Welke Documenten Heeft U Nodig Voor NIS2?

Een toezichthouder die uw organisatie bezoekt, kijkt niet mee in uw firewall en loopt niet langs uw serverruimte. Hij vraagt om stukken. Welk beleid geldt er, wie heeft het goedgekeurd, wanneer is de back-up voor het laatst hersteld en waar staat de registratie van dat incident van vorig kwartaal.

Daarmee is de vraag welke NIS2 documenten u nodig heeft geen administratieve bijzaak. Sinds 15 augustus 2026 geldt de Cyberbeveiligingswet voor ruim 8.000 organisaties in Nederland, en documentatie is het enige middel waarmee u aantoont dat u de zorgplicht invult.

Waarom is documentatie het enige bewijsmiddel richting de toezichthouder?

De Cyberbeveiligingswet vraagt om passende en evenredige maatregelen. Dat is een open norm, en bij een open norm draait toezicht altijd om onderbouwing. De Rijksinspectie Digitale Infrastructuur beoordeelt niet of uw beveiliging perfect is, maar of u kunt laten zien dat u bewust en systematisch keuzes heeft gemaakt.

Die onderbouwing bestaat uit documenten. Een maatregel die wel werkt maar nergens is vastgelegd, kunt u niet bewijzen. Erger nog: u kunt niet aantonen dat hij er gisteren ook al was, en dat is precies wat een onderzoek na een incident wil weten.

Voor essentiële entiteiten weegt dit zwaarder, omdat zij onder proactief toezicht vallen en dus ook zonder incident om stukken kan worden gevraagd. Belangrijke entiteiten krijgen reactief toezicht, maar dan wel op het slechtst denkbare moment: als er net iets is misgegaan.

Welke vier typen documenten onderscheidt u?

Het helpt om per document te weten welke rol het speelt. Een register is geen beleid en een formulier vervangt geen procedure.

• Beleid. Legt vast wat u wilt en welke regels gelden. Wordt vastgesteld door het bestuur of door een beleidseigenaar en verandert zelden.
• Procedure. Beschrijft stap voor stap hoe iets wordt uitgevoerd en door wie. Verandert mee met systemen en processen.
• Register. Een doorlopende lijst die de actuele stand toont, bijvoorbeeld van risico’s, leveranciers of incidenten. Dit is uw belangrijkste bewijsmateriaal.
• Formulier. Een vast sjabloon waarmee u een gebeurtenis of beoordeling eenduidig vastlegt.

Het opstellen van dat geheel is stap vijf en zes in het NIS2 stappenplan. Welke stukken u werkelijk mist, blijkt uit uw gap-analyse.

Welke documenten hoort u per maatregelgebied te hebben?

Onderstaande tabel volgt de tien maatregelen van artikel 21 en voegt de bestuurlijke verplichtingen uit artikel 20 toe. Niet elke organisatie heeft elk document nodig: de omvang van uw dossier volgt uit uw risicoanalyse en uw scope.

Welke documenten worden het vaakst vergeten?

Beleid en procedures worden meestal wel geschreven. Het zijn de registers en de bewijsstukken die ontbreken, en juist daar kijkt een toezichthouder naar, omdat die laten zien dat er iets gebeurt.

De klassiekers zijn het testverslag van een herstelactie, de presentielijst van de bewustwordingstraining, het opleidingsregister van het bestuur en het leveranciersregister. Die laatste is berucht: bijna niemand heeft een volledig overzicht van partijen met toegang tot systemen, terwijl de toeleveringsketen een eigen maatregelgebied is.

Vergeet ook het goedkeuringsbesluit niet. Een notulenregel waarin staat dat het bestuur het beleid en het risicoregister heeft vastgesteld, kost twee minuten en is het bewijs dat artikel 20 is ingevuld.

Hoe houdt u het dossier beheersbaar?

Geef elk document een vaste kop met vier gegevens: eigenaar, versienummer, datum en goedkeurder. Zonder die vier is een document niet te wegen, want dan is onduidelijk of het geldt.

Werk daarnaast met één centrale plek en één documentenoverzicht waarin staat welk stuk welk maatregelgebied dekt. Dat overzicht is zelf ook een bewijsstuk, omdat het laat zien dat u de dekking bewust heeft ingericht.

Ruim tot slot op. Een dossier met drie versies van hetzelfde beleid roept de vraag op welke geldt, en dat is precies de vraag die u niet wilt krijgen. Bewaar historie in een archief, niet in de werkmap.

Wat als u al ISO 27001-documentatie heeft?

Dan is uw dossier grotendeels op orde. Een managementsysteem voor informatiebeveiliging levert het beleid, de risicoanalyse, de continuïteitsstukken en de auditcyclus. Zie ISO 27001 als basis voor NIS2 voor de overlap.

Aanvullen doet u op drie punten: de meldstukken die horen bij de termijnen van 24 en 72 uur, het bewijs van de registratieplicht en de vastlegging van de bestuurlijke rol. Bedenk daarbij dat NIS2 geen certificering is. U kunt zich er niet voor laten certificeren, hoe compleet uw documentatie ook is.

Veelgestelde vragen over NIS2 documenten

1. Welke documenten zijn verplicht voor NIS2?

De Cyberbeveiligingswet noemt geen limitatieve documentenlijst. Wat verplicht is, is dat u uw maatregelen kunt aantonen. In de praktijk betekent dat per maatregelgebied uit artikel 21 minimaal beleid, een procedure en een register of bewijsstuk, aangevuld met het goedkeuringsbesluit van het bestuur en uw registratiegegevens.

2. Hoe lang moet ik NIS2-documentatie bewaren?

De wet noemt geen vaste bewaartermijn. Een werkbare lijn is dat u de actuele versie altijd beschikbaar houdt en oude versies archiveert, zodat u kunt aantonen wat op een bepaald moment gold. Voor incidentdossiers is een langere bewaartermijn verstandig, omdat toezicht en aansprakelijkheid daar jaren later nog op kunnen terugvallen.

3. Mag ik sjablonen gebruiken voor NIS2-documenten?

Ja, en dat is meestal verstandig. Een sjabloon geeft u de structuur die de maatregelgebieden dekt, zodat u geen onderwerpen mist. De voorwaarde is dat u het invult met uw eigen situatie. Een beleid dat niet klopt met de praktijk is voor een toezichthouder ernstiger dan een beleid dat ontbreekt.

4. Wie is verantwoordelijk voor het bijhouden van de documentatie?

Wijs per document een eigenaar aan, meestal de functionaris die het onderwerp uitvoert. De coördinatie ligt vaak bij een security officer of kwaliteitsmanager. De eindverantwoordelijkheid blijft bij het bestuur, dat de maatregelen goedkeurt en toezicht houdt op de uitvoering.

5. Moet ik alle documenten aan de toezichthouder overleggen?

Niet standaard. De toezichthouder kan stukken opvragen, gericht of breed, en dat gebeurt bij essentiële entiteiten ook zonder aanleiding. Zorg dat uw dossier op elk moment compleet en actueel is, zodat u binnen een korte termijn kunt leveren zonder eerst maanden aan reconstructie te besteden.

Conclusie

Documentatie is voor NIS2 geen sluitstuk maar het bewijsmiddel zelf. Wie zijn beleid, procedures en registers op orde heeft, kan bij een controle laten zien dat de maatregelen bestaan, werken en worden beoordeeld. Wie dat niet heeft, staat met lege handen, hoe goed de techniek ook is ingericht.

De snelste route naar een compleet dossier is niet zelf schrijven maar invullen. De 176 NIS2 document templates dekken alle maatregelgebieden uit bovenstaande tabel, en het NIS2 compliance pakket voegt daar de structuur en begeleiding aan toe. Weet u nog niet welke stukken u mist, begin dan met het opstellen van uw beveiligingsbeleid, want dat document verankert de rest.