NIS2 zorgplicht: wat moet bestuur en toezicht kunnen aantonen?

De NIS2-zorgplicht verplicht essentiële en belangrijke entiteiten passende en evenredige technische, operationele en organisatorische maatregelen te nemen. Die maatregelen moeten cyberrisico’s beheersen, incidenten helpen voorkomen en de gevolgen van incidenten beperken. De Cyberbeveiligingswet noemt tien categorieën, van risicoanalyse en incidentrespons tot ketenbeveiliging, sterke authenticatie en het toetsen van de werking.

Voor bestuur en toezicht is dit meer dan een maatregellijst. Het bestuur moet de maatregelen goedkeuren, toezicht houden op de uitvoering en kunnen uitleggen waarom de gekozen beheersing bij de risico’s past. Daarvoor zijn heldere risicoafwegingen, eigenaarschap, betrouwbare managementinformatie en bewijs van werking nodig. De wet is sinds 15 augustus 2026 van kracht.

Laatst bijgewerkt: 28 augustus 2026

De tien zorgplichtmaatregelen

De onderstaande indeling volgt de praktische titels van het NCSC. De juridische basis is artikel 21 lid 3, onderdelen a tot en met j, van de Cyberbeveiligingswet.

1. Maak een risicoanalyse
2. Richt incidentrespons in
3. Bereid je voor op uitval
4. Maak je toeleveringsketen veilig
5. Zorg dat cyberhygiëne op orde is
6. Beveilig netwerk- en informatiesystemen
7. Versterk beveiliging van personeel, toegang en assets
8. Gebruik passkeys voor authenticatie
9. Stel cryptografiebeleid op
10. Beoordeel de effectiviteit van maatregelen

Wat betekent ‘passend en evenredig’?

De wet verlangt geen identiek beveiligingspakket voor iedere organisatie. Het beveiligingsniveau moet aansluiten op de risico’s. Daarbij tellen onder meer de stand van de techniek, uitvoeringskosten, de omvang van de organisatie, de blootstelling aan risico’s en de waarschijnlijkheid en ernst van incidenten mee. Ook maatschappelijke en economische gevolgen zijn relevant.

Dat maakt een navolgbare risicoafweging noodzakelijk. Een maatregel kan technisch sterk zijn en toch onvoldoende wanneer een kritiek proces, een kwetsbare afhankelijkheid of de vereiste hersteltijd buiten beeld blijft. Andersom hoeft niet ieder denkbaar risico maximaal te worden afgedekt. Het bestuur moet wel kunnen zien welke restrisico’s overblijven, wie daarvoor verantwoordelijk is en waarom die positie verantwoord is.

Lees voor deze brede beoordeling ook hoe de all-hazardsbenadering werkt en welke belangen de organisatie wil beschermen.

1. Maak een risicoanalyse

Wettelijke basis: artikel 21 lid 3 sub a Cbw noemt beleid voor risicoanalyse en beveiliging van informatiesystemen. De analyse vormt de onderbouwing voor de overige maatregelen.

Breng eerst de kritieke diensten, processen, informatie, netwerk- en informatiesystemen en afhankelijkheden in kaart. Beoordeel vervolgens welke dreigingen en kwetsbaarheden deze belangen kunnen raken en wat de gevolgen zijn. Neem cyberaanvallen, menselijke fouten, fysieke verstoringen, uitval van voorzieningen en problemen bij leveranciers mee.

Betekenis voor bestuur en toezicht: vraag niet alleen of er een risicoregister bestaat. Beoordeel of de analyse actueel is, materiële risico’s zichtbaar maakt en leidt tot besluiten over prioriteiten, middelen en restrisico’s. Bij een belangrijke verandering, overname, incident of nieuwe leverancier moet de analyse worden herijkt.

Passend bewijs: scope en methodiek, actuele risicoanalyse, risico-eigenaren, vastgestelde risicobereidheid, besluiten over behandeling en acceptatie en aantoonbare periodieke herbeoordeling.

2. Richt incidentrespons in

Wettelijke basis: artikel 21 lid 3 sub b Cbw verlangt maatregelen voor het behandelen van incidenten.

Een incidentresponsproces beschrijft hoe de organisatie incidenten herkent, classificeert, onderzoekt, beheerst en herstelt. Leg rollen, bereikbaarheid, escalatie, besluitvorming, bewijsbehoud en communicatie vast. Sluit dit aan op de wettelijke meldplicht en overige NIS2-eisen; incidentbehandeling en melden zijn verschillende processen die elkaar wel moeten versterken.

Betekenis voor bestuur en toezicht: het bestuur moet weten wanneer het wordt geïnformeerd, welke besluiten tijdens een crisis bij het bestuur liggen en wie contact onderhoudt met toezichthouder, CSIRT, klanten, medewerkers en media. Een plan dat nooit is geoefend geeft weinig zekerheid over de werkelijke paraatheid.

Passend bewijs: incidentresponsplan, actuele contact- en escalatielijsten, log- en onderzoeksvoorzieningen, oefenverslagen, incidentregistraties, evaluaties en aantoonbare opvolging van leerpunten.

3. Bereid je voor op uitval

Wettelijke basis: artikel 21 lid 3 sub c Cbw gaat over bedrijfscontinuïteit, back-upbeheer, noodvoorzieningen, herstel na een ramp en crisisbeheer.

Bepaal welke dienstverlening binnen welke tijd moet worden hervat en hoeveel gegevensverlies aanvaardbaar is. Regel back-ups, alternatieve werkwijzen, herstelprocedures en crisisorganisatie op basis van die eisen. Controleer of back-ups voldoende gescheiden en beschermd zijn en of herstel ook werkelijk lukt wanneer primaire systemen of leveranciers niet beschikbaar zijn.

Betekenis voor bestuur en toezicht: bespreek welke processen als eerste terug moeten komen, welke minimale dienstverlening tijdens uitval haalbaar is en waar afhankelijkheid van één locatie, persoon of leverancier bestaat. Maak keuzes over herstelniveaus expliciet; ‘we hebben back-ups’ is geen antwoord op de vraag hoe lang de organisatie stil kan liggen.

Passend bewijs: business-impactanalyse, continuïteits- en herstelplannen, hersteldoelen, back-uprapportages, uitgevoerde hersteltests, crisisoefeningen en verbetermaatregelen.

4. Maak je toeleveringsketen veilig

Wettelijke basis: artikel 21 lid 3 sub d Cbw verlangt beveiliging van de toeleveringsketen, waaronder de beveiligingsaspecten van de relatie met directe leveranciers en dienstverleners. Lid 4 noemt factoren die bij leveranciersbeoordeling moeten worden meegewogen.

Inventariseer leveranciers die toegang hebben tot systemen of informatie, een kritiek proces ondersteunen of moeilijk vervangbaar zijn. Stel beveiligingseisen bij selectie en contractering, bewaak prestaties tijdens de looptijd en regel incidentmelding, auditrechten, continuïteit en een beheerste exit. Kijk bij kritieke partijen ook naar hun relevante onderaannemers en concentratierisico’s.

Betekenis voor bestuur en toezicht: vraag welke leveranciers de grootste continuïteits- of beveiligingsimpact hebben en welk alternatief beschikbaar is bij langdurige uitval. Een certificaat of contractclausule kan nuttig bewijs zijn, maar vervangt geen beoordeling van de specifieke dienst en afhankelijkheid.

Passend bewijs: leveranciersregister, risicoclassificatie, due-diligence-uitkomsten, contractuele eisen, prestatie- en incidentrapportages, periodieke beoordelingen, exitplannen en geteste uitwijkmogelijkheden. Meer verdieping staat bij NIS2-ketenverantwoordelijkheid en supply-chainrisico’s.

5. Zorg dat cyberhygiëne op orde is

Wettelijke basis: artikel 21 lid 3 sub g Cbw noemt basispraktijken op het gebied van cyberhygiëne en opleiding op het gebied van cyberbeveiliging.

Cyberhygiëne omvat dagelijkse basisbeheersing: veilig configureren, tijdig patchen, malwarebeveiliging, zorgvuldig omgaan met accounts en gegevens, phishing herkennen en afwijkingen melden. Opleiding moet aansluiten op de rol en het risico. Een beheerder, inkoper, bestuurder en servicemedewerker hebben niet dezelfde kennis nodig.

Betekenis voor bestuur en toezicht: beoordeel of gewenst gedrag wordt ondersteund door werkbare processen en techniek. Alleen een jaarlijkse e-learning zegt weinig over hardnekkige kwetsbaarheden, risicovolle uitzonderingen of de veiligheidscultuur. Het bestuur heeft bovendien een eigen wettelijke kennis- en opleidingsopgave.

Passend bewijs: opleidingsplan, deelname en toetsresultaten, functiegerichte instructies, phishing- en meldgegevens, patch- en configuratierapportages, uitzonderingenregister en trends in mensgerelateerde incidenten.

6. Beveilig netwerk- en informatiesystemen

Wettelijke basis: artikel 21 lid 3 sub e Cbw ziet op beveiliging bij verwerving, ontwikkeling en onderhoud van netwerk- en informatiesystemen, inclusief de respons op en bekendmaking van kwetsbaarheden.

Neem beveiliging mee in de volledige levenscyclus: eisen stellen bij inkoop en ontwerp, veilig ontwikkelen en configureren, wijzigingen beheersen, kwetsbaarheden vinden en herstellen en systemen tijdig uitfaseren. Richt een proces in voor meldingen over kwetsbaarheden en bepaal hoe de organisatie reageert wanneer een leverancier of onderzoeker een probleem meldt.

Betekenis voor bestuur en toezicht: vraag waar verouderde of niet-ondersteunde systemen worden gebruikt, hoeveel kritieke kwetsbaarheden buiten termijn staan en welke uitzonderingen bewust zijn geaccepteerd. Grote achterstanden kunnen een technisch symptoom zijn van onvoldoende capaciteit, onduidelijk eigenaarschap of uitgestelde investeringen.

Passend bewijs: beveiligingseisen voor inkoop en ontwikkeling, systeemlevenscyclusbeleid, wijzigingsregistraties, kwetsbaarheidsscans, hersteltermijnen, uitzonderingsbesluiten, responsible-disclosureproces en uitfaseringsplannen.

7. Versterk beveiliging van personeel, toegang en assets

Wettelijke basis: artikel 21 lid 3 sub i Cbw noemt beveiligingsaspecten ten aanzien van personeel, toegangsbeleid en beheer van activa.

Weet welke hardware, software, gegevens, accounts en diensten de organisatie gebruikt en wie daarvan eigenaar is. Geef mensen alleen toegang die zij voor hun werk nodig hebben, controleer bijzondere rechten extra en trek toegang tijdig in bij functiewijziging of vertrek. Besteed bij gevoelige functies aandacht aan screening, geheimhouding, functiescheiding en vervangbaarheid.

Betekenis voor bestuur en toezicht: een organisatie kan niet aantoonbaar beveiligen wat zij niet kent. Vraag daarom naar de volledigheid van asset- en accountregistraties, achterstallige toegangsreviews, onbeheerde systemen en afhankelijkheid van sleutelpersonen.

Passend bewijs: assetregister, eigenaarschap, classificatie, joiner-mover-leaverproces, periodieke toegangsreviews, beheer van privileged accounts, functiescheiding, screening en aantoonbare intrekking van toegang.

8. Gebruik passkeys voor authenticatie

Wettelijke basis: artikel 21 lid 3 sub j Cbw verlangt, wanneer passend, multifactorauthenticatie of continue authenticatie en beveiligde spraak-, video-, tekst- en noodcommunicatie. De wet schrijft niet voor iedere toepassing letterlijk passkeys voor.

Het NCSC adviseert waar mogelijk passkeys op basis van FIDO2. Passkeys zijn een phishingbestendige manier van aanmelden en kunnen een sterke invulling geven aan authenticatie. Begin bij beheeraccounts, externe toegang, cloudomgevingen en systemen met gevoelige of kritieke gegevens. Waar passkeys nog niet haalbaar zijn, is sterke multifactorauthenticatie een logische tussenstap. Beheer ook herstelprocedures zorgvuldig; een zwakke resetroute ondermijnt sterke authenticatie.

Betekenis voor bestuur en toezicht: laat zien welke kritieke systemen nog alleen met een wachtwoord toegankelijk zijn, welke invoeringsroute is gekozen en welke uitzonderingen bestaan. De gekozen oplossing moet passen bij risico, gebruiksgemak, beschikbaarheid en herstelbaarheid.

Passend bewijs: authenticatiebeleid, risicogebaseerde scope, dekkingsrapportages, beheer van uitzonderingen, beveiligde herstelprocessen en testresultaten voor noodtoegang.

9. Stel cryptografiebeleid op

Wettelijke basis: artikel 21 lid 3 sub h Cbw noemt beleid en procedures voor het gebruik van cryptografie en, waar passend, versleuteling.

Cryptografie gebruikt wiskundige technieken om onder meer vertrouwelijkheid, integriteit en authenticiteit te beschermen. Encryptie is het versleutelen van gegevens zodat onbevoegden ze niet kunnen lezen. Bepaal welke gegevens tijdens opslag en transport moeten worden versleuteld, welke technieken en sleutelsterktes zijn toegestaan en wie cryptografische sleutels beheert. Regel uitgifte, opslag, rotatie, intrekking, herstel en vernietiging van sleutels. Neem ook certificaten, mobiele gegevensdragers, back-ups en gegevensuitwisseling met leveranciers mee.

Betekenis voor bestuur en toezicht: vraag waar gevoelige informatie nog onversleuteld kan worden verwerkt en of sleutelbeheer niet afhankelijk is van één persoon of leverancier. Cryptografie vermindert risico’s, maar kan bij slecht sleutelbeheer juist beschikbaarheids- en continuïteitsproblemen veroorzaken.

Passend bewijs: cryptografiebeleid, dataclassificatie, technische standaarden, sleutel- en certificaatregister, rotatie- en intrekkingsregistraties, uitzonderingen en hersteltests.

10. Beoordeel de effectiviteit van maatregelen

Wettelijke basis: artikel 21 lid 3 sub f Cbw verlangt beleid en procedures om de effectiviteit van maatregelen voor het beheer van cyberbeveiligingsrisico’s te beoordelen.

Controleer zowel het ontwerp en de invoering van een maatregel als de werking in de praktijk. Combineer continue monitoring met periodieke reviews, technische tests, herstelproeven, oefeningen, interne audits en waar nodig onafhankelijke beoordelingen. Laat de intensiteit aansluiten op het risico en gebruik bevindingen om processen en maatregelen te verbeteren.

Betekenis voor bestuur en toezicht: vraag welke zekerheid de rapportage werkelijk biedt. Een groen dashboard op basis van beleidsdocumenten is iets anders dan aantoonbaar geteste werking. Spreek af welke tekortkomingen direct worden geëscaleerd, wie verbeteringen bewaakt en wanneer het bestuur opnieuw besluit.

Passend bewijs: toetsingskalender, meetdefinities, audit- en testresultaten, herstel- en crisisoefeningen, bevindingenregister, oorzaakanalyses, verbeterplannen en aantoonbare afsluiting van acties.

Waarom de tien maatregelen geen afvinklijst zijn

De categorieën hangen samen. Een risicoanalyse zonder actuele assetinformatie mist onderdelen. Een back-up zonder hersteltest geeft onvoldoende zekerheid. Sterke authenticatie helpt beperkt wanneer toegangsrechten niet worden ingetrokken. En ketenafspraken zijn weinig waard als incidenten bij leveranciers niet tijdig worden gemeld en geoefend.

De nadere uitwerking in het Cyberbeveiligingsbesluit vraagt bovendien op verschillende onderdelen om schriftelijk beleid en aantoonbare toepassing. Dat kan in één managementsysteem of in samenhangende documenten worden georganiseerd. De vorm is minder belangrijk dan de heldere lijn van risico naar besluit, uitvoering, toetsing en verbetering.

Wat de wet van het bestuur vraagt

Artikel 24 Cbw bepaalt dat het bestuur de maatregelen voor risicobeheer goedkeurt en toezicht houdt op de uitvoering. Bestuursleden moeten over voldoende kennis en vaardigheden beschikken om risico’s te herkennen, maatregelen te beoordelen en de gevolgen voor de dienstverlening te begrijpen. Voor uitvoerende bestuurders geldt daarnaast de specifieke wettelijke opleidings- en certificaatplicht; de precieze reikwijdte staat uitgelegd bij de wettelijke eisen aan de bestuurderstraining.

De bredere wettelijke context staat in het artikel over de Cyberbeveiligingswet voor Nederlandse organisaties. Lees bij vragen over persoonlijke verantwoordelijkheid ook de zorgvuldige uitleg van NIS2 en bestuurdersaansprakelijkheid.

Goedkeuren is meer dan kennisnemen van een informatiebeveiligingsbeleid. Een zorgvuldig besluit maakt zichtbaar welke risico’s en scenario’s zijn besproken, welke maatregelset wordt gekozen, welke middelen beschikbaar zijn, welke restrisico’s blijven bestaan en hoe het bestuur de voortgang en werking volgt.

Toezicht door RvC of RvT valt niet samen met de uitvoerende verantwoordelijkheid van het bestuur. Toezichthouders hebben wel voldoende informatie en deskundigheid nodig om het bestuur kritisch te kunnen bevragen over continuïteit, risicoacceptatie, afhankelijkheden en de betrouwbaarheid van assurance.

Welke managementinformatie helpt de bestuurskamer?

Een bruikbare rapportage laat risico, maatregel en bedrijfsimpact in samenhang zien. Beperk de rapportage tot informatie waarop bestuur of toezicht kan sturen en geef definities, trend en norm mee.

• de belangrijkste cyber- en continuïteitsrisico’s, inclusief ontwikkeling en eigenaar;
• kritieke processen, systemen en leveranciers met afwijkingen of concentratierisico;
• status van maatregelen en achterstanden, met oorzaak en hersteltermijn;
• incidenten en bijna-incidenten, impact, leerpunten en voortgang van acties;
• resultaten van kwetsbaarheidstests, audits, hersteltests en crisisoefeningen;
• materiële uitzonderingen en restrisico’s waarvoor een bestuurlijk besluit nodig is;
• capaciteit, budget en afhankelijkheden die uitvoering of herstel belemmeren.

Vermijd uitsluitend technische aantallen zonder duiding. ‘Honderd kwetsbaarheden’ zegt weinig zonder ernst, blootstelling, ouderdom, relatie met kritieke dienstverlening en een betrouwbare herstelprognose.

Welk bewijs maakt de zorgplicht aantoonbaar?

Aantoonbaarheid ontstaat niet door één beleidsdocument of certificaat. Zoek een samenhangend dossier waaruit blijkt dat de organisatie de risico’s kent, besluiten neemt, maatregelen uitvoert, de werking controleert en tekortkomingen herstelt.

• Richting: vastgesteld beleid, risicobereidheid, rollen, mandaten en middelen.
• Afweging: risicoanalyses, scenario’s, proportionaliteitskeuzes en besluiten over restrisico.
• Uitvoering: registraties, configuraties, contracten, opleidingsgegevens en operationele controles.
• Werking: meetresultaten, monitoring, audits, tests, oefeningen en incidentevaluaties.
• Bijsturing: verbeterplannen, eigenaars, termijnen, escalaties en aantoonbare afsluiting.
• Bestuurlijke betrokkenheid: agenda’s, stukken en notulen waaruit goedkeuring, toezicht en opvolging blijken.

Een ISO 27001-managementsysteem kan veel structuur bieden, maar het certificaat alleen toont niet aan dat iedere Cbw-verplichting voor de eigen risico’s passend is ingevuld.

Tien vragen voor bestuur en toezicht

1. Welke dienstverlening en belangen hebben bij een digitale verstoring de grootste maatschappelijke of bedrijfsmatige impact?
2. Wat zijn op dit moment onze vijf belangrijkste cyberrisico’s en wanneer is de analyse voor het laatst bijgewerkt?
3. Hoe zijn de tien wettelijke maatregelcategorieën gekoppeld aan onze risicoanalyse?
4. Welke restrisico’s zijn geaccepteerd, door wie en tot wanneer?
5. Kunnen we kritieke dienstverlening herstellen binnen de afgesproken termijn en wanneer is dat voor het laatst getest?
6. Welke leveranciers vormen een kritieke of moeilijk vervangbare afhankelijkheid?
7. Waar gebruiken we nog verouderde systemen, zwakke authenticatie of te ruime toegangsrechten?
8. Hoe weten we dat medewerkers en bestuurders voldoende zijn voorbereid op hun rol?
9. Welke onafhankelijke of objectieve toetsing ondersteunt de gerapporteerde werking?
10. Welke tekortkomingen lopen achter en wat is nodig om die verantwoord op te lossen?

Veelgestelde vragen over de NIS2-zorgplicht

Primaire bronnen

• Cyberbeveiligingswet, Staatsblad 2026, 187 — met name artikelen 21 en 24.
• Cyberbeveiligingsbesluit, Staatsblad 2026, 189 — nadere uitwerking van de zorgplicht.
• NCSC: zorgplicht onder de Cyberbeveiligingswet — praktische toelichting op de tien categorieën.
• Rijksoverheid: Cyberbeveiligingswet sinds 15 augustus 2026 van kracht.