Is je organisatie klaar voor NIS2 en ISO 27001?

Maakindustrie: naast het besluit geldt de Regeling cyberbeveiliging EZK, voor de sectoren die artikel 2 van die regeling noemt. Die eist onder meer hersteltijden en herstelpunten voor back-ups, patches binnen een redelijke termijn of een vastgelegde reden, kwetsbaarheidsscans, bescherming tegen kwaadaardige software en netwerksegmentatie. Een incident is in elk geval significant als de continuïteit van het productieproces in gevaar is gekomen of kan komen.

Zorg en medische hulpmiddelen: volgens de Cyberbeveiligingsregeling voor de zorg moeten je maatregelen aantoonbaar voldoen aan NEN 7510, aan ISO 27001 en 27002, of een gelijkwaardig niveau hebben. De ISO-verwijzingen hieronder zijn voor jou dus meer dan een hulpmiddel. Een incident is in elk geval significant als een kritisch bedrijfsproces langer dan vier uur geheel of gedeeltelijk stilligt.

Cloud, datacenter en beheerde IT-diensten: voor jou gelden niet de artikelen 6 tot en met 18 van het Cyberbeveiligingsbesluit, maar de eisen uit de bijlage van Uitvoeringsverordening (EU) 2024/2690. De onderwerpen zijn dezelfde als in deze check, de eisen gaan verder. Lees de verwijzingen naar het besluit hieronder dus als richtingwijzer, niet als jouw grondslag.

• Reikwijdte en registratie

  Alle andere plichten hangen hieraan: zorgplicht, meldplicht en toezicht gelden voor essentiële en belangrijke entiteiten. Wie onder de wet valt, moet zichzelf registreren; dat is verplicht sinds 15 augustus 2026.

  Ja betekent: de uitkomst (essentieel, belangrijk of buiten de wet) staat op papier met de onderbouwing, en als de wet geldt, staat de organisatie in het nationale register en houdt iemand de gegevens actueel.

  Eerste stap: Doe de Cbw-scopecheck, leg de uitkomst met de onderbouwing vast en registreer de organisatie via Mijn.NCSC.nl als de wet geldt.

  Zo kom je erachter: Vraag je jurist of de bestuurssecretaris: is beoordeeld of wij onder de Cyberbeveiligingswet vallen, waar staat dat, en staan we in het register?

  Grondslag: Cbw art. 44 lid 1 · Cbb art. 27 · NIS2 art. 3 lid 4 · ISO 27001: 4.2, A.5.31

• Goedkeuring door het bestuur

  De wet eist dat het bestuur de maatregelen goedkeurt. Zonder vastgelegd besluit kun je niet laten zien dat het bestuur stuurt, en beslist in de praktijk de IT-afdeling over risico's die het hele bedrijf raken.

  Ja betekent: er is een bestuursbesluit waarin de maatregelen zijn goedgekeurd, en het bestuur bespreekt op vaste momenten de risico's en de voortgang.

  Eerste stap: Zet het risicobeeld en het maatregelenplan op de agenda van de eerstvolgende bestuursvergadering en leg het besluit vast in de notulen.

  Zo kom je erachter: Vraag de bestuurssecretaris: in welke vergadering zijn de beveiligingsmaatregelen goedgekeurd, en waar is dat vastgelegd?

  Grondslag: Cbw art. 24 lid 1 · NIS2 art. 20 lid 1 · ISO 27001: 5.1, 9.3

• Training en certificaat voor bestuurders

  Ieder bestuurslid moet zelf risico's kunnen herkennen en maatregelen kunnen beoordelen, en dat aantonen met een certificaat. De termijn is twee jaar: voor wie op 15 augustus 2026 bestuurder was tot 15 augustus 2028, voor nieuwe bestuurders twee jaar na hun benoeming.

  Ja betekent: elk bestuurslid heeft een certificaat van een training over risico's, risicomanagement en de tien maatregelgebieden uit de wet, en houdt die kennis aantoonbaar bij.

  Eerste stap: Kies een training die de onderwerpen uit artikel 21 van het Cyberbeveiligingsbesluit behandelt, plan die voor het hele bestuur en bewaar de certificaten.

  Zo kom je erachter: Vraag HR of de bestuurssecretaris: welke bestuurders hebben een training gevolgd, en is er van ieder een certificaat?

  Grondslag: Cbw art. 24 lid 2 · Cbw art. 24 lid 3 · Cbw art. 24 lid 5 · Cbb art. 21 · Cbb art. 22 · NIS2 art. 20 lid 2 · ISO 27001: 7.2

• Rollen en verantwoordelijkheden

  Zonder eigenaar blijft beveiliging iets wat IT er nog bij doet. Het besluit eist vastgelegde rollen, verantwoordelijkheden en bevoegdheden, waarbij conflicterende rollen zoveel mogelijk gescheiden zijn.

  Ja betekent: rollen en bevoegdheden staan op papier, één persoon is aanspreekbaar (intern of ingehuurd), heeft er tijd en mandaat voor en rapporteert aan het bestuur, en wie uitvoert, controleert niet zijn eigen werk.

  Eerste stap: Wijs één verantwoordelijke aan, leg mandaat en beschikbare tijd vast en laat die persoon rechtstreeks aan het bestuur rapporteren.

  Zo kom je erachter: Vraag in het managementteam: wie is hier verantwoordelijk voor informatiebeveiliging, hoeveel tijd heeft die persoon ervoor en waar is dat vastgelegd?

  Grondslag: Cbb art. 6 lid 2 · Cbb art. 14 lid 1 · NIS2 art. 21 lid 2 onder i · ISO 27001: 5.3, A.5.2

• Toetsen en verbeteren

  Maatregelen op papier bewijzen niets. Het besluit eist een periodieke evaluatie van de doeltreffendheid, schriftelijk vastgelegd, en aanpassing waar dat nodig is. Voor ISO 27001 moeten de interne audit en de directiebeoordeling zijn uitgevoerd voordat je gecertificeerd kunt worden.

  Ja betekent: het afgelopen jaar is er een interne audit of onafhankelijke toets gedaan, de directie heeft de uitkomsten beoordeeld en elke verbeteractie heeft een eigenaar en een datum.

  Eerste stap: Plan een interne audit op de processen die je dienstverlening dragen en zet daarna een directiebeoordeling op de agenda.

  Zo kom je erachter: Vraag je security officer of kwaliteitsmanager: wanneer was de laatste interne audit, en wat is er met de bevindingen gedaan?

  Grondslag: Cbw art. 21 lid 3 onder f · Cbb art. 18 · Regeling EZK art. 3 · NIS2 art. 21 lid 2 onder f · ISO 27001: 9.2, 9.3, 10.1

• Risicoanalyse

  De wet vraagt maatregelen die passend en evenredig zijn. Wat passend is, kun je alleen onderbouwen met een risicoanalyse, en daar vraagt een toezichthouder bij een inspectie naar. Bij ISO 27001-audits is dit ook het onderdeel waar het vaakst iets aan ontbreekt.

  Ja betekent: de analyse is hooguit een jaar oud, volgt een vaste methode met acceptatiecriteria, elk risico heeft een eigenaar en een behandelkeuze, en het bestuur heeft de risico's die overblijven geaccepteerd.

  Eerste stap: Breng in één werksessie de grootste risico's voor je dienstverlening in kaart, wijs per risico een eigenaar aan en leg de keuzes voor aan het bestuur.

  Zo kom je erachter: Vraag je IT-manager of security officer naar het risico-overzicht: van wanneer is het, wie is eigenaar van de grootste risico's en wat is erover besloten?

  Grondslag: Cbw art. 21 lid 3 onder a · Cbb art. 7 · NIS2 art. 21 lid 2 onder a · ISO 27001: 6.1.2, 6.1.3, 8.2

• Beveiligingsbeleid

  Het besluit eist vastgesteld beleid dat schriftelijk is vastgelegd en aantoonbaar wordt toegepast, plus een managementsysteem waarmee je dat kunt laten zien. Beleid dat niemand kent, telt niet.

  Ja betekent: het beleid is door de directie vastgesteld, staat op papier, zegt voor welke onderdelen van de organisatie het geldt, is het afgelopen jaar herzien, en medewerkers kennen het en krijgen het bij hun start.

  Eerste stap: Schrijf een beleid van een paar pagina's met doelen, verantwoordelijkheden en spelregels, laat de directie het vaststellen en deel het met iedereen.

  Zo kom je erachter: Vraag HR: welk beveiligingsbeleid krijgt een nieuwe medewerker, en wanneer is het voor het laatst herzien?

  Grondslag: Cbw art. 21 lid 3 onder a · Cbb art. 6 lid 1 · Cbb art. 6 lid 4 · NIS2 art. 21 lid 2 onder a · ISO 27001: 5.2, A.5.1

• Overzicht van systemen en gegevens

  Wat je niet kent, kun je niet beschermen: een vergeten systeem krijgt geen updates en geen toezicht. Het besluit eist een volledige en actuele inventaris, met een classificatie en regels voor aanvaardbaar gebruik.

  Ja betekent: er is één inventaris, elk systeem heeft een eigenaar en een classificatie, clouddiensten en productiesystemen (OT) staan er ook in, systemen zonder ondersteuning van de leverancier zijn gemarkeerd, en de lijst wordt bij elke wijziging bijgewerkt.

  Eerste stap: Begin met de systemen die je dienstverlening dragen en alles wat vanaf internet bereikbaar is; vul de rest daarna per afdeling aan.

  Zo kom je erachter: Vraag je IT-beheerder: is er één lijst van alle systemen en clouddiensten, wie houdt die bij en staat de productieomgeving erin?

  Grondslag: Cbw art. 21 lid 3 onder i · Cbb art. 16 lid 4 · NIS2 art. 21 lid 2 onder i · ISO 27001: A.5.9, A.5.12

• Leveranciers en keten

  Je IT-dienstverlener heeft vaak meer rechten in je systemen dan je eigen mensen, en volgens het Verizon Data Breach Investigations Report 2026 is bij ongeveer de helft van de onderzochte datalekken een derde partij betrokken. Het besluit eist beleid voor de toeleveringsketen en een periodieke toets of rechtstreekse leveranciers aan je beveiligingseisen voldoen.

  Ja betekent: je weet welke leveranciers kritiek zijn, de eisen staan in het contract (ook het melden van incidenten aan jou), en het afgelopen jaar is getoetst of ze eraan voldoen.

  Eerste stap: Maak een lijst van de leveranciers waar je dienstverlening van afhangt en vraag elk om hun certificaat of auditrapport en hun afspraken over het melden van incidenten.

  Zo kom je erachter: Vraag inkoop of je IT-manager: welke beveiligingseisen staan in het contract met onze IT-dienstverlener, en wanneer is voor het laatst getoetst of die eraan voldoet?

  Grondslag: Cbw art. 21 lid 3 onder d · Cbb art. 10 lid 2 · NIS2 art. 21 lid 2 onder d · ISO 27001: A.5.19, A.5.20, A.5.22

• Meerfactorauthenticatie (MFA)

  Gestolen of zwakke wachtwoorden horen met ongepatchte systemen tot de meest gebruikte manieren om binnen te komen. MFA helpt alleen als het overal aan staat: aanvallers zoeken het ene account waar het ontbreekt. De wet noemt MFA met naam.

  Ja betekent: MFA is afgedwongen voor elk account dat van buitenaf kan inloggen (e-mail, cloud, toegang op afstand) en voor elk beheerdersaccount, zonder uitzonderingen voor directie, leveranciers of oude systemen.

  Eerste stap: Vraag een overzicht van alle accounts zonder MFA en zet het aan, te beginnen bij beheerders, e-mail en toegang op afstand.

  Zo kom je erachter: Vraag je IT-beheerder om een lijst van accounts zonder MFA, inclusief beheerders, leveranciers en serviceaccounts.

  Grondslag: Cbw art. 21 lid 3 onder j · Cbb art. 15 lid 1 · Regeling EZK art. 6 lid 2 · NIS2 art. 21 lid 2 onder j · ISO 27001: A.8.5, A.5.17

• Toegangsrechten

  Accounts van vertrokken medewerkers en te ruime rechten maken van één gekaapt account een groot incident. Het besluit eist beleid voor het uitgeven en intrekken van toegang en een periodieke controle of identiteiten en autorisaties nog nodig, juist en actueel zijn.

  Ja betekent: toegang wordt aangevraagd en goedgekeurd, vervalt op de laatste werkdag, beheerders werken met een apart account, en het afgelopen jaar zijn alle rechten nagelopen.

  Eerste stap: Leg de lijst van actieve accounts naast de personeelslijst, sluit wat niet klopt en spreek met HR af dat uitdiensttreding altijd tot intrekken leidt.

  Zo kom je erachter: Vraag je IT-beheerder: hoeveel actieve accounts horen bij mensen die hier niet meer werken, en wanneer zijn de rechten voor het laatst nagelopen?

  Grondslag: Cbw art. 21 lid 3 onder i · Cbb art. 15 lid 2 · Cbb art. 15 lid 3 · Regeling EZK art. 6 lid 2 · NIS2 art. 21 lid 2 onder i · ISO 27001: A.5.15, A.5.18, A.8.2

• Updates en kwetsbaarheden

  Volgens het Cybersecuritybeeld Nederland 2026 misbruiken de meeste cyberaanvallen kwetsbaarheden waarvoor al een update bestond, vaak in systemen aan de rand van het netwerk zoals VPN's en firewalls. Het besluit eist procedures voor onderhoud en beheer en een vastgelegde beoordeling van gerichte waarschuwingen. Voor de maakindustrie eist de Regeling cyberbeveiliging EZK dat je patches binnen een redelijke termijn toepast, of vastlegt waarom niet.

  Ja betekent: er zijn termijnen per ernstniveau, met voorrang voor alles wat vanaf internet bereikbaar is, een rapport laat zien of ze gehaald worden, en waarschuwingen (bijvoorbeeld van het NCSC) worden beoordeeld en vastgelegd.

  Eerste stap: Spreek een termijn af voor kritieke updates op alles wat vanaf internet bereikbaar is en vraag elke maand een rapport van wat openstaat.

  Zo kom je erachter: Vraag je IT-beheerder of dienstverlener: binnen hoeveel dagen worden kritieke updates geïnstalleerd, en mag ik het laatste rapport zien?

  Grondslag: Cbw art. 21 lid 3 onder e · Cbb art. 11 lid 3 · Cbb art. 17 lid 1 · Regeling EZK art. 5 lid 2 · Regeling EZK art. 5 lid 3 · NIS2 art. 21 lid 2 onder e · ISO 27001: A.8.8, A.8.9

• Netwerkscheiding en toegang van buitenaf

  In een plat netwerk bereikt één besmette werkplek alles: productie, back-ups en beheersystemen. Scheiding bepaalt of een incident bij één afdeling blijft. Het besluit eist beveiligingseisen op basis van je risicoanalyse; voor de maakindustrie schrijft de Regeling cyberbeveiliging EZK segmentatie in netwerken of zones uitdrukkelijk voor.

  Ja betekent: kantoor, productie (OT), back-ups en beheer zijn van elkaar gescheiden, van buitenaf is alleen bereikbaar wat bewust is opengezet, en leveranciers komen alleen binnen via gecontroleerde toegang met MFA.

  Eerste stap: Laat in kaart brengen wat vanaf internet bereikbaar is en welke leveranciers op afstand binnen kunnen, sluit wat niet nodig is en scheid als eerste productie en back-ups van het kantoornetwerk.

  Zo kom je erachter: Vraag je IT-beheerder: kan een besmette laptop op kantoor bij de productiesystemen en de back-ups, en wat is er vanaf internet bereikbaar?

  Grondslag: Cbw art. 21 lid 3 onder g · Cbb art. 7 lid 5 · Cbb art. 11 lid 3 · Regeling EZK art. 5 lid 4 · NIS2 art. 21 lid 2 onder g · ISO 27001: A.8.20, A.8.22, A.8.9

• Versleuteling

  Een verloren laptop zonder versleuteling geeft toegang tot alles wat erop staat. Het besluit eist beleid over cryptografie: wanneer je het inzet, welke soorten versleuteling, wie het invoert en wie de sleutels beheert.

  Ja betekent: op alle laptops en telefoons staat versleuteling aan, er is beleid dat zegt wat je verder versleutelt en hoe, en het is duidelijk wie de sleutels beheert.

  Eerste stap: Laat controleren of schijfversleuteling op alle laptops en telefoons aan staat en leg op één pagina vast wat je versleutelt en wie de sleutels beheert.

  Zo kom je erachter: Vraag je IT-beheerder: op hoeveel laptops staat schijfversleuteling uit, en waar worden de herstelsleutels bewaard?

  Grondslag: Cbw art. 21 lid 3 onder h · Cbb art. 13 · NIS2 art. 21 lid 2 onder h · ISO 27001: A.8.24

• Bewustzijn en training

  Phishing en misleiding richten zich op mensen. Een training per jaar verandert weinig; wat telt, is dat mensen iets verdachts snel en zonder schroom melden. Het besluit eist dat personeel de risico's kent en cyberhygiëne toepast, en dat mensen met een beveiligingsrol regelmatig worden opgeleid.

  Ja betekent: iedereen, ook directie en inhuur, krijgt bij de start en daarna minstens jaarlijks een training, mensen weten hoe ze iets verdachts melden, en wie een beveiligingsrol heeft, krijgt een opleiding die daarbij past.

  Eerste stap: Neem een korte training op in het inwerkprogramma, herhaal die voor iedereen en maak melden makkelijk: één knop of één adres.

  Zo kom je erachter: Vraag HR: wie heeft het afgelopen jaar een training gevolgd, zit die in het inwerkprogramma en weet iedereen waar je iets verdachts meldt?

  Grondslag: Cbw art. 21 lid 3 onder g · Cbb art. 12 · NIS2 art. 21 lid 2 onder g · ISO 27001: 7.3, A.6.3

• Logging en detectie

  Zonder logging merk je een inbraak pas als de schade zichtbaar is, en kun je achteraf niet vaststellen wat er is geraakt of wat je moet melden. Het Cybersecuritybeeld Nederland 2026 noemt gebrekkige of ontbrekende logging en monitoring als een van de basismaatregelen die bij geslaagde aanvallen ontbreken. Het besluit eist monitoring, logging met een bewaartermijn en bescherming van de logbestanden.

  Ja betekent: aanmeldingen en beheerhandelingen worden gelogd, de logbestanden worden een vooraf bepaalde periode bewaard en zijn beschermd tegen wijzigen, op werkplekken en servers draait detectie, en iemand reageert op meldingen, ook buiten kantoortijd.

  Eerste stap: Zet logging aan op e-mail, cloud, firewall en beheerderstoegang, bepaal een bewaartermijn en spreek af wie op meldingen reageert.

  Zo kom je erachter: Vraag je IT-beheerder: als er vannacht iemand inbreekt, wie krijgt dan een melding, en hoe ver kunnen we terugkijken?

  Grondslag: Cbw art. 21 lid 3 onder b · Cbb art. 8 lid 3 · Cbb art. 8 lid 6 · Regeling EZK art. 5 lid 3 · NIS2 art. 21 lid 2 onder b · ISO 27001: A.8.15, A.8.16, A.8.7

• Incidentafhandeling

  Tijdens een incident is er geen tijd om uit te zoeken wie iets mag besluiten. Het besluit eist vastgelegde rollen en procedures voor het detecteren, beoordelen, afhandelen, vastleggen en rapporteren van incidenten, en voor het leren ervan.

  Ja betekent: de procedure staat op papier, is ook bereikbaar als de systemen plat liggen, noemt namen en telefoonnummers, en is het afgelopen jaar geoefend of gebruikt en daarna bijgewerkt.

  Eerste stap: Zet op één pagina wie beslist, wie wie belt en welke dienstverlener je inschakelt, en bewaar die ook op papier.

  Zo kom je erachter: Vraag je IT-manager: waar ligt het incidentplan, en wie neemt de leiding als het in het weekend misgaat?

  Grondslag: Cbw art. 21 lid 3 onder b · Cbb art. 8 lid 2 · Cbb art. 8 lid 4 · NIS2 art. 21 lid 2 onder b · ISO 27001: A.5.24, A.5.26, A.5.27

• Meldplicht: 24 uur, 72 uur, één maand

  De klok loopt vanaf het moment dat je van het incident weet: een vroegtijdige waarschuwing binnen 24 uur, een melding binnen 72 uur en een eindverslag binnen een maand. Dat haal je alleen als vooraf vaststaat wie beoordeelt en wie meldt.

  Ja betekent: vastgelegd is wanneer een incident voor jouw sector significant is, wie dat beoordeelt, wie de melding doet en waar, en wie klanten informeert; dat werkt ook 's nachts en in het weekend. De vervolgstappen (melding binnen 72 uur, eindverslag binnen een maand) staan in de procedure.

  Eerste stap: Leg vast wie beoordeelt of een incident significant is en wie meldt, neem het meldpunt op in het incidentplan en oefen één keer een melding.

  Zo kom je erachter: Vraag je security officer of IT-manager: wie doet bij ons de melding binnen 24 uur, en weet die persoon waar en hoe?

  Grondslag: Cbw art. 26 lid 1 · Cbw art. 27 lid 1 · Cbw art. 29 lid 1 · Cbw art. 30 lid 1 · Cbb art. 24 · NIS2 art. 23 lid 4 · ISO 27001: A.5.5, A.5.26

• Back-ups en hersteltest

  Bij ransomware worden back-ups die vanaf het netwerk bereikbaar zijn mee versleuteld of gewist. Een kopie waar de aanvaller niet bij kan en een geteste herstelprocedure bepalen of je dagen of weken stilligt. Het besluit eist dat je de betrouwbaarheid van back-ups periodiek verifieert.

  Ja betekent: van alle kritieke systemen en gegevens is er een back-up, minstens één kopie is offline of niet te wijzigen, en het afgelopen jaar is een volledige hersteltest gelukt, met een gemeten hersteltijd.

  Eerste stap: Laat één kritiek systeem volledig terugzetten vanaf de back-up en meet hoe lang dat duurt. Controleer of er een kopie is die niet vanaf het netwerk te wissen is.

  Zo kom je erachter: Vraag je IT-beheerder of dienstverlener: wanneer is voor het laatst een volledige hersteltest gedaan, en kan ransomware bij onze back-ups?

  Grondslag: Cbw art. 21 lid 3 onder c · Cbb art. 9 lid 2 · Regeling EZK art. 4 lid 1 · NIS2 art. 21 lid 2 onder c · ISO 27001: A.8.13

• Continuïteit en crisisbeheer

  Een back-up is nog geen plan: wie beslist, in welke volgorde start je op en hoe bereik je klanten zonder e-mail? Het besluit eist een continuïteitsplan, een herstelplan en een crisisplan, elk periodiek getest; het crisisplan moet ook worden beoefend.

  Ja betekent: er zijn een continuïteitsplan, een herstelplan en een crisisplan op papier, ze zeggen welke processen het eerst terug moeten en hoe je communiceert als e-mail en telefonie uitvallen, en ze zijn het afgelopen jaar geoefend.

  Eerste stap: Bepaal met het managementteam welke drie processen het eerst terug moeten en binnen hoeveel tijd, en speel één middag een ransomware-scenario na.

  Zo kom je erachter: Vraag in het managementteam: als morgen alle systemen plat liggen, welk plan pakken we dan, en wanneer hebben we dat voor het laatst geoefend?

  Grondslag: Cbw art. 21 lid 3 onder c · Cbb art. 9 lid 3 · Cbb art. 9 lid 5 · Regeling EZK art. 4 lid 2 · NIS2 art. 21 lid 2 onder c · ISO 27001: A.5.29, A.5.30

Dit is een indicatie op basis van je eigen antwoorden. Het is geen audit, geen verklaring dat je aan de Cyberbeveiligingswet of ISO 27001 voldoet en geen juridisch advies. Voor aanbieders van digitale diensten, zoals cloud-, datacenter- en beheerde diensten, gelden de strengere eisen van Uitvoeringsverordening (EU) 2024/2690. De wettekst op wetten.overheid.nl is leidend.