NIS2 stappenplan

Hoe implementeer je NIS2 in jouw organisatie?

Een NIS2-implementatie duurt gemiddeld tussen de 3 en 12 maanden, afhankelijk van de omvang van de organisatie, de volwassenheid van de informatiebeveiliging en de beschikbare capaciteit. Voor veel organisaties begint het traject met een GAP-analyse om inzicht te krijgen in welke maatregelen al aanwezig zijn en welke onderdelen nog aandacht vragen.
Met de komst van de NIS2-richtlijn worden organisaties in steeds meer sectoren verplicht om hun cyberbeveiliging aantoonbaar op orde te hebben. Daarbij gaat het niet alleen om technische beveiligingsmaatregelen, maar ook om governance, risicobeheer, leveranciersmanagement en de betrokkenheid van directie en management.
Veel organisaties weten dat ze iets met NIS2 moeten, maar vragen zich af waar ze moeten beginnen. Welke stappen zijn nodig? Hoe lang duurt een implementatie? Kun je NIS2 zelf implementeren of is begeleiding verstandig?
In dit artikel lees je stap voor stap hoe een NIS2-traject eruitziet en hoe je voorkomt dat belangrijke onderdelen over het hoofd worden gezien.

Wat is NIS2?

De NIS2-richtlijn is de opvolger van de oorspronkelijke NIS-richtlijn (Network and Information Security Directive) en heeft als doel de digitale weerbaarheid van organisaties binnen de Europese Unie te vergroten.
De richtlijn stelt eisen aan organisaties die actief zijn in kritieke en belangrijke sectoren. Daarbij ligt de focus op:

• Cybersecurity
• Risicobeheer
• Incidentmanagement
• Leveranciersbeheer
• Continuïteitsmanagement
• Governance en verantwoordelijkheid
  
  Waar informatiebeveiliging vroeger vaak werd gezien als een IT-aangelegenheid, maakt NIS2 duidelijk dat cybersecurity een verantwoordelijkheid is van de gehele organisatie.

Voor welke organisaties geldt NIS2?

NIS2 is van toepassing op organisaties die actief zijn binnen essentiële of belangrijke sectoren.
Voorbeelden zijn:

• Energiebedrijven
• Drinkwaterbedrijven
• Zorginstellingen
• Transport- en logistieke organisaties
• Digitale dienstverleners
• Overheidsinstanties
• Datacenters
• Cloudproviders
• Fabrikanten van kritieke producten
• Telecomorganisaties

Daarnaast spelen omvangscriteria een belangrijke rol. Ook organisaties die onderdeel zijn van kritieke ketens kunnen onder de richtlijn vallen.
Voor veel organisaties is daarom de eerste vraag niet hoe zij aan NIS2 voldoen, maar óf NIS2 op hen van toepassing is.

Hoe lang duurt een NIS2 implementatie?

De doorlooptijd hangt sterk af van de huidige situatie.

Situatie	Gemiddelde doorlooptijd
Organisatie met volwassen beveiligingsbeleid	3 tot 6 maanden
Gemiddelde organisatie	6 tot 9 maanden
Organisatie met veel verbeterpunten	9 tot 12 maanden
Grote of complexe organisatie	12 maanden of langer

Stap 1: Bepaal of NIS2 van toepassing is

Een implementatie begint altijd met het vaststellen van de impact van de richtlijn op de organisatie.
Belangrijke vragen zijn:
Valt de organisatie binnen een NIS2-sector?
Is sprake van een essentiële of belangrijke entiteit?
Welke bedrijfsonderdelen vallen binnen de scope?
Welke ketenpartners spelen een rol?
Deze analyse bepaalt welke maatregelen uiteindelijk noodzakelijk zijn.

Stap 2: Voer een GAP-analyse uit

De volgende stap is inzicht krijgen in de huidige situatie.
Tijdens een GAP-analyse wordt vastgesteld:

• Welke maatregelen al aanwezig zijn
• Welke processen ontbreken
• Welke risico’s onvoldoende zijn beheerst
• Welke documentatie ontbreekt
• Juist deze stap voorkomt dat organisaties tijd investeren in onderdelen die al goed geregeld zijn.
• Een GAP-analyse vormt daarom vaak het startpunt van een succesvol NIS2-traject.

Stap 3: Breng risico’s in kaart

Risicomanagement vormt een van de belangrijkste pijlers binnen NIS2.
Organisaties moeten inzicht hebben in:

• Cyberdreigingen
• Bedrijfsrisico’s
• Leveranciersrisico’s
• Operationele risico’s
• Gevolgen van incidenten

Het doel is niet om alle risico’s uit te sluiten, maar om ze aantoonbaar te beheersen.
Een gestructureerde risicoanalyse vormt de basis voor alle vervolgstappen.

Stap 4: Richt beleid en procedures in

NIS2 vereist meer dan alleen technische beveiligingsmaatregelen.
Organisaties moeten ook aantonen dat processen zijn ingericht rondom:

• Incidentmanagement
• Toegangsbeheer
• Back-upbeleid
• Business continuity
• Leveranciersbeheer
• Change management
• Beveiligingsbeleid

Deze processen zorgen ervoor dat cybersecurity structureel onderdeel wordt van de bedrijfsvoering.

Stap 5: Organiseer governance en verantwoordelijkheid

Een belangrijk verschil tussen NIS2 en veel andere regelgeving is de nadruk op bestuurlijke verantwoordelijkheid.
Directie en management krijgen een actieve rol binnen informatiebeveiliging.
Dat betekent onder andere:

• Vastleggen van verantwoordelijkheden
• Periodieke rapportages
• Managementbesluiten
• Risicobeoordelingen
• Toezicht op naleving

Cybersecurity wordt daarmee een bestuursvraagstuk in plaats van uitsluitend een IT-vraagstuk.

Stap 6: Train medewerkers

Veel incidenten ontstaan niet door technische kwetsbaarheden, maar door menselijke fouten.
Daarom vraagt NIS2 nadrukkelijk aandacht voor bewustwording en training.
Onderwerpen zijn onder andere:

• Phishing
• Social engineering
• Wachtwoordbeleid
• Meldplicht incidenten
• Veilig omgaan met informatie

Een goed beveiligingssysteem staat of valt uiteindelijk met het gedrag van medewerkers.

Stap 7: Test, controleer en verbeter

Een NIS2-implementatie is geen eenmalig project.
Organisaties moeten aantonen dat maatregelen blijven werken.
Daarom zijn periodieke controles essentieel.
Denk aan:

• Interne audits
• Managementreviews
• Penetratietesten
• Evaluaties van incidenten
• Risicoherbeoordelingen

Hiermee ontstaat een continu verbeterproces.

NIS2 zelf doen of uitbesteden?

Een veelgestelde vraag is of een organisatie NIS2 zelf kan implementeren.
Het antwoord is: ja, dat kan.
Organisaties met een ervaren securityteam, een CISO of uitgebreide kennis van informatiebeveiliging kunnen veel onderdelen zelfstandig uitvoeren.
Toch blijkt in de praktijk dat veel organisaties de omvang van NIS2 onderschatten.
Het gaat namelijk niet alleen om cybersecurity, maar ook om:

• Governance
• Risicomanagement
• Compliance
• Leveranciersbeheer
• Documentatie
• Audits
• Bewustwording

Voordelen van zelf doen

• Lagere externe kosten
• Meer interne kennisopbouw
• Volledige controle over het traject

Nadelen van zelf doen

• Grote tijdsinvestering
• Interpretatie van wetgeving
• Risico op gemiste eisen
• Langere doorlooptijd

Voordelen van begeleiding

• Snellere implementatie
• Minder fouten
• Duidelijke planning
• Specialistische kennis
• Praktische vertaling van de richtlijn

Voor veel middelgrote organisaties blijkt begeleiding uiteindelijk efficiënter en kosteneffectiever dan het volledig zelfstandig uitvoeren van het traject.

Wat is het verschil tussen NIS2 en ISO 27001?

NIS2 en ISO 27001 worden vaak met elkaar vergeleken.
Toch zijn er belangrijke verschillen.

NIS2	ISO 27001
Europese richtlijn	Internationale norm
Wettelijke verplichting voor bepaalde organisaties	Vrijwillige certificering
Focus op compliance	Focus op managementsysteem
Overheid en toezicht	Certificering door externe partij

Veelgemaakte fouten bij NIS2 implementatie

Tijdens implementatietrajecten komen dezelfde fouten regelmatig terug.

Veel voorkomende voorbeelden zijn:

• Alleen IT betrekken
• Directie onvoldoende meenemen
• Leveranciersrisico’s vergeten
• Geen risicoanalyse uitvoeren
• Onvoldoende documentatie opbouwen
• Te laat starten met voorbereidingen
  
  Juist deze fouten zorgen vaak voor vertraging en extra kosten.

Hoe helpt KAM Groep bij NIS2 implementatie?

Bij KAM Groep helpen we organisaties om NIS2 praktisch en beheersbaar te implementeren.
We starten met een GAP-analyse, brengen risico’s in kaart en ondersteunen bij het opzetten van beleid, processen en governance. Daarnaast begeleiden we organisaties bij ISO 27001-trajecten, interne audits en bewustwordingsprogramma’s.
Dankzij onze pragmatische aanpak ontstaat snel duidelijkheid over wat nodig is, welke maatregelen prioriteit hebben en hoe de organisatie aantoonbaar kan voldoen aan de eisen van NIS2.
Met vaste prijzen, ervaren consultants en een praktische aanpak maken we complexe regelgeving overzichtelijk.
Van Norm naar Groei.