NIS2
NIS2 is bedoeld voor organisaties die aantoonbaar grip moeten krijgen op hun digitale risico’s, incidentrespons en afhankelijkheden in de keten.
Defenced helpt organisaties om NIS2 te vertalen naar concrete beslissingen. Niet door een standaardpakket of compliancechecklist op te leggen, maar door eerst vast te stellen waar de organisatie staat, welke verplichtingen van toepassing zijn en welke verbeteringen prioriteit verdienen. Zo ontstaat een aanpak die past bij de bedrijfsvoering, de risico’s en de beschikbare capaciteit.
De vraag is niet alleen óf u aan NIS2 moet voldoen
De Nederlandse Cyberbeveiligingswet is de nationale uitwerking van de Europese NIS2-richtlijn. Onder deze wet krijgen organisaties die binnen de reikwijdte vallen te maken met een zorgplicht, registratieplicht en meldplicht. Ook worden verantwoordelijkheden rond bestuur, risicobeheersing en toezicht nadrukkelijker vastgelegd.
In de praktijk begint een NIS2-traject daarom niet met de vraag welke documenten ontbreken. Eerst moet duidelijk worden:
- of en op welke gronden de organisatie onder de wet valt;
- welke netwerk- en informatiesystemen relevant zijn voor de dienstverlening;
- welke risico’s de continuïteit en veiligheid daadwerkelijk kunnen beïnvloeden;
- welke bestaande maatregelen voldoende zijn en waar aantoonbare tekortkomingen bestaan;
- wie binnen de organisatie besluiten neemt, toezicht houdt en rapporteert;
- hoe incidenten worden beoordeeld, gemeld en opgevolgd;
- welke leveranciers en ketenpartners onderdeel zijn van het risicobeeld.
Deze vragen raken verschillende afdelingen. NIS2 kan niet uitsluitend bij IT, security of compliance worden neergelegd. Het vraagt om samenhang tussen bestuur, risicomanagement, techniek, processen, leveranciersbeheer en operationele continuïteit.
Wanneer heeft jouw organisatie NIS2-begeleiding nodig?
Begeleiding is vooral relevant wanneer de reikwijdte nog niet vaststaat, wanneer meerdere normenkaders naast elkaar bestaan of wanneer bestaande beveiligingsmaatregelen onvoldoende bestuurbaar zijn. Veel organisaties hebben al beleid, technische voorzieningen en periodieke controles. Toch ontbreekt vaak een samenhangend beeld van de risico’s, verantwoordelijkheden en aantoonbaarheid.
Een NIS2-traject met Defenced past onder meer bij organisaties die:
willen vaststellen of zij als essentiële of belangrijke entiteit worden aangemerkt;
geen volledig overzicht hebben van systemen, diensten en kritieke afhankelijkheden;
maatregelen hebben ingevoerd, maar niet kunnen onderbouwen waarom deze passend zijn;
bestuurlijke verantwoordelijkheden en rapportagelijnen moeten verduidelijken;
incidentprocedures willen toetsen aan de wettelijke meldverplichtingen;
leveranciersrisico’s structureel willen beoordelen;
verschillende complianceprogramma’s met elkaar willen verbinden;
een praktische verbeterroute nodig hebben in plaats van een omvangrijke lijst bevindingen.
Voor financiële organisaties kan er samenloop bestaan met DORA. DORA bevat sectorspecifieke eisen voor digitale operationele weerbaarheid. In dat geval beoordelen we welke verplichtingen al door het bestaande programma worden afgedekt en waar aanvullende aandacht nodig is. Zo voorkomen we dubbel werk en tegenstrijdige maatregelen.
Van onzekerheid naar een onderbouwde verbeterroute
Defenced werkt vanuit het geïntegreerde model Discover, Decide en Defend. Binnen een NIS2-traject betekent dit dat we eerst de toepasselijkheid, risico’s en bestaande beheersing onderzoeken. Daarna bepalen we samen welke verbeteringen als eerste nodig zijn. Vervolgens ondersteunen we bij het invoeren, borgen en waar nodig blijvend bewaken van de gekozen maatregelen.
Reikwijdte en uitgangspositie vaststellen
We brengen in kaart welke onderdelen van de organisatie, diensten en systemen relevant zijn. Daarbij kijken we niet alleen naar sector en omvang, maar ook naar de positie binnen de keten, de aard van de dienstverlening en eventuele bijzondere aanwijzingsgronden.
Vervolgens beoordelen we de bestaande governance, risicoanalyses, beveiligingsmaatregelen, incidentprocessen, continuïteitsvoorzieningen en afspraken met leveranciers. Het resultaat is geen generieke volwassenheidsscore, maar een feitelijk beeld van wat al is geregeld en wat nog aandacht vraagt.
Risico’s en maatregelen prioriteren
NIS2 vraagt om passende en evenredige maatregelen. Dat betekent dat niet iedere organisatie hetzelfde hoeft te doen, maar wel moet kunnen uitleggen waarom de gekozen aanpak aansluit bij de risico’s. Defenced helpt om die afweging expliciet te maken.
We beoordelen welke tekortkomingen directe aandacht vragen, welke verbeteringen kunnen aansluiten op bestaande projecten en welke maatregelen op langere termijn moeten worden ontwikkeld. Daarbij wegen we onder meer bedrijfsimpact, dreiging, uitvoerbaarheid, afhankelijkheden en beschikbare middelen mee.
Organisaties die al werken met ISO 27001 beschikken vaak over bruikbare onderdelen, zoals een risicomanagementproces, beleidsstructuur en interne controles. Een certificering betekent echter niet automatisch dat aan alle NIS2-verplichtingen wordt voldaan. We brengen daarom gericht in kaart waar overlap bestaat en waar aanvullende bestuurlijke, operationele of wettelijke eisen gelden.
Governance en bestuurlijke betrokkenheid organiseren
De directie moet voldoende zicht hebben op de cyberrisico’s en de manier waarop deze worden beheerst. Dat vraagt om heldere eigenaarschap, besluitvorming en rapportage. Een technisch dashboard met grote aantallen kwetsbaarheden geeft bestuurders daarvoor meestal te weinig houvast.
Defenced helpt bij het inrichten van een werkbare governancestructuur. We leggen vast wie risico’s accepteert, wie maatregelen uitvoert, hoe afwijkingen worden geëscaleerd en welke informatie periodiek aan het bestuur wordt voorgelegd. Ook ondersteunen we bij het vertalen van technische bevindingen naar gevolgen voor dienstverlening, continuïteit en aansprakelijkheid.
Incidentmelding en respons uitvoerbaar maken
Onder de Cyberbeveiligingswet moeten significante incidenten binnen vastgestelde termijnen worden gemeld. De eerste melding moet zo snel mogelijk plaatsvinden en in ieder geval binnen 24 uur nadat de organisatie kennis heeft gekregen van een meldingsplichtig incident.
Om dat haalbaar te maken, moet vooraf duidelijk zijn wat als een mogelijk significant incident geldt, wie de beoordeling uitvoert en wie bevoegd is om een melding te doen. We toetsen het bestaande incidentresponsproces en verbinden technische detectie met juridische beoordeling, interne escalatie, communicatie en besluitvorming.
Het doel is niet alleen een procedure op papier. De betrokken medewerkers moeten weten wat er van hen wordt verwacht wanneer de druk hoog is en informatie nog onvolledig is.
NIS2 vraagt ook om zicht op leveranciers
Digitale dienstverlening is vrijwel altijd afhankelijk van externe partijen. Denk aan cloudleveranciers, softwareontwikkelaars, managed service providers, hostingpartijen en gespecialiseerde platforms. Een verstoring bij één leverancier kan directe gevolgen hebben voor jouw eigen dienstverlening.
Daarom onderzoeken we welke leveranciers een wezenlijke rol spelen, welke risico-informatie beschikbaar is en hoe afspraken over beveiliging, incidentmelding, continuïteit en controle zijn vastgelegd. Niet iedere leverancier vraagt om dezelfde diepgang. De aandacht moet vooral uitgaan naar partijen waarvan uitval, misbruik of dataverlies een merkbare bedrijfsimpact kan veroorzaken.
Voor zorgorganisaties sluiten we deze beoordeling waar relevant aan op NEN 7510. Daarmee kunnen bestaande eisen rond informatiebeveiliging in de zorg worden benut, terwijl aanvullende NIS2-vraagstukken gericht worden behandeld.
Wat levert een NIS2-traject concreet op?
Na het traject beschikt jeu over een onderbouwd beeld van de toepasselijkheid van NIS2, de relevante risico’s en de mate waarin bestaande maatregelen aansluiten op de verplichtingen. UJe weet niet alleen wat moet worden verbeterd, maar ook waarom, in welke volgorde en onder wiens verantwoordelijkheid.
Afhankelijk van de uitgangssituatie kan het traject onder meer leiden tot:
een onderbouwde scope- en toepasselijkheidsanalyse;
een overzicht van relevante diensten, systemen en ketenafhankelijkheden;
een gap-analyse op governance, zorgplicht, meldplicht en registratieplicht;
een risicogestuurde roadmap met prioriteiten en eigenaren;
duidelijke verantwoordelijkheden voor directie, IT, security en compliance;
een uitvoerbaar proces voor incidentbeoordeling en melding;
een gestructureerde aanpak voor leveranciersrisico’s;
rapportages waarmee het bestuur gericht kan sturen.
Voor overheidsorganisaties kan de BIO een belangrijk vertrekpunt zijn. Defenced beoordeelt hoe bestaande BIO-maatregelen zich verhouden tot de Cyberbeveiligingswet en waar aanvullende inrichting of aantoonbaarheid nodig is. Ook hier staat hergebruik voorop: wat al goed werkt, hoeft niet opnieuw te worden ontworpen.
Geen los complianceproject
Een veelvoorkomend bezwaar is dat NIS2 opnieuw tijd vraagt van teams die al meerdere verbeterprogramma’s uitvoeren. Dat bezwaar is terecht wanneer het traject als een afzonderlijke administratieve exercitie wordt ingericht.
Defenced kiest daarom voor aansluiting op bestaande processen. We gebruiken beschikbare risicoanalyses, audits, beleid, architectuurdocumentatie en incidentervaringen. Bevindingen worden gekoppeld aan lopende projecten en reguliere besluitvorming. Waar mogelijk combineren we maatregelen voor meerdere normen en wettelijke kaders.
Ook maken we transparant waar onzekerheid blijft bestaan. Niet iedere vraag kan direct met een document of technische controle worden opgelost. Soms is een bestuurlijke keuze nodig, bijvoorbeeld over risicoacceptatie, investeringen of de afhankelijkheid van een leverancier. Onze rol is om die keuze met de juiste informatie op tafel te leggen.
Waarom organisaties Defenced betrekken bij NIS2
Defenced benadert NIS2 vanuit cybersecurity en risicobeheersing, niet uitsluitend vanuit juridische naleving. Daardoor blijft de aandacht gericht op het bedrijfsprobleem achter de wet: verstoringen voorkomen, incidenten beheersen en besluiten nemen op basis van een betrouwbaar risicobeeld.
We zijn vendor-onafhankelijk. Adviezen worden niet gestuurd door softwareverkoop of een vooraf gekozen oplossing. De samenwerking is persoonlijk en pragmatisch: met de mensen die verantwoordelijk zijn voor bestuur, IT, security, compliance en bedrijfscontinuïteit.
UJe krijgt daarbij geen rapport dat alleen beschrijft wat ontbreekt. We bespreken welke gevolgen bevindingen hebben, welke keuzes nodig zijn en wat een realistische vervolgstap is. Zo wordt NIS2 onderdeel van de manier waarop jouw organisatie risico’s bestuurt, in plaats van een tijdelijk project naast de bedrijfsvoering.
Bespreek wat NIS2 voor uw organisatie betekent
Plan een vrijblijvend adviesgesprek
Boek jouw 30 minuten
Benieuwd of NIS2 op jouw organisatie van toepassing is, of wilt u weten of deuw huidige aanpak voldoende houvast biedt? Defenced helpt jou eerst de scope en uitgangspositie vast te stellen. Daarna bepalen we samen welke vervolgstappen passend zijn en welke bestaande maatregelen kunnen worden benut.
Het gesprek begint bij jouw organisatie, niet bij een standaardnormenkader. JeU krijgt een helder beeld van de relevante verplichtingen, de belangrijkste onzekerheden en de beslissingen die nodig zijn om aantoonbaar en beheerst verder te werken.
Kies een datum en tijd