NIS2 Checklist: Bent U Klaar Voor De Cyberbeveiligingswet?

De meeste organisaties weten inmiddels dat er nieuwe cyberwetgeving aankomt. Wat ze vaak niet weten, is welk bewijs een toezichthouder straks wil zien. Een goed gevoel over de beveiliging telt niet. Een gedateerd document met een handtekening wel.

Deze NIS2 checklist loopt in vier blokken langs alles wat u moet regelen voor de Cyberbeveiligingswet, die vanaf 15 augustus 2026 geldt voor ruim 8.000 organisaties in Nederland. Bij elk controlepunt staat het bewijsstuk dat erbij hoort, want NIS2 is geen certificering: u toont naleving aan met documenten en registraties.

Wat staat er in een NIS2 checklist?

Werk de blokken in volgorde af. Zonder een vastgestelde scope weet u niet welke systemen u moet beveiligen, en zonder zorgplicht heeft uw meldprocedure geen basis. Vink een punt pas af als het bewijsstuk bestaat, een datum heeft en vindbaar is.

Blok 1: bepaal uw scope

Dit blok bepaalt of en hoe zwaar de wet op u van toepassing is. De uitkomst legt u schriftelijk vast, inclusief onderbouwing, zodat u die later kunt laten zien.

Twijfelt u bij de eerste twee punten, gebruik dan de toets in het artikel val ik onder NIS2, waarin ook de sectorindeling staat. Het verschil tussen de twee categorieën staat uitgelegd bij essentiële of belangrijke entiteit.

Blok 2: richt de zorgplicht in

De zorgplicht is uitgewerkt in artikel 21 met tien maatregelgebieden. Uw maatregelen moeten passend zijn bij uw omvang en risico, maar elk gebied moet aantoonbaar zijn belegd. De onderstaande tabel volgt de tien gebieden.

Een uitgebreide toelichting per gebied vindt u in het artikel over de tien maatregelen van artikel 21.

Blok 3: regel de meldplicht

De meldplicht is de verplichting die onder tijdsdruk staat. Als er een significant incident is, heeft u geen tijd meer om uit te zoeken wie waar moet melden. Dat regelt u vooraf.

De precieze werking van de drie termijnen staat in het artikel over de meldtermijnen van 24 en 72 uur. De samenloop met de privacywetgeving leest u bij NIS2 en de AVG.

Blok 4: registratieplicht en bestuur

Het laatste blok wordt het vaakst vergeten, terwijl het de minste inspanning kost. Registratie is administratief en bestuurlijke betrokkenheid is een kwestie van agenderen en vastleggen.

Over dat laatste punt bestaat de meeste onduidelijkheid. Wat er precies van bestuurders wordt verwacht, staat in het artikel over training en cyberkennis voor het bestuur. Wat u moet aanleveren bij registratie leest u bij de registratieplicht.

In welke volgorde pakt u dit aan?

Begin niet bij de techniek. Begin bij de vraag waarvoor u verantwoordelijk bent, want dat bepaalt de rest.

1. Scope vaststellen. Bepaal sector, omvang en categorie, en laat het bestuur die conclusie vaststellen.
2. Nulmeting doen. Loop de tien maatregelgebieden langs en noteer per gebied wat er al is en wat ontbreekt.
3. Documentatie op orde brengen. Stel beleid, procedures en registers vast, met datum en eigenaar.
4. Meldketen oefenen. Test of u binnen 24 uur een melding rond krijgt, ook in het weekend.
5. Bestuur betrekken. Laat maatregelen goedkeuren, plan rapportage in en regel de scholing.
6. Registratie voorbereiden. Zet de gevraagde gegevens klaar zodat u direct kunt registreren.

Wilt u deze stappen begeleid doorlopen, dan neemt de digitale Coach u er in vaste stappen doorheen. De bijbehorende documenten staan klaar in de NIS2 document templates, zodat u niet vanaf nul hoeft te schrijven.

Veelgestelde vragen over de NIS2 checklist

1. Hoe weet ik of ik onder NIS2 val?

U valt onder de Cyberbeveiligingswet als uw organisatie actief is in een aangewezen sector en voldoende groot is. De drempel ligt bij middelgrote omvang: vanaf 50 medewerkers, of een jaaromzet en balanstotaal boven 10 miljoen euro. Leg sector, omvang en conclusie schriftelijk vast met onderbouwing.

2. Welk bewijs moet ik kunnen laten zien?

Documenten en registraties met een datum. Denk aan een risicoanalyse, vastgesteld beleid, een incidentprocedure, een leveranciersregister, testverslagen, trainingsdeelname en bestuursbesluiten. NIS2 kent geen certificering, dus uw dossier is het bewijs dat maatregelen bestaan en daadwerkelijk worden uitgevoerd.

3. Wat gebeurt er als ik niet voldoe?

De toezichthouder kan handhaven en boetes opleggen. Voor essentiële entiteiten geldt maximaal 10 miljoen euro of 2 procent van de wereldwijde jaaromzet, waarbij het hoogste bedrag telt. Voor belangrijke entiteiten is dat maximaal 7 miljoen euro of 1,4 procent. Bij essentiële entiteiten kan een bestuurder tijdelijk worden geschorst.

4. Hoe lang duurt het om aan NIS2 te voldoen?

Dat hangt af van uw startpunt. Organisaties met een bestaand managementsysteem hoeven vooral aan te vullen en aan te tonen. Organisaties die nog niets hebben vastgelegd, moeten beleid, procedures en registers opbouwen en die ook laten werken. Begin bij de scope en de nulmeting.

5. Volstaat een ISO 27001-certificaat voor NIS2?

Nee. Een ISO 27001-certificaat is geen bewijs van naleving van de Cyberbeveiligingswet, want NIS2 kent geen certificering. Wel biedt het een sterke basis, omdat veel maatregelen overlappen. U vult dan aan op punten als meldtermijnen, registratie en de aantoonbare rol van het bestuur.

Conclusie

Een checklist werkt alleen als u hem afvinkt op bewijs en niet op gevoel. De vraag is telkens niet of u iets doet, maar of u het kunt laten zien: met een document, een datum en een verantwoordelijke. Dat onderscheid bepaalt hoe een gesprek met de toezichthouder verloopt.

Loop de vier blokken door en noteer per punt waar het bewijs staat. Ontbreekt er veel, begin dan met scope en documentatie in plaats van met techniek. Het NIS2 compliance pakket bundelt de documenten, de stappen en de begeleiding die u daarvoor nodig heeft, zodat u ruim voor 15 augustus 2026 aantoonbaar op orde bent.