Korte NIS2 checklist voor je ICT

Een NIS2 checklist voor je ICT telt twaalf technische punten, waaronder MFA, updates en back-up. Bij elk punt hoort bewijs: een overzicht van de instellingen, een test en de opvolging van wat afwijkt. De lijst is voor IT-managers en systeembeheerders van mkb-bedrijven die onder de wet vallen of klanten hebben die ernaar vragen.

De Cyberbeveiligingswet (Cbw) voert de Europese NIS2-richtlijn in Nederland in. De Cyberbeveiligingswet geldt sinds 15 augustus 2026. De technische punten vallen onder

De checklist is gemaakt door ClickOn, de MSP voor het mkb op het gebied van compliance. Ardo Hoogeveen, oprichter en Security Officer van ClickOn, is gespecialiseerd in compliance met NIS2, de Cyberbeveiligingswet en ISO 27001 voor het mkb. Een NIS2 lead auditor heeft de checklist gecontroleerd.

Wat de Cyberbeveiligingswet van je ICT vraagt, in het kort

De Cyberbeveiligingswet vraagt passende maatregelen tegen de risico’s voor je netwerk- en informatiesystemen. Wat passend is, hangt af van de risico’s en de omvang van het bedrijf. Een product of tool schrijft de wet niet voor.

Op één punt is de wet concreet. De Cyberbeveiligingswet noemt multifactorauthenticatie waar dat passend is. Wie een account zonder MFA laat, moet dus kunnen uitleggen waarom.

De meldplicht raakt je ICT ook. Volgens de Cyberbeveiligingswet meldt een entiteit een significant incident binnen 24 uur als vroegtijdige waarschuwing bij het NCSC. Binnen 72 uur volgt de melding met een eerste beoordeling van het incident. Die termijnen haal je alleen als logging en een beslisroute al klaarliggen.

Of je bedrijf onder de wet valt en wat de wet nog meer vraagt, lees je in het artikel over de Cyberbeveiligingswet voor het mkb. Deze checklist is de ICT-kant daarvan.

De ICT-punten op een rij, van MFA tot back-up

De twaalf punten beginnen bij de aanmelding en eindigen bij het herstel.

1. MFA op elk account, ook bij toepassingen buiten Microsoft 365. Beheerders krijgen een aanmeldmethode die past bij hun hogere risico. Elke uitzondering heeft een reden, een eigenaar en een datum om haar opnieuw te bekijken.
2. Een wachtwoordbeleid dat past bij het werkelijke risico. Elke computer heeft een eigen lokaal beheerwachtwoord. Van elk gedeeld account is bekend wie het gebruikt.
3. Een wachtwoordmanager met een goed beschermde toegang tot de kluis. Het herstel van die toegang is geoefend.
4. Toegang die stopt op een afgesproken moment als iemand vertrekt. Lopende sessies stoppen ook. Gedeelde wachtwoorden die de medewerker kende, worden vervangen.
5. Aparte accounts voor beheerwerk en zo weinig mogelijk hoofdbeheerders. De beheerrelatie met de IT-partner is gecontroleerd en lokale beheerrechten op werkplekken zijn beoordeeld.
6. Een domein dat anderen niet kunnen misbruiken om namens je bedrijf te mailen. Verborgen doorstuurregels in mailboxen zijn opgespoord en een phishingmail melden kost een medewerker één klik.
7. Een overzicht van alle apparaten die in gebruik zijn. De versleuteling is per apparaat gecontroleerd en de herstelsleutels zijn vooraf bereikbaar.
8. Updates voor besturingssystemen én applicaties. Je weet wat vanaf internet bereikbaar is en je noteert hoe je elke waarschuwing over een kwetsbaarheid hebt beoordeeld.
9. Geen werkplekken of beheerschermen die rechtstreeks vanaf internet bereikbaar zijn. Elke weg naar binnen heeft een eigenaar.
10. Bewuste instellingen voor delen. Gasten houden alleen toegang zolang de samenwerking loopt. De rechten die apps aanvragen zijn beoordeeld.
11. Logging met een bewaartermijn die past bij hoe lang het duurt voordat een incident opvalt. Elke belangrijke waarschuwing heeft een ontvanger. Bij een incident ligt een beslisroute klaar.
12. Back-ups waarvan het herstel getest is op bruikbare gegevens. De herstelkopieën zijn beschermd tegen een aanvaller die ze wil wissen, want een prullenbak is geen back-up.

Hoogeveen brengt de twaalf punten terug tot één werkwijze.

Op alle punten geldt hetzelfde: weet wat je hebt. Werk het bij waar het kan. Kan dat niet, ken dan de kwetsbaarheden en vraag je af of je het nog nodig hebt. Is het toch nodig, zet het dan apart.

Ardo Hoogeveen, oprichter en Security Officer van ClickOn

Per punt: zo laat je zien dat het werkt

Een auditor wil bij elk punt zien dat de maatregel bestaat en ook werkt. Het bewijs heeft drie delen: een actueel overzicht of een momentopname van de instellingen; een controle of test met datum en uitkomst; de opvolging van wat afwijkt, met een eigenaar en een einddatum.

Per punt ziet dat er anders uit:

• bij MFA een overzicht van alle toepassingen met hun aanmeldbeveiliging, plus de lijst met uitzonderingen en hun reden;
• bij vertrek van een medewerker een controle dat het account geblokkeerd is en de sessies zijn ingetrokken;
• bij werkplekken de versleutelingsstatus per apparaat, met de afwijkingen;
• bij updates de lijst met beoordeelde waarschuwingen en het besluit per waarschuwing;
• bij logging een overzicht van de logbronnen met hun werkelijke bewaartermijn;
• bij back-up een testverslag met het herstelpunt, de duur en het oordeel van de gebruiker.

Een wachtwoord of herstelsleutel staat nooit in zo’n rapportage. Het bewijs vermeldt alleen dat het geheim bestaat of vervangen is.

Bij een audit doet Hoogeveen de technische check van de ICT-omgeving. Het bewijs per punt komt daar terug.

Ook de eigen ISO 27001 audit van ClickOn leidde Hoogeveen zelf, zonder externe consultant. Sinds 2021 is ClickOn door TÜV Nord gecertificeerd voor ISO 27001.

Een certificaat is wel iets anders dan naleving van de wet. Een ISO 27001 certificaat betekent niet dat een bedrijf aan de zorgplicht van de Cyberbeveiligingswet voldoet. De RDI zegt in haar uitleg over de wet hetzelfde: een certificaat of keurmerk bewijst geen naleving. Een officieel certificaat voor NIS2 bestaat niet. Bedrijven gebruiken ISO 27001 wel steeds vaker als bewijs bij hun klanten.

Wat niet bij de ICT hoort: bestuur, beleid en registratie

De Cyberbeveiligingswet legt vier plichten op: de zorgplicht, de meldplicht, de registratieplicht en de trainingsplicht voor bestuurders. De IT-afdeling levert voor elk van die plichten input. De besluiten liggen bij de directie.

Buiten deze checklist vallen:

• de registratie van de entiteit in het entiteitenregister via mijn.ncsc.nl;
• de goedkeuring van de maatregelen door het bestuur en het toezicht op de uitvoering;
• de training van bestuurders, met volgens de NCTV een termijn tot 15 augustus 2028 voor de kennis- en trainingseis;
• het besluit om een incident als significant te melden, waarvoor de ICT de tijdlijn levert;
• het beleid, met de risicoanalyse, de afspraken met leveranciers en de training van medewerkers.

ClickOn maakte een NIS2 checklist voor de hele Cyberbeveiligingswet. De volledige NIS2 checklist van ClickOn zet ook het bestuur en het beleid in vijf blokken, met het bewijs per punt.

Van NIS2 checklist voor je ICT naar planning: wat eerst?

Begin bij het overzicht. Zonder overzicht kan je MFA, updates en back-up niet controleren. Een werkbare volgorde:

1. Maak een overzicht van accounts, apparaten, toepassingen en toegangswegen.
2. Zet MFA aan op alle accounts en beperk de beheerrechten.
3. Werk systemen en applicaties bij en zoek uit wat vanaf internet bereikbaar is.
4. Test het herstel van een back-up en bescherm de herstelkopieën.
5. Regel de logging, een ontvanger voor elke waarschuwing en een beslisroute bij incidenten.

Wachten op een overgangsperiode heeft geen zin. Volgens de NCTV hebben de zorgplicht, de meldplicht en de registratieplicht geen overgangstermijn.

Hoogeveen vindt de maatregelen ook zinvol voor een bedrijf dat niet onder de wet valt. Klanten die zelf onder de Cyberbeveiligingswet vallen, stellen dezelfde vragen aan hun leveranciers. Met het bewijs per punt ligt het antwoord dan al klaar.