Artikel 21 van de NIS2-richtlijn, Richtlijn (EU) 2022/2555, legt de minimale cybersecuritymaatregelen vast die essentiële en belangrijke entiteiten moeten nemen. Het leest als een lijst met kopjes, wat veel ruimte laat voor interpretatie over wat "goed genoeg" is. In dit artikel bespreken we elke maatregel in praktische termen, en daarna de meldtermijnen uit artikel 23.
Dit is een lezing van de richtlijn zelf. Elke lidstaat zet de richtlijn om in nationale wetgeving, die details kan toevoegen. Controleer daarom de regels en de bevoegde autoriteit in elk land waar u actief bent.
Geldt het voor u?
NIS2 geldt in het algemeen voor middelgrote en grote organisaties in de sectoren die in de bijlagen I en II staan. De omvang volgt de Europese definitie van het mkb: een kleine onderneming heeft minder dan 50 medewerkers en een omzet of balanstotaal van maximaal 10 miljoen euro. Hebt u 50 of meer medewerkers, of liggen zowel uw omzet als uw balanstotaal boven 10 miljoen euro, dan bent u in de praktijk minstens middelgroot.
Sommige entiteiten vallen op grond van artikel 2, lid 2, ongeacht hun omvang onder de richtlijn. Voorbeelden zijn aanbieders van openbare elektronische communicatienetwerken of -diensten, verleners van vertrouwensdiensten, registers voor topleveldomeinen en DNS-dienstverleners.
Entiteiten zijn ofwel essentieel ofwel belangrijk (artikel 3). De maatregelen in artikel 21 zijn voor beide gelijk. Het verschil zit in het toezicht, dat voor belangrijke entiteiten vooral achteraf plaatsvindt (artikel 33), en in de maximale boetes op grond van artikel 34. Voor essentiële entiteiten moeten lidstaten een maximum vaststellen van minstens 10 miljoen euro of 2% van de wereldwijde jaaromzet, als dat hoger is. Voor belangrijke entiteiten gaat het om 7 miljoen euro of 1,4%.
Twee punten zijn van belang voor lezers buiten de EU, ook in Turkije. Op grond van artikel 26, lid 3, moeten bepaalde digitale aanbieders een vertegenwoordiger in de EU aanwijzen als ze daar diensten aanbieden zonder er gevestigd te zijn. Het gaat onder meer om aanbieders van clouddiensten, datacenters, beheerde diensten en beheerde beveiligingsdiensten. En leveranciers van entiteiten die onder NIS2 vallen, krijgen via de contracten en vragenlijsten van hun klanten met artikel 21 te maken.
De tien maatregelen uit artikel 21, lid 2
Artikel 21, lid 1, vraagt om maatregelen die "passend en evenredig" zijn. Daarbij moet rekening worden gehouden met de stand van de techniek, relevante normen, de kosten, de omvang van de entiteit en de mate waarin die aan risico’s is blootgesteld, en de waarschijnlijkheid en ernst van incidenten. Artikel 21, lid 2, bepaalt dat de maatregelen moeten uitgaan van een benadering die alle gevaren omvat (all-hazards) en ten minste het volgende moeten omvatten.
(a) Risicoanalyse en beleid voor de beveiliging van informatiesystemen
Leg vast wat u moet beschermen, wat er mis kan gaan en wat u hebt besloten daaraan te doen. Voor een bedrijf met 200 medewerkers betekent dat een overzicht van bedrijfsmiddelen, een risicoregister dat minstens jaarlijks wordt beoordeeld, en een kort beveiligingsbeleid dat door het management is ondertekend.
(b) Incidentenbehandeling
Zorg voor een schriftelijk proces voor het detecteren, beoordelen en afhandelen van incidenten, met namen van verantwoordelijken en contactpersonen buiten kantoortijden. Neem de meldstappen uit artikel 23 op, zodat niemand tijdens een incident de termijnen hoeft uit te zoeken.
(c) Bedrijfscontinuïteit, back-ups, herstel na calamiteiten en crisisbeheer
Weet welke diensten het belangrijkst zijn en hoe lang u zonder kunt. Bewaar back-ups die een aanvaller met beheerdersrechten niet kan verwijderen, en test het terugzetten volgens een vast schema. Houd minstens één tabletopoefening met het management.
(d) Beveiliging van de toeleveringsketen
Breng de leveranciers en dienstverleners in kaart die invloed kunnen hebben op uw systemen, zoals uw IT-dienstverlener (MSP), cloud- en SaaS-aanbieders en softwareleveranciers. Artikel 21, lid 3, vraagt u rekening te houden met de specifieke kwetsbaarheden, de productkwaliteit en de beveiligingspraktijken van elke directe leverancier, inclusief veilige ontwikkeling. Neem in de praktijk beveiligingseisen en de plicht om incidenten te melden op in contracten.
(e) Beveiliging bij aanschaf, ontwikkeling en onderhoud, inclusief behandeling en openbaarmaking van kwetsbaarheden
Patch volgens een vast schema, houd kwetsbaarheden bij in wat u bouwt en koopt, en geef buitenstaanders een manier om problemen aan u te melden. Een gepubliceerd security.txt-bestand en een eenvoudig beleid voor gecoördineerde openbaarmaking dekken dat laatste punt.
(f) Beoordelen van de effectiviteit van deze maatregelen
Controleer of maatregelen werken, in plaats van ervan uit te gaan dat ze werken. Interne audits, kwetsbaarheidsscans, penetratietesten en hersteltests tellen allemaal mee, zolang bevindingen worden gevolgd tot ze zijn afgehandeld.
(g) Basale cyberhygiëne en training
Regel overal de basis: updates, veilige configuratie, minimale rechten en het verwijderen van ongebruikte accounts. Train alle medewerkers regelmatig, met minimaal bewustwording rond phishing. Artikel 20, lid 2, verplicht daarnaast leden van bestuursorganen om een opleiding te volgen.
(h) Cryptografie en versleuteling
Bepaal waar versleuteling verplicht is, zoals op laptops, back-ups, gegevens tijdens transport en gevoelige opgeslagen gegevens. Bepaal welke algoritmen en protocolversies acceptabel zijn, en wie sleutels en certificaten beheert.
(i) Personeelsbeveiliging, toegangsbeheer en beheer van bedrijfsmiddelen
Richt processen in voor nieuwe medewerkers, functiewisselingen en vertrek, die de toegang ook echt op de laatste werkdag intrekken. Beoordeel accounts met verhoogde rechten regelmatig. Houd een inventaris van bedrijfsmiddelen bij die een eigenaar heeft en actueel wordt gehouden.
(j) Multifactor- of continue authenticatie, beveiligde communicatie en noodcommunicatie
Gebruik multifactorauthenticatie voor toegang op afstand, e-mail, cloudbeheer en accounts met verhoogde rechten. Spreek een noodcommunicatiekanaal af dat niet afhankelijk is van uw eigen e-mail of chat, omdat die tijdens een incident onbereikbaar kunnen zijn of worden meegelezen.
Het management is verantwoordelijk
Artikel 20 verplicht bestuursorganen om de maatregelen voor risicobeheer goed te keuren en toe te zien op de uitvoering ervan. Bestuursorganen kunnen aansprakelijk worden gesteld voor inbreuken van de entiteit op artikel 21. De leden ervan moeten een opleiding volgen, en lidstaten moeten entiteiten aanmoedigen om hun medewerkers regelmatig een vergelijkbare opleiding aan te bieden.
Zet cybersecurity in de praktijk minstens elk kwartaal op de agenda van de directie. Leg besluiten vast, ook over risico’s die het management heeft geaccepteerd.
De meldtermijnen in artikel 23
Een significant incident is een incident dat ernstige operationele verstoring of financiële verliezen voor de entiteit heeft veroorzaakt of kan veroorzaken, of aanzienlijke materiële of immateriële schade voor anderen. Zulke incidenten moeten in fasen worden gemeld bij het CSIRT of de bevoegde autoriteit:
| Fase | Termijn | Inhoud |
|---|---|---|
| Vroegtijdige waarschuwing | Binnen 24 uur nadat u ervan op de hoogte bent | Of er een vermoeden is van onrechtmatig of kwaadwillig handelen, en mogelijke grensoverschrijdende gevolgen |
| Incidentmelding | Binnen 72 uur nadat u ervan op de hoogte bent | Actualisering van de vroegtijdige waarschuwing, eerste beoordeling van ernst en impact, indicatoren van compromittering waar beschikbaar |
| Tussentijds verslag | Op verzoek | Relevante statusupdates |
| Eindverslag | Binnen een maand na de incidentmelding | Gedetailleerde beschrijving, waarschijnlijke grondoorzaak, genomen en lopende mitigerende maatregelen, grensoverschrijdende gevolgen |
| Voortgangsverslag | Als het incident op de termijn voor het eindverslag nog loopt | Status, gevolgd door een eindverslag binnen een maand nadat het incident is afgehandeld |
Voor verleners van vertrouwensdiensten geldt een kortere termijn. Bij incidenten die hun vertrouwensdiensten raken, moet de melding uit de tweede rij binnen 24 uur worden gedaan. Waar passend moeten entiteiten ook de afnemers van hun diensten informeren over significante incidenten die gevolgen voor hen kunnen hebben.
Deze termijnen lopen naast andere verplichtingen. Een ransomwareaanval waarbij persoonsgegevens zijn getroffen, kan ook een melding bij de toezichthouder voor gegevensbescherming vereisen op grond van artikel 33 AVG, zo mogelijk binnen 72 uur.
Evenredig, gedocumenteerd, aantoonbaar
Artikel 21 schrijft geen specifieke norm voor. Werkt u al met ISO/IEC 27001, dan is het een verstandig beginpunt om de beheersmaatregelen daarvan te koppelen aan de tien maatregelen. Voor bepaalde digitale aanbieders legt Uitvoeringsverordening (EU) 2024/2690 van de Commissie gedetailleerde technische eisen vast, en de technische implementatierichtlijnen van ENISA uit juni 2025 geven voorbeelden van bewijsstukken en koppelingen. Ook als die verordening niet op u van toepassing is, laten de richtlijnen zien hoe bewijs eruitziet.
Wat u ook kiest, bewaar bewijs: beleid met de datum van goedkeuring, trainingsregistraties, testrapporten, logboeken van hersteltests en de risicobesluiten van het management. Op grond van artikel 21, lid 4, moet een entiteit die vaststelt dat ze niet aan de eisen voldoet, zonder onnodige vertraging corrigerende maatregelen nemen.
Waar u begint
- Stel vast of u onder uw nationale wetgeving binnen de reikwijdte valt, en zo ja, als essentiële of als belangrijke entiteit.
- Voer een gap-analyse uit tegen de tien maatregelen hierboven. Eén pagina per maatregel is genoeg om mee te beginnen.
- Dicht eerst de gaten met de grootste impact, bijvoorbeeld ontbrekende MFA, ongeteste back-ups of het ontbreken van een procedure voor het melden van incidenten.
- Neem de meldstappen uit artikel 23 op in uw incidentplan, met de contactgegevens van uw CSIRT of autoriteit.
- Informeer het management, leg de goedkeuring vast en plan de opleiding van de bestuurders in.
Ons adviesteam kan helpen met een NIS2-gap-analyse, en SecAudit koppelt in zijn compliancerapporten beveiligingsbevindingen voor WordPress aan de maatregelen uit artikel 21.
