Hoe Bereidt U Zich Voor Op Een NIS2-audit?

Een toezichthouder die aanklopt, vraagt niet of u zich veilig voelt. Die vraagt om stukken. Een risicoanalyse met een datum, een goedkeuringsbesluit van het bestuur, een incidentregister en het bewijs dat uw back-up ooit is teruggezet.

Sinds 15 augustus 2026 geldt de Cyberbeveiligingswet en houdt de Rijksinspectie Digitale Infrastructuur (RDI) toezicht, met sectorale toezichthouders zoals de ACM voor energie en telecom en de IGJ voor de zorg. Wie zich op een NIS2-audit voorbereiden wil, begint daarom niet bij techniek maar bij het dossier.

Hoe bereidt u zich voor op een NIS2-audit?

Belangrijk om te weten: NIS2 kent geen certificering. Er komt geen certificerende instelling die u een certificaat verstrekt. Wat er wel is, is toezicht door de RDI of een sectorale toezichthouder, en een interne audit die u zelf organiseert om de effectiviteit van uw maatregelen te beoordelen.

Dat verschil bepaalt uw voorbereiding. U werkt niet toe naar één examenmoment, maar naar een dossier dat op elk moment houdbaar is. De vraag die u moet kunnen beantwoorden, is steeds dezelfde: waar blijkt dat uit?

Wat is het verschil tussen proactief en reactief toezicht?

Het type entiteit bepaalt hoe waarschijnlijk het is dat u bezoek krijgt. Essentiële entiteiten (doorgaans vanaf 250 medewerkers of meer dan 50 miljoen euro omzet) vallen onder proactief toezicht. De toezichthouder kan bij hen uit eigen beweging controleren, zonder dat er een incident is geweest.

Belangrijke entiteiten (doorgaans 50 tot 250 medewerkers) vallen onder reactief toezicht. Daar treedt de toezichthouder op na een incident, een melding of een signaal. Dat is geen vrijbrief, want zodra er iets gebeurt, wordt het hele dossier bekeken. Weet daarom zeker of u essentiële of belangrijke entiteit bent, want dat bepaalt uw urgentie.

De sanctiekant verschilt eveneens. Voor essentiële entiteiten geldt een boete tot 10 miljoen euro of 2 procent van de wereldwijde jaaromzet, waarbij het hoogste bedrag geldt. Voor belangrijke entiteiten is dat 7 miljoen euro of 1,4 procent. Bij essentiële entiteiten kan een bestuurder daarnaast tijdelijk uit een leidinggevende functie worden geschorst.

Hoe voert u zelf een interne audit uit?

Een interne audit is de goedkoopste manier om te ontdekken wat er ontbreekt. Houd het praktisch en werk in een vaste volgorde.

1. Bepaal de scope. Welke processen, systemen en locaties beoordeelt u, en over welke periode.
2. Kies een norm om tegen te toetsen. Gebruik de tien maatregelgebieden van artikel 21 plus de meld- en registratieplicht als toetsingskader.
3. Verzamel het bewijs vooraf. Vraag per onderwerp om documenten en registraties, niet om meningen.
4. Toets steekproefsgewijs. Kies enkele concrete gevallen: één incident, één nieuwe medewerker, één leverancierscontract, één hersteltest.
5. Leg bevindingen vast. Beschrijf per bevinding wat u vaststelde, welk bewijs ontbrak en welke eis het raakt.
6. Zet bevindingen om in acties. Met een eigenaar, een datum en een controle achteraf of de actie effect had.

Laat de audit uitvoeren door iemand die het onderwerp niet zelf heeft ingericht. Dat hoeft geen externe partij te zijn, maar wel iemand met voldoende afstand. In het artikel over zelf doen of een consultant inhuren staat wanneer externe onafhankelijkheid loont.

Welke bewijsstukken worden het vaakst gevraagd?

De onderstaande tabel koppelt de onderwerpen uit de wet aan de stukken waarmee u ze aantoont. Gebruik hem naast de NIS2-checklist als inhoudsopgave van uw dossier.

Waar gaat het in de praktijk mis?

De meeste tekortkomingen ontstaan niet doordat een maatregel ontbreekt, maar doordat niemand kan laten zien dat hij werkt. Let op deze punten.

• Documenten zonder datum of goedkeuring. Een beleidsstuk zonder vaststelling is een concept, geen bewijs.
• Een risicoanalyse van jaren geleden. Zonder herbeoordeling sluit die niet meer aan op uw huidige omgeving.
• Back-ups die nooit zijn teruggezet. Een back-upschema is geen bewijs van herstelvermogen, een testverslag wel.
• Trainingen zonder registratie. Wat niet is vastgelegd, telt niet mee, ook niet voor het bestuur.
• Losse maatregelen zonder samenhang. Koppel elke maatregel aan het risico dat hij afdekt, zoals de tien maatregelen van artikel 21 voorschrijven.

Wat doet u tijdens en na een controle?

Wijs vooraf één aanspreekpunt aan dat het dossier kent en de contacten met de toezichthouder coördineert. Antwoord feitelijk en verwijs naar documenten in plaats van naar herinneringen. Weet u iets niet, zeg dat en lever het na binnen de afgesproken termijn.

Krijgt u bevindingen, behandel die dan net als bevindingen uit uw eigen interne audit. Leg per punt vast wat de oorzaak is, welke maatregel u neemt, wie eigenaar is en wanneer het klaar is. Toon daarna aan dat de maatregel effect heeft gehad. Die laatste stap wordt het vaakst vergeten en is juist het bewijs dat uw systeem werkt. Meer over de rol en bevoegdheden van de toezichthouder leest u bij de RDI als NIS2-toezichthouder.

Veelgestelde vragen over de NIS2-audit

1. Is een NIS2-audit verplicht?

Er is geen verplichte externe auditcyclus zoals bij certificering. Wel vraagt artikel 21 dat u de effectiviteit van uw maatregelen beoordeelt, en dat doet u met een interne audit. Daarnaast kan de toezichthouder controleren: proactief bij essentiële entiteiten en reactief bij belangrijke entiteiten.

2. Wie mag de interne audit uitvoeren?

Iedereen die voldoende afstand heeft tot het beoordeelde onderwerp en de eisen begrijpt. Dat mag een eigen medewerker zijn uit een andere afdeling. Beoordeel niet uw eigen werk, want dan verliest de audit zijn waarde als bewijs van onafhankelijke toetsing.

3. Hoe vaak moet u een interne audit doen?

De wet noemt geen frequentie. Een jaarlijkse cyclus is gangbaar en goed verdedigbaar, aangevuld met een extra beoordeling na een groot incident of een ingrijpende verandering in uw systemen, organisatie of leveranciers. Leg de gekozen frequentie en de onderbouwing vast.

4. Krijgt u een NIS2-certificaat als alles klopt?

Nee. NIS2 kent geen certificaat en geen keurmerk. U toont naleving aan met uw documentatie en registraties. Een ISO 27001-certificaat is geen NIS2-bewijs op zichzelf, maar het levert wel een groot deel van de onderbouwing en het auditritme dat u toch al nodig heeft.

5. Wat als u nog niet alles op orde heeft?

Wees eerlijk en laat zien dat u stuurt. Een gedocumenteerde gap-analyse, een geprioriteerd verbeterplan met eigenaren en datums, en zichtbare voortgang wegen zwaarder dan een dossier dat volledigheid suggereert maar niet klopt. Onjuiste stukken schaden uw positie meer dan een erkende achterstand.

Conclusie

Voorbereiden op een NIS2-audit is dossiervorming plus zelfonderzoek. Leg per verplichting vast wat u doet, laat zien dat het bestuur het heeft goedgekeurd en bewaar de registraties die aantonen dat maatregelen daadwerkelijk werken. Voer daarna zelf de audit uit die u van een toezichthouder verwacht, zodat u de gaten als eerste ziet.

Wie met een complete documentatiestructuur werkt, is hier aanzienlijk minder tijd aan kwijt. Het NIS2 compliance pakket bevat naast beleid en procedures ook de auditchecklists, registers en formulieren waarmee u bewijs verzamelt, en de digitale Coach houdt bij welke onderdelen nog aandacht vragen.