NIS2 certificering bestaat niet – zo toon je compliance aan

Veel organisaties denken dat ze een NIS2-certificaat moeten behalen. Dit is begrijpelijk, maar onjuist. De NIS2-richtlijn is namelijk geen certificering zoals ISO 27001, maar een verplichte Europese wetgeving voor cybersecurity. De verwarring ontstaat doordat normen zoals ISO wél gecertificeerd kunnen worden.

NIS2 heeft als doel cybersecurity in Europa te versterken. Lidstaten verwerken deze richtlijn in hun nationale wetgeving. Dit betekent dat organisaties verplicht bepaalde eisen moeten naleven zonder dat er een officieel certificaat bestaat.

Vergelijk het met verkeersregels: je ontvangt geen certificaat omdat je netjes rijdt, maar je moet wel kunnen bewijzen dat je de regels volgt als je gecontroleerd wordt. Voor NIS2 geldt hetzelfde: aantoonbaarheid is belangrijk, een officieel certificaat bestaat niet.

Waarom aantoonbare NIS2-naleving belangrijk is

Enkel cybersecurity-maatregelen invoeren is onvoldoende. Het is essentieel om aantoonbaar te maken dat jouw organisatie voldoet aan de NIS2-eisen. Dit betekent:

• Het bijhouden van documentatie zoals risicorapporten en beleidsstukken.
• Duidelijke verslaglegging van genomen maatregelen.

Autoriteiten controleren steeds vaker op naleving. Bij gebrekkige bewijsvoering volgen forse boetes, tot wel 10 miljoen euro of 2% van de wereldwijde omzet. Ook bestuurders kunnen persoonlijk aansprakelijk worden gesteld bij nalatigheid.

Door heldere documentatie te voeren, voorkom je vervelende verrassingen tijdens audits. Dit maakt aantoonbare compliance minstens zo belangrijk als de maatregelen zelf.

Gebruik bestaande security-standaarden als basis voor NIS2

Hoewel NIS2 geen eigen certificering biedt, kun je bestaande certificeringen inzetten om aantoonbaarheid te versterken. Vooral ISO 27001 certificering is hiervoor geschikt. Deze standaard voldoet aan circa 70% van de NIS2-eisen en biedt dus een sterke basis.

Organisaties met ISO 27001-certificering hebben direct een voorsprong. Maar let op: NIS2 vraagt ook aanvullende maatregelen, zoals:

• Snelle melding van incidenten binnen 24 uur.
• Duidelijke verantwoordelijkheid bij het bestuur.

Zie ISO 27001 als een fundament waarop je verder bouwt om volledig NIS2-compliant te zijn. Dit biedt extra zekerheid tijdens audits.

Betrek het bestuur – trainingscertificaten als bewijs

Een belangrijk onderdeel van NIS2 is dat bestuurders actief betrokken moeten zijn bij cybersecurity. Het is niet meer voldoende dat bestuurders alleen een handtekening zetten onder plannen. Ze moeten duidelijk kunnen aantonen dat ze weten wat cyberrisico’s zijn en hoe ermee om te gaan.

Dit kan eenvoudig worden bereikt door gerichte trainingen zoals een speciale NIS2 Boardroom Training. Het volgen van deze trainingen levert certificaten op die waardevolle bewijsstukken zijn tijdens audits en controles.

Bestuur actief betrekken levert twee voordelen op:

• Het toont toezichthouders dat cybersecurity serieus genomen wordt.
• Het zorgt voor betere besluitvorming binnen de organisatie.

Op deze manier ontstaat een cultuur waarin cybersecurity een gedeelde verantwoordelijkheid wordt en niet uitsluitend bij IT ligt.

Stappenplan voor NIS2-compliance (van gap-analyse tot audit)

Compliance start altijd met duidelijkheid. Het volgende stappenplan helpt bij een gestructureerde aanpak:

1. Gap-analyse
   Breng in kaart waar je organisatie al voldoet aan de NIS2-eisen en waar verbeterpunten liggen.
2. Aanpassen beleid en ISMS
   Zorg dat het informatiebeveiligingssysteem duidelijk aansluit bij de eisen van NIS2.
3. Inrichten maatregelen en documentatie
   Leg alle maatregelen, risicoanalyses, beleidsstukken en trainingscertificaten goed vast.
4. Betrek verschillende afdelingen
   Verdeel verantwoordelijkheden helder binnen IT, Legal, Compliance en bestuur.
5. Auditvoorbereiding
   Zorg ervoor dat alle bewijsstukken netjes georganiseerd en actueel zijn, zodat je klaar bent voor controles.

Zie dit stappenplan als een routekaart die duidelijk maakt waar je staat en wat je nog moet doen om NIS2-compliant te zijn.

Proactief voldoen en bewijs leveren

Compliance met NIS2 vraagt voortdurende aandacht. Proactief handelen voorkomt last-minute problemen bij audits of controles. Begin daarom nu met een interne controle of vraag een pre-audit aan. De zelfevaluatie-tool van de Rijksoverheid is hiervoor een nuttig hulpmiddel.

Wil je zeker zijn dat jouw organisatie voldoet aan de NIS2-richtlijn? Onze specialisten ondersteunen je graag met een eerste check om ervoor te zorgen dat jouw cybersecurity goed op orde is.