NIS2 artikel 21(2): wat als bewijs telt

Wat artikel 21 werkelijk vereist

Artikel 21(1) van Richtlijn (EU) 2022/2555 verplicht essentiële en belangrijke entiteiten passende en evenredige technische, operationele en organisatorische maatregelen te nemen om de risico's voor de beveiliging van hun netwerk- en informatiesystemen te beheersen en de gevolgen van incidenten te voorkomen of te beperken. De maatstaf is uitdrukkelijk risicogebaseerd en volgt een alle-gevarenbenadering: evenredigheid wordt beoordeeld aan de hand van de blootstelling en omvang van de entiteit en de maatschappelijke en economische gevolgen van een ernstig incident.

Artikel 21(2) somt vervolgens tien maatregelen op waarop die voorzieningen ten minste gebaseerd moeten zijn. Die lijst is een ondergrens, geen bovengrens, en is geschreven in de taal van „beleid en procedures“ — precies waar de meeste organisaties stoppen, en precies waar beoordelingen misgaan.

Twee verdere leden veranderen het karakter van de verplichting. Artikel 21(3) breidt haar uit naar de toeleveringsketen en verlangt dat entiteiten rekening houden met kwetsbaarheden die specifiek zijn voor elke directe leverancier en met de algehele kwaliteit van de beveiligingspraktijken van hun leveranciers. Artikel 21(4) verplicht entiteiten die vaststellen dat zij niet voldoen, onverwijld de nodige corrigerende maatregelen te nemen — wat veronderstelt dat u niet-naleving überhaupt kunt opmerken.

Rond artikel 21 staat de verantwoordingsplicht die het kracht geeft. Artikel 20 maakt bestuursorganen verantwoordelijk voor het goedkeuren van de maatregelen en het toezicht op de uitvoering ervan, en aansprakelijk bij tekortkomingen. Artikel 32 geeft bevoegde autoriteiten toezichtsbevoegdheden over essentiële entiteiten, waaronder inspecties, gerichte audits en verzoeken om bewijs. Artikel 34 voorziet in administratieve geldboetes tot 10 miljoen euro of 2 % van de totale wereldwijde jaaromzet voor essentiële entiteiten, en tot 7 miljoen euro of 1,4 % voor belangrijke entiteiten — in beide gevallen het hoogste bedrag.

Officiële tekst: Directive (EU) 2022/2555

De tien maatregelen in gewone taal

Artikel 21(2) vereist dat uw maatregelen berusten op een alle-gevarenbenadering en ten minste het volgende omvatten. De letters doen ertoe: beoordelaars, interne audit en bewijsgereedschap citeren allemaal deze onderdelen, en ze verwisselen is een verrassend veelgemaakte fout.

Let vooral op (h) en (i). Cryptografie is (h); beveiliging van personeel, toegangsbeleid en beheer van bedrijfsmiddelen zijn (i). Verwijzingen die cryptografie bij (i) plaatsen komen veel voor in secundaire bronnen — en kwamen voor in ons eigen product, tot wij het corrigeerden. Als een mapping waarop u steunt dit fout heeft, erft elk rapport dat erop gebouwd is die fout.

Waarom „wij hebben beleid“ geen bewijs is

Artikel 21(2) is geformuleerd in termen van beleid en procedures, dus het is verleidelijk een ondertekende documentenset als naleving te beschouwen. In de praktijk stelt het toezicht een andere vraag: wérkte de maatregel gedurende de beoordeelde periode, en kunt u dat laten zien?

Het onderscheid is hetzelfde dat auditors al lang maken tussen opzet en werking. Een cryptografiebeleid dat TLS 1.2 of hoger voorschrijft is een maatregel in opzet. Bewijs dat elf maanden lang geen enkele dienst in uw omgeving iets zwakkers heeft onderhandeld, dat drie uitzonderingen op specifieke data zijn gedetecteerd en dat elk daarvan binnen een vastgestelde termijn is opgelost — dat is werking. Alleen het tweede overleeft een vraag als „laat maar zien“.

Uitvoeringsverordening (EU) 2024/2690 van de Commissie heeft dit aangescherpt voor een omschreven groep digitale entiteiten — DNS-dienstverleners, registers voor topleveldomeinnamen, aanbieders van cloudcomputing- en datacenterdiensten, netwerken voor contentlevering, aanbieders van beheerde diensten en beheerde beveiligingsdiensten, onlinemarktplaatsen, onlinezoekmachines, socialenetwerkplatforms en verleners van vertrouwensdiensten — door technische en methodologische eisen aan hun maatregelen op grond van artikel 21(2) vast te leggen. De bijbehorende technische implementatierichtsnoeren van ENISA, gepubliceerd in juni 2025, gaan nog verder en koppelen aan afzonderlijke eisen concrete voorbeelden van bewijs die een entiteit zou kunnen leveren.

Zelfs als uw entiteit buiten het bereik van die uitvoeringsverordening valt, zijn die voorbeelden het duidelijkste gepubliceerde signaal van hoe „toon het aan“ er wordt geacht uit te zien. Ze zijn het lezen waard als richtpunt, want ze beschrijven artefacten — inventarissen, vastleggingen, logboeken, metingen, testrapporten in de tijd — en geen documenten.

Officiële tekst: Implementing Regulation (EU) 2024/2690

Wat een beoordelaar werkelijk opvraagt

Door de bewijsvoorbeelden heen keren dezelfde drie eigenschappen terug. Ze vormen een bruikbare toets voor alles wat u wilt indienen.

Voor alles wat regelgeving raakt is een vierde eigenschap de moeite waard: de vastlegging zou moeten vermelden tegen welke versie van een regelgevingsmapping zij is opgesteld. Mappings zijn interpretaties, en interpretaties worden gecorrigeerd. Een rapport dat zijn mappingversie vastlegt, laat een beoordelaar precies zien uit welke tekst een conclusie voortkomt — en stelt u in staat toekomstige rapporten te corrigeren zonder eerdere stilzwijgend te herschrijven.

Welke maatregelen van buitenaf waarneembaar zijn

Dit is het deel dat compliancemarketing meestal overslaat. Van de tien maatregelen betreft de ruime meerderheid interne processen en organisatorische voorzieningen. Geen enkel monitoringinstrument van buitenaf — het onze inbegrepen — kan ze zien, want ze laten geen spoor na op het publieke internet.

Incidentenbehandeling (b) leeft in uw ticket- en piketsystemen. Bedrijfscontinuïteit (c) wordt aangetoond met hersteltests, niet met iets dat van buitenaf waarneembaar is. Beveiliging van de toeleveringsketen (d) is contractueel en procedureel. Beveiliging van personeel, toegangsbeleid en beheer van bedrijfsmiddelen (i) zijn per definitie intern. Multifactorauthenticatie (j) is een eigenschap van uw identiteitsleverancier, niet van uw publieke oppervlak. Risicoanalyse (a) is een activiteit die u uitvoert; een externe inventaris kan haar voeden maar niet vervangen.

Wat wel van buitenaf waarneembaar is, is smaller en concreter: de cryptografie die uw publieke diensten daadwerkelijk onderhandelen, de certificaten die ze daadwerkelijk aanbieden, de vertrouwenssignalen die uw domeinen daadwerkelijk publiceren en — in de tijd — hoe snel zwakheden daarin na detectie worden verholpen. Dat laatste is waardevoller dan het lijkt, want het is de grondstof voor een doeltreffendheidsmeting onder (f), die anders tot de moeilijkst aantoonbare maatregelen behoort.

De eerlijke claim voor elk instrument van buitenaf luidt dus: direct bewijs voor een klein aantal maatregelen, ondersteunend bewijs voor enkele andere, en niets voor de rest. Alles wat ruimer klinkt, verdient een sceptische lezing.

Wat SkyQon aantoont, precies gesteld

Het NIS2-bewijsrapport van SkyQon dekt vijf van de tien maatregelen, met het dekkingsniveau expliciet in het rapport vermeld. Deze formuleringen worden letterlijk in de ondertekende PDF opgenomen: wat u hier leest, leest een beoordelaar daar.

Direct betekent dat onze telemetrie het primaire bewijs voor die maatregel is. Ondersteunend betekent dat het één van meerdere bouwstenen is die u nodig hebt. Alleen invoer betekent dat het uw proces voedt en uitdrukkelijk niet als gedekt wordt geclaimd — het staat juist in het rapport zodat niemand een inventaris voor een risicoanalyse aanziet.

Het rapport is ondertekend door SkyQons eigen certificeringsinstantie en draagt een inhoudshash die iedereen onafhankelijk en zonder account kan verifiëren bij onze openbare verificatiedienst. Het vermeldt de versie van de mapping waartegen het is gegenereerd. En het is doorlopend geformuleerd als afgestemd op NIS2 artikel 21(2) — nooit als certificering, die SkyQon niet kan verlenen en geen enkel monitoringproduct kan verlenen.

Wat het niet aantoont

Vijf maatregelen vallen volledig buiten het rapport: incidentenbehandeling (b), bedrijfscontinuïteit (c), beveiliging van de toeleveringsketen (d), beveiliging van personeel en toegangsbeleid (i), en authenticatiemaatregelen (j). Het rapport zegt dat, in plaats van ze stilzwijgend over te slaan, want een hiaat dat een beoordelaar ontdekt is erger dan een hiaat dat u zelf hebt gemeld.

Twee andere grenzen verdienen het duidelijk genoemd te worden. Ten eerste is bewijs over uw van buitenaf bereikbare omgeving geen bewijs over uw interne netwerk; een rapport over publieke diensten is beperkt tot publieke diensten. Ten tweede ontslaat geen enkel artefact van welke leverancier dan ook u van de verplichting — artikel 20 legt goedkeuring en toezicht bij uw bestuursorgaan, en dat kan niet aan een PDF worden uitbesteed.

Een praktische volgorde

Als u vanuit beleid naar bewijs wilt komen, verspilt deze volgorde de minste moeite.

• Breng eerst de inventaris op orde. Elke latere maatregel wordt erdoor afgebakend. Breng de domeinen, subdomeinen en publieke diensten in kaart die u werkelijk exploiteert, inclusief die uit overnames en gestaakte projecten. Discussies over dekking gaan hier verloren, niet in de analyse.
• Start de klok vroeg. Bewijs van continuïteit vergt verstreken tijd en kan niet met terugwerkende kracht worden gemaakt. Een monitoringvastlegging die de week vóór uw beoordeling begint, toont zeer weinig aan; dezelfde vastlegging over het voorgaande jaar is vrijwel onweerlegbaar.
• Instrumenteer de oplossing, niet alleen de bevinding. Maatregel (e) en maatregel (f) draaien beide om de oplostijd. Als uw proces een zwak certificaat detecteert maar de oplossing in een e-mailketen leeft, hebt u een bevinding en geen bewijs. Leg detectie en oplossing vast als gedateerde gebeurtenissen.
• Geef de voorkeur aan ondertekende artefacten. Waar een vastlegging kan worden ondertekend en gehasht, onderteken haar. Bij het genereren kost het niets en het neemt later een hele categorie discussies weg.
• Map eerlijk en versioneer de mapping. Claim alleen directe dekking waar uw artefact werkelijk het primaire bewijs is. Leg vast tegen welke versie van de mapping elk rapport is opgesteld, zodat een latere correctie niet alles wat u al hebt ingediend in twijfel trekt.
• Controleer uw nationale omzetting. NIS2 bindt u via nationaal recht, en lidstaten hebben met verschillende snelheid en detaillering omgezet. De richtlijn is de referentie; uw nationale omzettingswet is de geldende tekst.

Reikwijdte, termijnen en de meldplicht

NIS2 geldt voor essentiële en belangrijke entiteiten in de sectoren van bijlagen I en II, doorgaans vanaf middelgrote omvang, waarbij verschillende categorieën ongeacht hun omvang onder de richtlijn vallen. De indeling doet ertoe: zij bepaalt zowel het toezichtsregime als het boeteplafond. De omzettingstermijn voor lidstaten liep af op 17 oktober 2024, met nationale maatregelen die vanaf 18 oktober 2024 van toepassing zijn, al is de omzetting in een aantal lidstaten vertraagd.

Artikel 23 voegt de meldplicht toe die entiteiten het vaakst verrast, want de termijnen zijn kort: een vroegtijdige waarschuwing aan de bevoegde autoriteit of het CSIRT binnen 24 uur nadat men kennis heeft gekregen van een significant incident, een incidentmelding binnen 72 uur en een eindrapport binnen één maand. Bewijs dat uw monitoring daadwerkelijk zaken detecteert — met tijdstempels — is wat die termijnen haalbaar maakt in plaats van louter een streven.

Veelgestelde vragen