Hoe Lang Duurt Een NIS2-implementatie?

Een bestuurder wil meestal maar twee dingen weten: wat kost het, en wanneer zijn we klaar? Op de tweede vraag komt zelden een concreet antwoord, want de doorlooptijd van een NIS2-implementatie hangt af van keuzes die u aan het begin maakt.

Sinds 15 augustus 2026 geldt de Cyberbeveiligingswet, de Nederlandse omzetting van de NIS2-richtlijn. Wie nu begint, wil weten hoeveel maanden er nog nodig zijn. De NIS2 doorlooptijd implementatie laat zich wel plannen, mits u het traject opdeelt in fasen en per fase vaststelt wat af moet zijn.

Wat bepaalt de NIS2 doorlooptijd implementatie?

De wet schrijft geen implementatietermijn voor. De verplichtingen gelden gewoon, en dat betekent dat u niet kunt wachten tot alles perfect is. Het gaat erom dat u aantoonbaar bezig bent, dat u uw risico’s kent en dat u de belangrijkste maatregelen op orde heeft.

Twee factoren bepalen het tempo. De eerste is uw startpunt: heeft u al beleid, een risicoanalyse en werkende back-ups, of begint u blanco? De tweede is de beschikbaarheid van mensen. Een traject valt zelden stil door onduidelijke wetgeving, maar wel doordat een proceseigenaar drie weken geen tijd heeft voor een werksessie.

Welke fasen doorloopt u, en hoelang duurt elke fase?

De onderstaande fasering is indicatief en bedoeld als planningshulp, niet als norm. De bandbreedtes gaan uit van een organisatie die het traject serieus bemenst maar geen fulltime projectteam vrijmaakt.

Fasen 3 en 4 lopen in de praktijk door elkaar heen. Dat is ook verstandig, want documentatie zonder werkende techniek is leeg, en techniek zonder vastlegging is niet aantoonbaar. Een realistische planning voor een organisatie die vanaf nul begint, loopt daarmee over meerdere maanden. Het NIS2-stappenplan beschrijft de volgorde in detail.

Wat versnelt het traject?

Sommige organisaties zijn in een fractie van de tijd klaar, en dat komt zelden door meer budget. Het komt door een gunstig startpunt en door heldere besluitvorming.

• Een bestaand managementsysteem. Heeft u ISO 27001, dan is een groot deel van de structuur er al. Zie ISO 27001 als basis voor NIS2 voor wat u kunt hergebruiken en wat u moet aanvullen.
• Vooringevulde documentatie. Niet zelf beleid schrijven scheelt de meeste weken in fase 3.
• Eén beslisser. Een opdrachtgever die knopen doorhakt, voorkomt weken discussie over formuleringen.
• Een strakke scope. Duidelijk afgebakende systemen en processen voorkomen dat de risicoanalyse eindeloos uitdijt.
• Vaste werksessies. Een terugkerend blok in de agenda werkt beter dan losse afspraken die telkens verschuiven.

Wat vertraagt het traject?

Vertraging ontstaat bijna altijd op dezelfde plekken. Wie deze punten vooraf adresseert, wint meer tijd dan met welke tool dan ook.

• Onduidelijke scope. Zolang niet vaststaat welke onderdelen meedoen, kan geen enkele fase worden afgerond.
• Alles bij IT beleggen. Personeelsbeveiliging, inkoop en continuïteit horen bij andere eigenaren, anders blijft het werk liggen.
• Perfectionisme in documenten. Een goedgekeurd document van 80 procent is meer waard dan een concept van 100 procent.
• Wachten op een leverancier. Ketenmaatregelen vragen contractwijzigingen en die kosten kalendertijd, geen werkuren.
• Een bestuur dat pas aan het eind aanschuift. Herwerk aan het einde is de duurste vertraging die er is.

Wat doet u als de tijd krap is?

Prioriteer op risico en op wat de toezichthouder als eerste vraagt. De Rijksinspectie Digitale Infrastructuur (RDI) houdt toezicht, met sectorale toezichthouders zoals de ACM voor energie en telecom en de IGJ voor de zorg. Zij verwachten dat u weet wie u bent, wat uw risico’s zijn en hoe u incidenten meldt.

Doe daarom eerst de dingen die zonder voorbereiding niet werken. Zorg dat de registratieplicht is afgehandeld, want dat is een harde en zichtbare verplichting. Richt daarna de meldprocedure in: bij een incident heeft u 24 uur voor een vroege waarschuwing, 72 uur voor de incidentmelding en een maand voor het eindrapport. Die termijnen haalt u niet zonder afspraken die vooraf zijn vastgelegd, zoals beschreven bij de meldplicht onder NIS2.

Pak vervolgens de maatregelen op met het hoogste risico. Uw risicoanalyse geeft die volgorde. Werkt uw herstel na een ransomware-aanval niet, dan is dat belangrijker dan een sluitend beleidsdocument over cryptografie. Leg de gekozen volgorde en de onderbouwing schriftelijk vast, inclusief de planning voor wat later komt. Een gemotiveerde planning is verdedigbaar, een gat in uw dossier niet.

Wanneer bent u klaar?

NIS2 kent geen certificaat en dus ook geen moment waarop iemand verklaart dat u voldoet. Het traject eindigt met een systeem dat draait: risico’s die jaarlijks opnieuw worden beoordeeld, incidenten die worden geregistreerd en geëvalueerd, een interne audit en een directiebeoordeling waarin het bestuur de maatregelen goedkeurt.

Reken daarom op een implementatiefase met een einddatum en een beheerfase zonder einddatum. Na oplevering blijft een vast jaarritme over: herbeoordelen, testen, trainen en bijstellen. Die inspanning is aanzienlijk kleiner dan de implementatie, maar hij verdwijnt niet.

Veelgestelde vragen over de doorlooptijd van NIS2

1. Kunt u NIS2 in een paar weken regelen?

Nee. U kunt in enkele weken wel de basis leggen: scope bepalen, registreren en een meldprocedure inrichten. Een volledige implementatie met risicoanalyse, beleid, technische maatregelen en bestuurlijke goedkeuring vraagt meer tijd. Wie snelheid nodig heeft, kiest voor een gefaseerde aanpak met een onderbouwde prioritering op risico.

2. Wat moet als eerste af zijn?

Begin met de vraag of u onder de wet valt en als welk type entiteit. Regel daarna de registratie en de meldprocedure, want de meldtermijnen van 24 en 72 uur laten geen ruimte voor improvisatie. Pak vervolgens de maatregelen op met het grootste risico volgens uw eigen risicoanalyse.

3. Gaat het sneller met ISO 27001?

Ja, aanzienlijk. Een bestaand managementsysteem levert al een scope, een risicomethodiek, beleid en een auditritme. U vult dat aan met de NIS2-specifieke onderdelen: registratie, meldplicht, ketenmaatregelen en de bestuurlijke verplichtingen uit artikel 20. Dubbel werk is dan niet nodig.

4. Hoeveel mensen heeft u nodig?

Minimaal een projecttrekker met mandaat, een IT-verantwoordelijke en de eigenaren van de betrokken processen. Het aantal is minder bepalend dan de beschikbaarheid. Twee mensen met vaste tijd in de agenda komen verder dan tien mensen die alleen incidenteel kunnen aanschuiven.

5. Loopt het traject door na oplevering?

Ja. NIS2 vraagt dat u de effectiviteit van uw maatregelen beoordeelt, dus er komt een jaarlijkse cyclus terug van risicobeoordeling, interne audit, training en directiebeoordeling. Documenten die niet meer kloppen met de praktijk werken bovendien tegen u bij toezicht, dus onderhoud is geen luxe.

Conclusie

De doorlooptijd van een NIS2-implementatie bepaalt u vooral zelf. Splits het traject in fasen, geef elke fase een resultaat en een eigenaar, en accepteer dat fase 3 en 4 parallel lopen. Reken op een implementatieperiode van meerdere maanden wanneer u zonder bestaand managementsysteem begint, en op een kortere route wanneer u kunt voortbouwen op wat er al ligt.

Is uw tijd krap, prioriteer dan op risico en leg uw keuzes vast. Wilt u de documentatiefase inkorten, dan helpt het NIS2 compliance pakket met vooringevulde documenten, terwijl de digitale Coach u door de fasen leidt en bewaakt dat u niets overslaat. Wat de aanpak in geld betekent, leest u in het artikel over de kosten van een NIS2-implementatie.