De zorgplicht NIS2 is het deel van de Cyberbeveiligingswet waar je het hele jaar door mee bezig bent. De meldplicht komt pas in beeld als het misgaat; de zorgplicht bepaalt hoe waarschijnlijk het is dát het misgaat, en of je kunt uitleggen wat je eraan hebt gedaan.
Wat de zorgplicht lastig maakt: de wet noemt categorieën maatregelen, geen concrete eisen. Er staat niet hoe lang je wachtwoord moet zijn. Er staat dat je passende en evenredige maatregelen neemt, gebaseerd op je eigen risico’s. Dit artikel maakt die categorieën concreet.
Kort samengevat
- De zorgplicht vraagt om passende maatregelen op tien onderwerpen, van risicoanalyse tot toegangsbeveiliging.
- “Passend” wordt bepaald door je eigen risicoanalyse, je omvang en de gevolgen van uitval.
- Het bestuur is eindverantwoordelijk en moet aantoonbaar kennis van zaken hebben.
- Ketenbeveiliging staat expliciet in de lijst; je bent ook verantwoordelijk voor risico’s via leveranciers.
- De meeste organisaties hebben de techniek redelijk op orde en lopen vast op aantoonbaarheid.
Wat houdt de zorgplicht NIS2 in?
De zorgplicht verplicht je om passende en evenredige technische, operationele en organisatorische maatregelen te nemen om de risico’s voor je netwerk- en informatiesystemen te beheersen, en om de gevolgen van incidenten te beperken.
Drie woorden doen daar het werk. Passend betekent: afgestemd op jouw risico’s, niet op een standaardlijst. Evenredig betekent: in verhouding tot je omvang en de kans en impact van incidenten. En beheersen betekent dat het niet bij een aanschaf blijft; je moet ook weten of het werkt.
Weet je nog niet of de wet op jou van toepassing is, dan hebben we beschreven hoe je bepaalt of je een essentiële of belangrijke entiteit bent.
Welke categorieën maatregelen noemt de zorgplicht?
De wet werkt met tien onderwerpen. Per onderwerp de kern, en wat een toezichthouder er in de praktijk over wil zien.
1. Risicoanalyse en beleid
Het fundament. Zonder actuele risicoanalyse kun je van geen enkele maatregel uitleggen waarom je hem hebt genomen. Vraag die je moet kunnen beantwoorden: wanneer is deze analyse voor het laatst bijgewerkt, en door wie vastgesteld?
2. Incidentafhandeling
Een proces om incidenten te herkennen, te beoordelen, af te handelen en erover te melden. Dit sluit direct aan op de meldplicht en de termijnen die daarbij gelden.
3. Bedrijfscontinuïteit
Back-ups, herstel en crisisbeheer. De vraag is niet of je back-ups maakt maar wanneer je voor het laatst een herstel hebt getest. Een back-up die nooit is teruggezet, is een aanname.
4. Beveiliging van de toeleveringsketen
Expliciet genoemd, en in de praktijk het lastigste onderdeel. Je moet risico’s van leveranciers en dienstverleners beheersen, inclusief de kwaliteit van hun eigen beveiliging.
5. Beveiliging bij aanschaf, ontwikkeling en onderhoud
Inclusief kwetsbaarhedenbeheer. Weet je welke software je draait, welke versies dat zijn en hoe snel je patcht?
6. Beoordelen of maatregelen effectief zijn
De categorie die het vaakst leeg blijft. Maatregelen nemen is één ding; toetsen of ze werken is een tweede. Hier horen tests, audits en metingen thuis.
7. Cyberhygiëne en opleiding
Basismaatregelen en bewustwording, ook voor het bestuur. Dit is geen jaarlijkse presentatie maar een doorlopende activiteit.
8. Cryptografie en encryptie
Beleid over waar je versleutelt en waarom. Onderweg en in rust, met afspraken over sleutelbeheer.
9. Personeelsbeveiliging, toegangsbeleid en beheer van bedrijfsmiddelen
Wie heeft waar toegang toe, op grond waarvan, en hoe snel vervalt die toegang bij uitdiensttreding? Dit is bijna altijd de plek waar een test de meeste afwijkingen oplevert.
10. Multifactorauthenticatie en beveiligde communicatie
MFA waar het kan, en beveiligde spraak-, video- en tekstcommunicatie. Ook voor noodcommunicatie tijdens een incident, wanneer je eigen systemen mogelijk plat liggen.
Wat betekent “passend en evenredig” in de praktijk?
Dat je niet hoeft te doen wat een bank doet, maar wel moet kunnen uitleggen waarom jouw niveau past bij jouw risico’s. Drie dingen bepalen dat: de kans dat iets misgaat, de gevolgen als het misgaat, en de kosten van de maatregel afgezet tegen die gevolgen.
Praktisch betekent dit dat je risicoanalyse geen formaliteit is maar je belangrijkste verdediging. Komt de toezichthouder langs na een incident, dan is de vraag niet of je alles had voorkomen. De vraag is of je de risico’s kende en of je keuze verdedigbaar was.
Wie dit gestructureerd wil oppakken, vindt de aanpak terug bij NIS2-implementatie.
Wat is de rol van het bestuur?
De wet legt de verantwoordelijkheid expliciet bij het leidinggevend orgaan. Het bestuur keurt de maatregelen goed, ziet toe op de uitvoering en moet aantoonbaar over voldoende kennis beschikken om risico’s te kunnen beoordelen.
Die laatste eis wordt onderschat. Het gaat niet om technische kennis, maar om het vermogen om een risicoafweging te begrijpen en er een besluit over te nemen. Leg die besluiten vast, met datum en onderbouwing. Een geaccepteerd risico zonder handtekening is in een onderzoek geen besluit maar een omissie.
Waar lopen organisaties in de praktijk vast?
- Aantoonbaarheid. De maatregel bestaat, maar er is geen registratie die laat zien dat hij werkt.
- De keten. Vragenlijsten worden verstuurd, antwoorden worden gearchiveerd, en daar blijft het bij.
- Effectiviteit toetsen. Categorie zes blijft leeg omdat niemand eigenaar is van die controle.
- Toegangsbeheer bij uitdiensttreding. Bijna overal het zwakste punt, en eenvoudig te controleren.
- Bestuurlijke verankering. Beveiliging blijft een ICT-onderwerp in plaats van een directie-onderwerp.
Veelgestelde vragen over de zorgplicht NIS2
Staat er in de wet welke maatregelen ik precies moet nemen?
Nee. De wet noemt tien onderwerpen waarop je maatregelen moet treffen, maar schrijft niet voor hoe. Wat passend is, volgt uit je eigen risicoanalyse en de omvang van je organisatie.
Voldoe ik aan de zorgplicht als ik ISO 27001-gecertificeerd ben?
Een werkend ISO 27001-systeem dekt een groot deel van de zorgplicht, omdat beide op risicomanagement zijn gebouwd. Volledig samenvallen doen ze niet: let vooral op de meldplicht, de bestuurlijke verankering en de eisen rond de keten.
Wie controleert of ik aan de zorgplicht voldoe?
De toezichthouder die voor jouw sector is aangewezen. Essentiële entiteiten kunnen ook zonder aanleiding worden gecontroleerd; bij belangrijke entiteiten gebeurt dat doorgaans na een signaal of incident.
Hoe vaak moet ik mijn risicoanalyse bijwerken?
Minimaal jaarlijks, en daarnaast bij elke belangrijke verandering: een nieuw systeem, een nieuwe leverancier, een reorganisatie of een incident.
Geldt de zorgplicht ook voor mijn leveranciers?
De verplichting ligt bij jou. Je moet de risico’s beheersen die via leveranciers binnenkomen, ook als die leverancier zelf niet onder de wet valt.
