Hoe Toont U NIS2-compliance Aantoonbaar Aan?

Veel organisaties zoeken na de invoering van de Cyberbeveiligingswet naar een NIS2-certificaat om aan klanten en toezichthouders te laten zien dat zij voldoen. Dat certificaat bestaat niet, en het komt er ook niet.

Sinds 15 augustus 2026 geldt de Cyberbeveiligingswet, de Nederlandse omzetting van NIS2. Voor ruim 8.000 organisaties betekent dat: NIS2 compliance aantonen doet u zelf, met documenten en registraties uit uw eigen organisatie. Wat er niet ligt op het moment dat ernaar wordt gevraagd, bestaat niet.

Hoe kunt u NIS2 compliance aantonen zonder certificaat?

NIS2 werkt met een zorgplicht. De wet schrijft geen vaste set producten voor, maar eist maatregelen die passen bij uw risico’s, en het vermogen om dat te onderbouwen. Daarmee verschuift de bewijslast naar uw eigen dossier.

In de praktijk komt het neer op drie vragen die u per onderwerp moet kunnen beantwoorden. Wat heeft u besloten? Waarom heeft u dat zo besloten? En waaruit blijkt dat het ook echt gebeurt? Beleid beantwoordt de eerste vraag, de risicoanalyse de tweede, en registraties beantwoorden de derde. Dat laatste wordt het vaakst vergeten.

Welk bewijsmiddel hoort bij welke verplichting?

De drie verplichtingen van NIS2 zijn de zorgplicht, de meldplicht en de registratieplicht. De tabel koppelt de onderdelen daarvan aan het bewijs waarmee u ze onderbouwt.

Wanneer telt een document als bewijs?

Een document dat niemand heeft vastgesteld, is een concept. Bij toezicht heeft dat weinig waarde. Zorg dat elk document in uw dossier de volgende kenmerken heeft.

• Een eigenaar. Een functie die verantwoordelijk is voor de inhoud en de actualiteit.
• Een versienummer en wijzigingshistorie. Zodat zichtbaar is wat wanneer en waarom is veranderd.
• Een goedkeuring met datum. Door de persoon of het orgaan dat daartoe bevoegd is.
• Een herzieningstermijn. Een datum waarop het document opnieuw wordt beoordeeld.
• Vindbaarheid. Eén vaste plek waar de geldende versie staat, zodat niemand met een oude kopie werkt.
• Koppeling aan een risico of eis. Zodat duidelijk is waarom het document bestaat.

Registraties vragen om dezelfde discipline. Een incidentregister zonder tijdstippen zegt niets over uw meldtermijnen, en een deelnamelijst zonder datum zegt niets over de actualiteit van uw training. Welke stukken u minimaal nodig heeft, staat in het overzicht van NIS2-documenten.

Welke rol speelt het bestuur in de bewijsvoering?

Artikel 20 maakt het bestuur verantwoordelijk. Het bestuur keurt de maatregelen goed, houdt toezicht op de uitvoering en volgt aantoonbaar scholing over cyberrisico’s. Dat zijn drie afzonderlijke bewijsmiddelen, en ze worden alle drie regelmatig gemist.

Leg de goedkeuring vast in een besluit of in notulen waarin staat wat is goedgekeurd en op welke datum. Leg het toezicht vast door NIS2 periodiek op de bestuursagenda te zetten en de bespreking te notuleren. Leg de scholing vast met datum, inhoud en deelnemers. Bij essentiële entiteiten kan een bestuurder tijdelijk uit een leidinggevende functie worden geschorst, zoals beschreven bij de bestuurdersaansprakelijkheid onder NIS2.

Hoe houdt u uw bewijs actueel?

Verouderd bewijs is soms slechter dan geen bewijs, want het laat zien dat het systeem niet meer wordt onderhouden. Werk daarom met een vast jaarritme in plaats van met een grote opschoonactie achteraf.

Beoordeel jaarlijks de risicoanalyse opnieuw en actualiseer het risicoregister. Herzie het beleid volgens de vastgelegde termijn, ook wanneer er niets verandert, en leg vast dat u het heeft beoordeeld. Test uw herstelprocedure en bewaar het verslag. Beoordeel de rechten in uw systemen en documenteer de uitkomst. Voer een interne audit uit en leg vast wat u met de bevindingen heeft gedaan, zoals beschreven in het artikel over het voorbereiden van een NIS2-audit.

Belangrijke gebeurtenissen vragen daarnaast om een tussentijdse actualisatie: een groot incident, een reorganisatie, een nieuwe kritieke leverancier of een ingrijpende systeemwijziging. Verwerk die in uw analyse en documenten, en niet pas bij de volgende jaarcyclus.

Kan een ISO 27001-certificaat uw NIS2-bewijs zijn?

Niet als vervanging, wel als groot deel van de onderbouwing. ISO 27001 levert een managementsysteem met scope, risicomethodiek, beleid, interne audits en directiebeoordelingen. Dat dekt een aanzienlijk deel van wat NIS2 aan aantoonbaarheid vraagt.

Aanvullen moet u de NIS2-specifieke onderdelen: de registratie, de meldprocedure met de termijnen van 24 uur, 72 uur en een maand, de ketenmaatregelen en de bestuurlijke verplichtingen uit artikel 20. Het verschil tussen beide kaders staat uitgewerkt bij NIS2 versus ISO 27001. Werkt u al met een ISO 27001 managementsysteem, dan bouwt u daar het NIS2-bewijs bovenop in plaats van naast.

Veelgestelde vragen over het aantonen van NIS2-compliance

1. Bestaat er een NIS2-certificaat?

Nee. NIS2 en de Cyberbeveiligingswet kennen geen certificering en geen keurmerk. Aanbieders die een NIS2-certificaat beloven, verkopen iets wat wettelijk niet bestaat. U toont naleving aan met uw eigen documentatie, registraties en een onafhankelijke beoordeling van de effectiviteit van uw maatregelen.

2. Hoe bewijst u dat u aan de meldplicht voldoet?

Met een vastgestelde meldprocedure en een meldlogboek waarin per incident staat wanneer het is vastgesteld, wanneer de vroege waarschuwing binnen 24 uur is verstuurd, wanneer de melding binnen 72 uur volgde en wanneer het eindrapport binnen een maand is ingediend bij het CSIRT en de toezichthouder.

3. Wat vraagt een klant die naar uw NIS2-status vraagt?

Meestal een verklaring over uw entiteitstype, een samenvatting van uw maatregelen en de bevestiging dat uw bestuur die heeft goedgekeurd. Steeds vaker vragen klanten ook contractuele beveiligingsafspraken, omdat zij hun eigen keten moeten beheersen. Een beknopt overzichtsdocument uit uw dossier volstaat vaak.

4. Hoelang bewaart u uw bewijsmateriaal?

De wet noemt geen vaste bewaartermijn. Houd in elk geval de historie aan van meerdere jaren voor risicoanalyses, beleidsversies, incidenten, meldingen en auditrapporten. Zo kunt u een ontwikkeling laten zien in plaats van een momentopname, en dat is precies wat bij toezicht overtuigt.

5. Is documentatie zonder werkende maatregelen genoeg?

Nee, en dat is het grootste risico van een papieren aanpak. Documentatie zonder uitvoering is misleidend en werkt bij een incident tegen u. Registraties vormen de brug: zij laten zien dat wat op papier staat, ook daadwerkelijk wordt uitgevoerd, getest en beoordeeld.

Conclusie

NIS2 compliance aantonen draait om één principe: er is geen certificaat, dus uw dossier is uw bewijs. Koppel elke verplichting aan een concreet bewijsmiddel, zorg dat elk document een eigenaar, een versie en een goedkeuring heeft, en bewaar de registraties die laten zien dat maatregelen daadwerkelijk werken.

Het bestuur speelt daarin een eigen rol die u niet kunt uitbesteden: goedkeuren, toezicht houden en aantoonbaar scholing volgen. Wilt u die bewijslast gestructureerd opbouwen, dan levert het NIS2 compliance pakket de complete set beleid, procedures en registers, waaronder de 176 NIS2 document templates met versiebeheer en goedkeuringsvelden die u alleen nog hoeft in te vullen.