NIS2 / Cyberbeveiligingswet Zelfscan

1/20Heb je met de NIS2 Zelfevaluatie op regelhulpenvoorbedrijven.nl vastgesteld of je organisatie onder de Cyberbeveiligingswet valt, en of je een essentiele of belangrijke entiteit bent?

De overheid biedt een gratis zelfevaluatie die op basis van je sector, diensten en omvang bepaalt of de wet op jou van toepassing is. De uitkomst bepaalt ook of je onder actief of regulier toezicht valt.

2/20Weet je of je organisatie aan de omvangscriteria van de wet voldoet: 50 of meer fte, of een jaaromzet en balanstotaal die beide boven de 10 miljoen euro liggen?

De Cyberbeveiligingswet geldt in de aangewezen sectoren voor middelgrote en grote organisaties. Sommige typen organisaties, zoals DNS-dienstverleners en aanbieders van vertrouwensdiensten, vallen er ongeacht hun omvang onder.

3/20Ben je geregistreerd in het entiteitenregister, of heb je de registratie voorbereid zodat je die direct kunt doen zodra de wet op 15 augustus 2026 in werking treedt?

De Cyberbeveiligingswet kent een registratieplicht: organisaties die onder de wet vallen moeten hun gegevens aanleveren voor het entiteitenregister. De registratie loopt via het NCSC; voor de digitale sector is de RDI de toezichthouder.

4/20Heeft je bestuur of directie de maatregelen voor cyberbeveiligingsrisicobeheer formeel goedgekeurd en houdt het aantoonbaar toezicht op de uitvoering ervan?

De wet legt de verantwoordelijkheid expliciet bij het bestuur: dat moet de risicobeheersmaatregelen goedkeuren en toezien op de uitvoering, en kan bij nalatigheid aansprakelijk worden gesteld.

5/20Hebben je bestuurders een opleiding of training gevolgd waarmee ze cyberrisico's en beheersmaatregelen voldoende kunnen beoordelen?

Bestuurders zijn onder de wet verplicht een opleiding te volgen zodat ze voldoende kennis hebben om risico's en maatregelen te kunnen beoordelen. Ook aan medewerkers moet periodiek een vergelijkbare opleiding worden aangeboden.

6/20Zijn de rollen en verantwoordelijkheden voor informatiebeveiliging in je organisatie duidelijk belegd en schriftelijk vastgelegd?

Zonder belegde verantwoordelijkheden blijft beveiliging hangen op goede bedoelingen. Toezichthouders verwachten dat helder is wie waarvoor verantwoordelijk is, van beleid tot incidentafhandeling.

7/20Heb je een actuele risicoanalyse van je netwerk- en informatiesystemen en een daarop gebaseerd beveiligingsbeleid?

Beleid inzake risicoanalyse en beveiliging van informatiesystemen is de eerste van de tien zorgplichtmaatregelen uit de wet (artikel 21 lid 2 NIS2). Risicomanagement is de basis waaruit alle andere maatregelen volgen.

8/20Heb je een vastgelegd proces voor incidentbehandeling: het herkennen, analyseren, prioriteren en afhandelen van beveiligingsincidenten?

Incidentenbehandeling is een verplichte zorgplichtmaatregel. Het gaat om het hele proces van signaal tot afronding, inclusief leren van incidenten, en het is de basis onder de wettelijke meldplicht.

9/20Heb je bedrijfscontinuiteit geregeld met geteste back-ups, herstelplannen en afspraken voor crisisbeheer?

De zorgplicht eist maatregelen voor bedrijfscontinuiteit, zoals back-upbeheer, herstelplannen en crisisbeheer. Een back-up die nooit is teruggezet is geen back-up maar een hoop.

10/20Borg je de beveiliging van netwerk- en informatiesystemen bij aanschaf, ontwikkeling en onderhoud, inclusief een proces voor kwetsbaarhedenbeheer?

De zorgplicht omvat beveiliging bij het verwerven, ontwikkelen en onderhouden van systemen, met de behandeling en bekendmaking van kwetsbaarheden als expliciet onderdeel.

11/20Heb je een actueel overzicht van je leveranciers en dienstverleners die toegang hebben tot je systemen of data, of waarvan je dienstverlening afhankelijk is?

De beveiliging van de toeleveringsketen is een verplichte zorgplichtmaatregel. Zonder overzicht van wie er in je keten zit, kun je ketenrisico's niet beheersen.

12/20Heb je met je kritieke leveranciers contractuele afspraken over beveiliging, zoals beveiligingseisen, incidentmelding en auditrechten?

De wet verwacht dat je beveiligingsgerelateerde aspecten in de relatie met je directe leveranciers regelt. Klanten die onder de wet vallen zullen dit soort eisen ook aan jou als IT-dienstverlener stellen.

13/20Beoordeel je periodiek de beveiligingsrisico's van je leveranciers, bijvoorbeeld op basis van hun certificeringen, rapportages of incidenthistorie?

Ketenbeveiliging is geen eenmalige contractclausule maar een doorlopend proces. De kwetsbaarheden van elke leverancier en de kwaliteit van hun beveiligingspraktijk horen in je risicobeoordeling.

14/20Passen je medewerkers basispraktijken voor cyberhygiene toe en krijgen ze periodiek een opleiding of training op het gebied van cyberbeveiliging?

Basispraktijken op het gebied van cyberhygiene en opleiding zijn samen een van de tien zorgplichtmaatregelen. Denk aan sterke wachtwoorden, updates, phishing herkennen en veilig omgaan met data.

15/20Heb je beleid en procedures voor het gebruik van cryptografie en encryptie, zoals versleuteling van dataverkeer, opslag en apparaten?

Beleid en procedures over het gebruik van cryptografie en, waar van toepassing, encryptie vormen een verplichte zorgplichtmaatregel. Het gaat om bewuste keuzes: wat versleutel je, waarmee en hoe beheer je sleutels.

16/20Heb je personeelsbeveiliging, toegangsbeleid en assetbeheer op orde: toegang op basis van rol, een werkend on- en offboardingproces en een actueel overzicht van hardware en software?

Beveiligingsaspecten ten aanzien van personeel, toegangsbeleid en beheer van assets zijn een van de tien zorgplichtmaatregelen. Oud-medewerkers met werkende accounts en onbekende apparaten zijn klassieke gaten.

17/20Gebruik je multifactorauthenticatie op alle belangrijke accounts en beveiligde communicatiemiddelen voor gevoelige informatie?

Het gebruik van multifactorauthenticatie of continue-authenticatieoplossingen en beveiligde communicatie is een expliciete zorgplichtmaatregel. MFA is een van de effectiefste maatregelen tegen accountovername.

18/20Kun je beveiligingsincidenten in je systemen tijdig detecteren, en bewaar je logbestanden waarmee je een incident achteraf kunt onderzoeken?

Zonder detectie en logging kun je de meldtermijnen van de wet niet halen en een incident niet reconstrueren. De 24-uurstermijn begint zodra je kennis hebt van een significant incident.

19/20Is je meldproces voor significante incidenten vastgelegd en geoefend, met de wettelijke termijnen van 24 uur (vroegtijdige waarschuwing), 72 uur (vervolgmelding) en 1 maand (eindverslag)?

De meldplicht kent drie stappen: een vroegtijdige waarschuwing binnen 24 uur na kennisname, een vervolgmelding met eerste beoordeling binnen 72 uur, en een eindverslag uiterlijk 1 maand na de melding.

20/20Zijn je contactgegevens actueel en is de toegang tot het centrale meldportaal van het NCSC voorbereid, zodat je bij een incident direct kunt melden?

Melden gebeurt via het centrale meldportaal van het NCSC (mijn.ncsc.nl), dat de melding in een keer doorzet naar het CSIRT en de toezichthouder. Tijdens een incident wil je niet nog een account moeten regelen.