Veel organisaties starten met NIS2 omdat ze ‘iets moeten regelen’. Het risico is dat je maatregelen koopt of instellingen wijzigt zonder duidelijke onderbouwing, eigenaarschap en bewijs. Daardoor wordt een audit-ready organisatie al snel een achterafproject.

Met een NIS2 compliance stappenplan werk je juist anders: je begint met een nulmeting, vertaalt risico’s naar passende maatregelen, legt vast wat je doet en borgt dat de uitvoering doorloopt. Hieronder vind je een praktisch stappenplan met concrete deliverables, zodat je team snel weet wat er wanneer af moet zijn.

Stap 1: bepaal scope en definieer je aanpak

Een NIS2-traject valt of staat met scope. Wie valt onder jouw verantwoordelijkheid, welke onderdelen van de organisatie zijn relevant en welke systemen, processen en leveranciers spelen mee? Zonder scherp kader ga je later tijd verliezen aan ‘scope creep’ en inconsistent bewijs.

Werk daarom direct met een korte scope-notitie. Leg vast:

  • Relevante organisatie-eenheden (bijvoorbeeld IT, OT/techniek, servicedesk, business ownership)
  • In scope systemen en datastromen (identiteit, werkplekken, serverlandschap, clouddiensten, netwerken)
  • Belangrijke processen (incidentafhandeling, toegangsbeheer, wijzigingsbeheer, back-up en herstel)
  • Relevante leveranciers en afhankelijkheden

Tip: maak één verantwoordelijk persoon (proces owner) en één inhoudelijk verantwoordelijke per onderwerp (bijvoorbeeld toegangsbeheer, back-up, logging). Dat voorkomt dat taken ‘ergens’ landen.

Stap 2: voer een gap-analyse uit (nulmeting)

Na scope volg je de nulmeting. De bedoeling is niet om alles meteen perfect te maken, maar om te weten waar je staat ten opzichte van de NIS2-verwachtingen. Een gap-analyse is je vertrekpunt voor prioriteit en planning.

Praktisch doe je dit in vier onderdelen:

  • Inventarisatie: verzamel bestaande documentatie (beleid, procedures, systeemoverzichten, registers van diensten)
  • Control-mapping: koppel bestaande maatregelen aan de onderwerpen die je nodig hebt voor NIS2
  • Bewijs verzamelen: wat kun je aantonen met logs, tickets, rapportages of screenshots?
  • Gap-registratie: noteer per gap oorzaak, impact, ernst, en benodigde actie

Werk met een gap-log in een beheersysteem of spreadsheet. Voeg kolommen toe voor eigenaar, deadline, status en bewijstype. Zo kun je later direct zien welke acties klaar zijn en welke nog ontbreken.

Stap 3: doe een risicoanalyse die beslissingen ondersteunt

Een risicoanalyse is meer dan een lijstje ‘wat kan er misgaan’. Je wilt risico’s prioriteren en vertalen naar maatregelen die passen bij jouw organisatie, systemen en afhankelijkheden.

Ga uit van een eenvoudige, herhaalbare methodiek:

  • Asset- en dienstgericht: beschouw diensten en belangrijke onderdelen, niet alleen losse servers
  • Dreigingen en kwetsbaarheden: denk aan phishing, misbruik van accounts, ransomware, kwetsbaarheden in systemen en supply chain-risico’s
  • Impact en kans: formuleer impact op beschikbaarheid, vertrouwelijkheid en integriteit
  • Beheersing: welke controles heb je al, en waar zitten de resterende risico’s?

Belangrijk: zorg dat je risicoanalyse direct leidt tot beslissingen. Wat is het doel? Bijvoorbeeld: het verlagen van het risico op ongeautoriseerde toegang, het verbeteren van herstelbaarheid of het verkorten van detectie- en responstijden. Zonder koppeling wordt de risicoanalyse snel een ‘document voor later’.

Stap 4: maak een maatregelenpakket met duidelijke deliverables

Op basis van de gap-analyse en risicoanalyse stel je een maatregelenpakket op. Dit is het deel waar teams vaak ‘te breed’ beginnen. Kies daarom voor een pakket met heldere deliverables en meetbare uitkomsten.

Gebruik een structuur die je kunt hergebruiken per onderwerp. Denk bijvoorbeeld aan:

  • Toegangsbeheer: sterke authenticatie, rolgebaseerde rechten, periodieke review van accounts
  • Logging en monitoring: welke gebeurtenissen leg je vast, waar worden ze opgeslagen, en hoe wordt er opgevolgd?
  • Incidentmanagement: eenduidige rollen, procedures, interne communicatie en escalatiepaden
  • Back-up en herstel: back-up frequentie, retentie, hersteltesten en aantoonbaarheid
  • Wijzigingsbeheer: approvals, testen, documentatie en terugvalscenario’s
  • Beveiliging van eindgebruikers: werkplekken, mobiele apparaten, endpoint policies

Om je focus te houden: beschrijf per maatregel wat je doet, waarom (gekoppeld aan risico), hoe je implementeert en welk bewijs je oplevert. Zo wordt je traject audit-ready in plaats van ‘ad hoc verbeteringen’.

Praktisch voorbeeld: als je back-up een gap is, plan dan niet alleen een technische wijziging, maar ook een hersteltest en een rapportage daarvan. Zo voorkom je dat je later alleen kunt laten zien dat je back-upproduct ‘aan’ staat, maar niet dat herstel werkt.

Tip: als je wilt checken hoe back-up aantoonbaar en betrouwbaar wordt, lees dan ook Uw back-up werkt niet — en u weet het niet. Dit helpt je om herstelbaarheid als onderdeel van compliance te behandelen.

Stap 5: richt governance en rollen in (zodat het blijft werken)

Een audit kijkt niet alleen naar technische maatregelen, maar ook naar governance: wie is verantwoordelijk, hoe bewaak je voortgang en hoe borg je dat maatregelen niet wegzakken?

In de praktijk werkt dit goed:

  • Beveiligingsrollen: benoem proces owners voor toegangsbeheer, back-up, logging, incident response en risico-eigenaarschap
  • Overlegstructuur: plan periodieke sessies (bijvoorbeeld maandelijks) om status, open gaps en risico’s te bespreken
  • Change governance: zorg dat beveiligingsgerelateerde wijzigingen een reviewmoment hebben
  • Training en bewustwording: sluit aan op risico’s (bijvoorbeeld phishing) en leg vast wat je doet

Maak ook een RACI-overzicht (Responsible, Accountable, Consulted, Informed) voor kernprocessen. Dat versnelt beslissingen en voorkomt discussie tijdens audits of incidenten.

Stap 6: documenteer op audit-niveau (bewijs, niet alleen intentie)

Documentatie is vaak de grootste versneller of remmer. Onvoldoende documentatie maakt dat je maatregelen niet kunt aantonen. Te veel documentatie zonder bewijs maakt het weer moeilijk om de juiste documenten te vinden.

Streef naar een ‘bewijsgerichte’ documentatieset. Denk aan:

  • Beleid: beknopt, actueel en goedgekeurd (bijvoorbeeld toegangsbeleid, back-up beleid)
  • Procedures: hoe voer je een proces uit (bijvoorbeeld incident response stappen, hersteltest-proces)
  • Registraties: logbestanden, incidentdossiers, change tickets, hersteltestresultaten
  • Risicoregister: risico’s, beoordelingen, beslissingen en resterende risico’s
  • Leveranciersinformatie: afspraken over beveiliging, escalatie en verantwoordelijkheden

Werk met een centrale mapstructuur en een versiebeheerlog. Wanneer je tijdens een audit moet zoeken, wil je dat bewijs binnen minuten beschikbaar is.

Stap 7: optimaliseer beveiliging van identiteit en endpoints

Veel NIS2-gerelateerde incidenten beginnen bij identiteit en gebruikers. Daarom loont het om je maatregelenpakket extra scherp te maken op authenticatie, rechten en device security.

Let daarbij op de samenhang:

  • Gebruik sterke authenticatie en zorg dat MFA niet alleen ‘enabled’ is, maar ook goed is ingericht
  • Beperk rechten: volg het principe van least privilege
  • Review periodiek accounts en detecteer afwijkingen
  • Bescherm mobiele apparaten en laptops met duidelijke policies

Als MFA een onderdeel is van je plan, is het zinvol om verder te kijken dan alleen het aanzetten ervan. Je leest hierover in Waarom MFA alleen niet genoeg is voor Microsoft 365. Dat helpt om je maatregelen te onderbouwen met een bredere beveiligingsstrategie.

Daarnaast is device security essentieel voor compliance: Bedrijfsgegevens beveiligen op laptops en telefoons geeft praktische handvatten om endpoints en mobiele toegang beter te beheersen.

Stap 8: bereid je voor op een interne of externe audit

Audit-ready worden betekent: kunnen aantonen. Train je organisatie daarom op de ‘bewijsroute’: welke documentatie en welke logging tonen aan dat jouw proces werkt?

Voer een audit-simulatie uit. Doe dit in drie rondes:

  • Ronde 1 (documenten): klopt de documentset, zijn versies actueel, en sluit de documentatie aan op de praktijk?
  • Ronde 2 (proces): kun je laten zien hoe een incident wordt afgehandeld, hoe een hersteltest wordt uitgevoerd en hoe changes worden beoordeeld?
  • Ronde 3 (mensen en systemen): zijn betrokken medewerkers geïnstrueerd, en werken systemen zoals bedoeld (bijvoorbeeld logging, rechten, back-up herstel)?

Maak vervolgens een lijst met verbeteracties en behandel die als een mini-project: eigenaar, deadline, bewijstap. Zo voorkom je dat auditvoorbereiding een eenmalige exercitie blijft.

Stap 9: borg opvolging met een cyclisch verbetermodel

NIS2 is geen ‘project met einddatum’. Je zult blijven verbeteren doordat risico’s veranderen, systemen wijzigen en leveranciers evolueren. Daarom heeft je aanpak een cyclisch karakter nodig.

Een praktisch verbetermodel bevat meestal:

  • Periodieke evaluatie: herzie risico’s en gaps op vaste momenten
  • Meetbare voortgang: rapporteer status van maatregelen, open issues en bewijslevering
  • Continue bijsturing: als een maatregel onvoldoende effect heeft, pas je aan
  • Bewaar het auditspoor: zorg dat bewijs beheersbaar blijft na oplevering

Door dit ritme in te bouwen, voorkom je dat je bij de volgende audit opnieuw moet beginnen.

Veelgemaakte valkuilen en hoe je ze voorkomt

Om je traject sneller te maken, volgen hier valkuilen die vaak voorkomen bij NIS2 compliance:

  • Alleen technische implementaties: je mist bewijs van proceswerking. Zorg voor procedures en registraties.
  • Geen duidelijke eigenaarschap: taken blijven hangen. Werk met proces owners en RACI.
  • Risicoanalyse zonder actie: je hebt wel een document, maar geen prioriteiten. Koppel risico’s aan maatregelen en deadlines.
  • Te laat beginnen met documentatie: audit-ready vraagt tijd. Documenteer vanaf stap 1 en verzamel bewijs mee tijdens de uitvoering.
  • Geen hersteltesten: back-up zonder test voldoet niet. Plan hersteltesten en leg resultaten vast.

Als je Microsoft 365 als kernomgeving gebruikt, check ook of je aannames kloppen met je beveiligingsontwerp. Daarover kun je bijvoorbeeld lezen in Is Microsoft 365 standaard voldoende beveiligd?.

Conclusie: van gap naar audit-ready met een heldere roadmap

Een NIS2 compliance stappenplan brengt structuur in complexiteit. Door te starten met scope en nulmeting, vervolgens risico’s te analyseren en maatregelen te kiezen die je kunt onderbouwen, bouw je een organisatie die niet alleen ‘klaar’ lijkt, maar ook kan aantonen dat het werkt.

Leg daarnaast de nadruk op documentatie en bewijs, richt governance in en borg continue verbetering. Zo wordt NIS2 geen eenmalige stresstest, maar een doorlopend verbetertraject dat je beveiliging daadwerkelijk versterkt.