilt per categorie.
De wet deelt organisaties in twee groepen in. Essentiële entiteiten vallen onder proactief toezicht: de toezichthouder kan uit eigen beweging komen kijken, zonder dat er aanleiding is. Belangrijke entiteiten vallen onder reactief toezicht: daar komt de toezichthouder in beeld bij een incident, een melding of een signaal.
Welke categorie op u van toepassing is, hangt af van uw sector en uw omvang. Voor sommige sectoren is een andere toezichthouder aangewezen dan de RDI. Dat is een van de eerste dingen die wij in een traject vaststellen, want het bepaalt hoe scherp uw dossier voortdurend op orde moet zijn.
Het verschil is praktisch. Bij proactief toezicht kan een verzoek om informatie op elk moment komen. Dan is een dossier dat u binnen enkele weken bij elkaar kunt zoeken niet voldoende. Bij reactief toezicht heeft u die druk niet, al blijft de zorgplicht identiek.
Vier bewijsstukken vergeleken: wat accepteert uw opdrachtgever
Wie te horen krijgt dat hij moet aantonen dat hij voldoet, heeft vier routes. Ze verschillen sterk in wie het afgeeft en wat het waard is.
- Interne audit met rapportage. Wie voert uit: Uw eigen organisatie of een adviespartij namens u. Wat het aantoont: Dat u de maatregelen heeft beoordeeld en de bevindingen opvolgt. Wanneer kiest u dit: Uw opdrachtgever vraagt onderbouwing, geen externe zekerheid.
- TPM of ISAE 3000-verklaring. Wie voert uit: Een registeraccountant of RE-auditor. Wat het aantoont: Onafhankelijke zekerheid over de opzet en werking van uw maatregelen. Wanneer kiest u dit: Uw opdrachtgever eist een verklaring van een onafhankelijke auditor.
- ISO 27001-certificaat. Wie voert uit: Een geaccrediteerde certificerende instelling. Wat het aantoont: Dat u een managementsysteem voor informatiebeveiliging beheerst. Wanneer kiest u dit: U wilt breed inzetbaar bewijs dat ook buiten deze wet erkend wordt.
- Ketenverklaring op NIS2-basis. Wie voert uit: Een aangewezen beoordelende partij. Wat het aantoont: Dat u op een afgesproken niveau voldoet aan ketenafspraken. Wanneer kiest u dit: Uw opdrachtgever werkt met een vast ketenschema en vraagt daarom.
De belangrijkste vraag is dus niet welke audit het beste is, maar wat uw opdrachtgever accepteert. Vraag dat expliciet na voordat u een traject start. Wij zien met enige regelmaat organisaties die een zwaarder bewijsstuk laten maken dan er werd gevraagd.
Wie wat mag uitvoeren, en waar onze rol ophoudt
QENSORA bereidt voor en voert de interne audit uit. Een TPM-verklaring of een certificaat geven wij niet af.
Die scheiding is geen formaliteit. Een verklaring met zekerheid komt van een registeraccountant of een RE-auditor, en een ISO-certificaat van een geaccrediteerde certificerende instelling. Wie u begeleidt bij het inrichten, mag u daarna niet onafhankelijk beoordelen. Dat is precies het punt waardoor zo’n verklaring waarde heeft.
In de praktijk werkt de verdeling zo. Wij brengen in kaart waar u staat, richten de ontbrekende onderdelen in, voeren de interne audit uit en zorgen dat het dossier compleet is. Komt er daarna een externe auditor, dan begeleiden wij dat traject en zijn wij het aanspreekpunt voor de bewijsvoering.
Vraagt uw opdrachtgever om een verklaring van een onafhankelijke auditor, dan verwijzen wij u door en werken wij daarnaast. Dat is transparanter dan zelf iets afgeven dat die status niet heeft.
Het Cbw (NIS2) Control Framework als normenkader
Voor een audit heeft u een normenkader nodig. De wet zelf is daarvoor te algemeen geformuleerd.
De Auditdienst Rijk heeft samen met NOREA, de beroepsorganisatie van IT-auditors, een control framework voor de Cyberbeveiligingswet gepubliceerd. Dat framework vertaalt de zorgplicht naar concrete beheersmaatregelen, met per maatregel een beschrijving van wat er verwacht wordt.
De waarde ervan is dat het een gedeelde taal geeft. U en uw auditor kijken naar dezelfde maatregelnummers, in plaats van te discussiëren over de interpretatie van een wetsartikel. Het framework werkt bovendien met volwassenheidsniveaus, waardoor u kunt laten zien dat u groeit in plaats van alleen of u voldoet.
Heeft u al ISO 27001, dan dekt dat een aanzienlijk deel af. De onderwerpen overlappen sterk. Wat er meestal bij moet is de meldketen, de ketenbeveiliging en de bestuurlijke verantwoording. Wij brengen die overlap in kaart, zodat u niet twee stelsels naast elkaar gaat onderhouden.
Per zorgplichtmaatregel: wat een auditor opvraagt
Bewijs is concreet. Dit is wat er per onderwerp werkelijk op tafel moet komen.
- Risicobeheer en beleid. Wat een auditor opvraagt: Beleid vastgesteld door de directie, met datum, versie en reviewmoment. Meest voorkomende tekort: Beleid bestaat wel, maar is nooit formeel vastgesteld.
- Incidentafhandeling. Wat een auditor opvraagt: Incident response plan, een oefenverslag en de opvolging van bevindingen. Meest voorkomende tekort: Plan aanwezig, nooit beproefd.
- Continuïteit en back-up. Wat een auditor opvraagt: Herstelprocedure en het bewijs van een geslaagde hersteltest. Meest voorkomende tekort: Back-ups draaien, terugzetten is nooit getest.
- Ketenbeveiliging. Wat een auditor opvraagt: Leveranciersoverzicht, contractafspraken en een periodieke beoordeling. Meest voorkomende tekort: Overzicht is verouderd of onvindbaar.
- Beoordelen van de maatregelen. Wat een auditor opvraagt: Rapportage van een interne audit of toets, met acties en eigenaren. Meest voorkomende tekort: Er is nooit iemand die het geheel beoordeelt.
- Opleiding en cyberhygiëne. Wat een auditor opvraagt: Deelnameregistratie van trainingen, ook van de directie. Meest voorkomende tekort: Training gegeven, deelname niet vastgelegd.
- Toegangsbeleid en verificatie. Wat een auditor opvraagt: Overzicht van rechten, bewijs dat meervoudige verificatie is afgedwongen. Meest voorkomende tekort: Uitzonderingen bestaan zonder onderbouwing.
Wat opvalt is dat de tekorten zelden gaan over ontbrekende maatregelen. Ze gaan bijna altijd over ontbrekende vastlegging van maatregelen die er wel zijn.
Zo bouwt u in zes stappen een auditwaardig dossier op
Een dossier bouwt u op in de volgorde waarin een auditor het leest. Dat scheelt achteraf herstelwerk.
1. Stel de reikwijdte en de categorie vast
Wij bepalen of u onder de wet valt, in welke categorie en wie uw toezichthouder is. U levert gegevens over sector, omvang en diensten aan. Dat levert de afbakening op die bepaalt hoe zwaar het traject wordt.
2. Voer de gap-analyse uit
Wij toetsen uw huidige situatie aan het control framework en leggen per maatregel vast wat er ligt. U geeft toegang tot documenten en de betrokken mensen. Dat levert een lijst met tekorten op, geordend naar urgentie en inspanning.
3. Vul de ontbrekende maatregelen aan
Wij stellen de ontbrekende documenten op en richten de processen in, samen met uw mensen. U beslist over prioriteiten en stelt de documenten vast. Dat levert een dossier op dat inhoudelijk compleet is.
4. Verzamel het bewijs
Wij bepalen per maatregel welk bewijsstuk hoort en waar dat vandaan komt. U zorgt dat systemen en leveranciers de gevraagde overzichten leveren. Dat levert een bewijsmap op die aansluit op de maatregelnummers.
5. Voer de interne audit uit
Wij beoordelen het geheel als auditor en leggen bevindingen vast met een oordeel per maatregel. U wijst eigenaren aan voor de bevindingen. Dat levert het rapport op waarmee u richting opdrachtgever kunt onderbouwen waar u staat.
6. Bereid de externe toets voor
Wij begeleiden de externe auditor of certificerende instelling en zijn aanspreekpunt voor de bewijsvoering. U levert de formele opdracht en de beschikbaarheid van uw mensen. Dat levert een externe toets op zonder verrassingen.
Aantoonbaar blijven na de audit
Voldoen is een moment, aantoonbaar blijven is een ritme. Het tweede is waar organisaties op vastlopen.
Bewijs veroudert snel. Een rechtenoverzicht van een jaar oud zegt niets over vandaag. Een oefenverslag uit 2024 dekt geen team dat inmiddels half is gewisseld. Daarom hoort er een cyclus onder te liggen die het bewijs vanzelf actueel houdt.
In de praktijk werkt een jaarritme met een vast aantal momenten. Een jaarlijkse herbeoordeling van de risico’s. Een oefening van het incident response plan. Een herbeoordeling van de leveranciers. Een korte rapportage aan de directie, minimaal twee keer per jaar. En een interne audit die het geheel doorloopt.
Bevindingen uit een audit krijgen een eigenaar en een termijn, en die termijn wordt bewaakt. Een openstaande bevinding is geen probleem zolang er aantoonbaar aan gewerkt wordt. Een bevinding die er twee audits later nog ligt, is dat wel.
Dit is precies de functie van een ISMS. Wie dat systeem al heeft ingericht, heeft het jaarritme feitelijk al staan en hoeft er alleen de onderwerpen uit de Cyberbeveiligingswet aan toe te voegen.
Wat de omvang van het traject bepaalt
Trajecten lopen sterk uiteen. Deze factoren bepalen het verschil.
- Reikwijdte. Hoeveel diensten, locaties en entiteiten onder de beoordeling vallen.
- Huidige documentatiegraad. Ligt er beleid en zijn er registraties, dan is aanvullen aanzienlijk lichter dan opbouwen.
- Bestaande certificeringen. Een lopend ISO 27001- of NEN 7510-systeem dekt een groot deel van de onderwerpen af.
- Complexiteit van de keten. Meer kritieke leveranciers betekent meer contractanalyse en meer beoordelingen.
- Gewenste vorm van zekerheid. Een interne audit vraagt minder dan een traject richting een externe verklaring.
- Beschikbaarheid van uw mensen. Het verzamelen van bewijs vraagt tijd van proceseigenaren en beheerders.
Wij maken de omvang van uw traject inzichtelijk in een vrijblijvend gesprek.
Zo werkt QENSORA bij uw NIS2 audit
Wij combineren de technische kant met de auditkant. Dat is in dit vakgebied schaarser dan het zou moeten zijn.
De meeste partijen komen uit één van beide werelden. Een technische partij begrijpt de maatregelen maar niet de bewijslast. Een auditpartij begrijpt de bewijslast maar kan niet beoordelen of een technische maatregel werkelijk doet wat er staat. Wij kijken naar allebei, en dat scheelt u een vertaalslag.
Wij zijn bovendien onafhankelijk van leveranciers. Wij verkopen geen software en geen beheer, dus een advies om iets aan te schaffen komt niet voort uit een eigen belang.
René van der Horst werkt dertig jaar in IT-leiderschap en begeleidt organisaties bij de Cyberbeveiligingswet, ISO 27001 en NEN 7510. Hij voert de eerste beoordeling zelf. Blijkt dat uw bestaande certificering het grootste deel al afdekt, dan is dat de uitkomst.
Weet u nog niet of u onder de wet valt, dan is een compliance assessment het logische beginpunt. Ontbreekt er iemand die dit onderwerp intern kan dragen, dan kan die rol tijdelijk worden ingevuld via CISO as a Service.
Van voldoen naar aantoonbaar blijven
Het lastigste aan deze wet is niet de inhoud van de maatregelen. Het is de bewijslast: kunnen laten zien dat wat u zegt te doen, ook werkelijk gebeurt en actueel is.
Wilt u weten hoe uw dossier ervoor staat en wat uw opdrachtgever van u kan vragen? Neem vrijblijvend contact op. In een eerste gesprek wordt meestal snel duidelijk of u onder de wet valt en welk bewijsstuk bij uw situatie past.
Veelgestelde vragen over de NIS2 audit
Wat is een NIS2 audit precies?
Het is een beoordeling of uw organisatie voldoet aan de zorgplicht uit de Cyberbeveiligingswet. De beoordeling loopt de onderwerpen van de zorgplicht langs en vraagt per onderwerp om bewijs. Dat kan intern gebeuren of door een externe auditor. De uitkomst is een rapport met een oordeel per maatregel.
Is een NIS2 audit verplicht?
De wet verplicht geen audit en kent geen certificeringsplicht. Wel moet u de effectiviteit van uw maatregelen beoordelen en kunnen aantonen dat u aan de zorgplicht voldoet. In de praktijk komt de vraag om een audit meestal van opdrachtgevers die hun eigen keten moeten beheersen.
Wie mag een NIS2 audit uitvoeren?
Een interne audit mag uw eigen organisatie doen of een adviespartij namens u. Voor een verklaring met zekerheid, zoals een TPM, is een registeraccountant of RE-auditor nodig. Een ISO 27001-certificaat komt van een geaccrediteerde certificerende instelling. Die rollen mogen niet worden gecombineerd met de begeleiding.
Wat is het verschil tussen een interne audit en een TPM-verklaring?
Een interne audit is uw eigen beoordeling en levert een rapport op dat u zelf uitgeeft. Een TPM is een verklaring van een onafhankelijke auditor die zekerheid geeft over opzet en werking. Het tweede weegt zwaarder bij opdrachtgevers, kost meer en vraagt een dossier dat volledig op orde is.
Is ons ISO 27001-certificaat voldoende voor de Cyberbeveiligingswet?
Het dekt een groot deel af, maar niet alles. De onderwerpen overlappen sterk op het gebied van risicobeheer, toegangsbeleid en incidentafhandeling. Wat er meestal bij moet zijn de meldketen met de wettelijke termijnen, de ketenbeveiliging en de bestuurlijke verantwoording. Wij brengen die verschillen in kaart.
Hoelang duurt een auditvoorbereiding?
Een gap-analyse vraagt doorgaans enkele weken. Het aanvullen van ontbrekende onderdelen loopt daarna over een aantal maanden, afhankelijk van wat er ontbreekt en van de beschikbaarheid van uw mensen. Ligt er al een ISO 27001-systeem, dan is de doorlooptijd aanzienlijk korter.
Wat als wij nog helemaal geen dossier hebben?
Dat is een veelvoorkomende startsituatie. Wij beginnen dan met de gap-analyse, zodat duidelijk is wat er is en wat er ontbreekt. Vaak blijkt een deel van de maatregelen gewoon aanwezig en alleen niet vastgelegd. Dat scheelt aanzienlijk in de inspanning die daarna volgt.
Wat gebeurt er na de audit?
De bevindingen krijgen een eigenaar en een termijn, en die opvolging wordt vastgelegd. Daarna hoort er een jaarritme te lopen: herbeoordeling van de risico’s, een oefening, een leveranciersbeoordeling en een rapportage aan de directie. Dat ritme houdt het bewijs actueel, zodat een volgende toets geen project wordt.
Improved Security, Smarter Compliance.
Weten waar uw organisatie staat op het gebied van cybersecurity, compliance of IT? Of bent u benieuwd welke risico’s of verplichtingen voor uw organisatie relevant zijn?
Neem vrijblijvend contact op met QENSORA voor een kennismaking of adviesgesprek. Samen kijken we hoe uw organisatie veiliger en slimmer kan worden.
