Hoe Voert U Een NIS2 Gap-analyse Uit?

De meeste organisaties doen al iets aan informatiebeveiliging. Er staat een firewall, er worden back-ups gemaakt, nieuwe medewerkers krijgen een account met beperkte rechten. Toch weet vrijwel niemand precies welk deel van de zorgplicht daarmee is afgedekt en welk deel nog openstaat.

Een NIS2 gap analyse maakt dat verschil zichtbaar. Sinds 15 augustus 2026 geldt de Cyberbeveiligingswet, de Nederlandse omzetting van de NIS2-richtlijn, voor ruim 8.000 organisaties. De gap-analyse is de nulmeting waarmee u vaststelt hoe ver u van de eisen af staat, en het is de enige manier om daarna gericht te investeren in plaats van overal een beetje.

Wat houdt een NIS2 gap analyse precies in?

De gap-analyse vergelijkt twee dingen: wat de wet van u vraagt en wat u aantoonbaar doet. Het woord aantoonbaar is daarbij het scharnierpunt. Een maatregel die in de praktijk goed werkt maar nergens is beschreven, scoort in een gap-analyse laag, omdat u hem richting de toezichthouder niet kunt bewijzen.

Het referentiekader zijn de tien maatregelen van artikel 21. Die tien gebieden vormen de rijen van uw analyse. Elk gebied splitst u uit in een paar concrete toetspunten, zodat u niet blijft steken in een oordeel over een heel domein tegelijk.

In het NIS2 stappenplan is de gap-analyse stap drie, direct na de scopebepaling. Die volgorde is bewust: zonder afgebakende scope weet u niet welke systemen en processen u eigenlijk beoordeelt.

Wanneer voert u een gap-analyse uit?

Voer de analyse uit voordat u begint met het schrijven van beleid of het aanschaffen van tooling. Wie andersom werkt, koopt oplossingen voor problemen die hij nog niet heeft gemeten.

Herhaal de analyse daarna jaarlijks, en tussentijds bij een grote verandering: een overname, een nieuw kernsysteem, een verhuizing naar de cloud of een wisseling van hoofdleverancier. Maatregel 6 van artikel 21 vraagt sowieso om periodieke beoordeling van de effectiviteit van uw maatregelen.

Wie betrekt u erbij?

Een gap-analyse die alleen door de IT-afdeling wordt ingevuld, meet alleen techniek. De zorgplicht gaat over de hele organisatie, dus haalt u de kennis op waar die zit.

• Bestuur of directie. Levert de risicobereidheid en keurt de uitkomst goed. Artikel 20 legt die verantwoordelijkheid expliciet bij het bestuur.
• IT en beheer. Weet hoe systemen werkelijk zijn ingericht, inclusief de uitzonderingen die nooit zijn opgeruimd.
• Proceseigenaren. Kennen de bedrijfskritische processen en de gevolgen van uitval.
• HR. Levert de in-, door- en uitstroomprocedures en het opleidingsregister.
• Inkoop of contractbeheer. Heeft het overzicht van leveranciers en de afspraken die met hen zijn gemaakt.
• Facilitair. Gaat over fysieke toegang tot ruimtes waar apparatuur staat.

Werk met korte interviews per rol en vraag altijd door naar bewijs. De vraag is niet of iets geregeld is, maar waar het staat en wanneer het voor het laatst is getest.

Welke scoremethodiek gebruikt u?

Gebruik een schaal die onderscheid maakt tussen bestaan, vastleggen en toetsen. Een schaal van nul tot vier werkt in de praktijk goed en is kort genoeg om consistent toe te passen.

Spreek vooraf af welk niveau uw streefwaarde is. De wet vraagt om passende en evenredige maatregelen, niet om een vier op elk gebied. Voor de meeste organisaties is niveau drie op de kritieke gebieden en niveau twee op de overige gebieden een verdedigbare ambitie, mits u die keuze onderbouwt met uw risicoanalyse.

Hoe ziet een ingevulde gap-analyse eruit?

Onderstaand voorbeeld toont hoe een deel van de analyse eruit kan zien. De kolom met het gat en de actie is de belangrijkste: daar valt of staat uw dossier bij een controle door de toezichthouder.

Hoe zet u de uitkomst om in een prioriteitenlijst?

Een lijst met gaten is nog geen plan. Prioriteer op twee assen: de omvang van het gat en het risico dat eronder ligt. Een gat van drie punten op een gebied met beperkt risico is minder urgent dan een gat van één punt op uw meest kritieke proces.

Weeg daarnaast de inspanning mee. Sommige gaten dicht u in een middag, bijvoorbeeld het vastleggen van een procedure die in de praktijk al zo werkt. Die snelle winst maakt ruimte en laat het bestuur zien dat er beweging zit in het traject.

Zet elke actie vervolgens om in een regel met vier vaste velden: wat, wie, wanneer en welk document het oplevert. Zonder eigenaar en einddatum blijft een verbeterpunt hangen. Het overzicht van benodigde stukken vindt u in het artikel over de NIS2 checklist.

Wat als u al met ISO 27001 werkt?

Dan heeft u een voorsprong. De gap-analyse verschuift dan van de vraag wat er ontbreekt naar de vraag waar de wet afwijkt van de norm. Zie NIS2 versus ISO 27001 voor de precieze verschillen.

Let vooral op de punten die de norm niet dekt: de meldtermijnen van 24 en 72 uur, de registratieplicht, en de persoonlijke rol van het bestuur. En houd in gedachten dat NIS2 geen certificering is. U kunt zich er niet voor laten certificeren, ook niet met een ISO-certificaat op zak.

Welke fouten worden het vaakst gemaakt?

De eerste is te mild scoren. Een gap-analyse die overal een drie oplevert, is prettig leesbaar en volstrekt nutteloos. Vraag bij elke score van drie of hoger om het bewijsstuk, en verlaag de score als dat er niet is.

De tweede is de analyse als eenmalig project behandelen. De uitkomst is een momentopname die veroudert zodra u iets verandert aan uw systemen of organisatie.

De derde is de scope te ruim nemen. Beoordeel niet uw hele organisatie maar de processen en systemen die uw dienstverlening dragen, zoals u die in uw scopedocument heeft afgebakend. Twijfelt u nog of u überhaupt in scope bent, lees dan eerst of u onder NIS2 valt.

Veelgestelde vragen over de NIS2 gap analyse

1. Hoe lang duurt een NIS2 gap analyse?

Voor een middelgrote organisatie is twee weken doorlooptijd realistisch. Het zwaartepunt zit in de interviews en in het opvragen van bewijsmateriaal, niet in het invullen van de tabel. Reken op een halve dag per betrokken rol, plus tijd om de uitkomsten te wegen en met het bestuur te bespreken. Een tweede ronde gaat aanzienlijk sneller.

2. Kan ik een NIS2 gap analyse zelf uitvoeren?

Ja, mits u kritisch bent op uw eigen organisatie. Het grootste risico van een interne analyse is dat u geregelde zaken te positief scoort. Werk daarom met een vaste schaal, vraag bij elke score om het bijbehorende bewijsstuk, en laat iemand van buiten de betrokken afdeling meelezen op de uitkomst.

3. Wat is het verschil tussen een gap-analyse en een risicoanalyse?

Een gap-analyse meet uw naleving: voldoet u aan de eisen van artikel 21. Een risicoanalyse meet uw blootstelling: welke dreigingen raken welke assets en met welke gevolgen. U heeft beide nodig, en in die volgorde, omdat de risicoanalyse bepaalt hoe zwaar u de gaten uit de gap-analyse moet wegen.

4. Welke documenten heb ik nodig voor de gap-analyse?

Verzamel vooraf uw bestaande beleid, procedures, netwerktekening, systeemoverzicht, leverancierscontracten, back-uprapportages, autorisatiematrix en opleidingsregistratie. Ontbreekt een document, dan is dat op zichzelf al een bevinding. Het opvragen van deze stukken levert vaak meer inzicht op dan het gesprek dat erop volgt.

5. Wat doe ik met de uitkomst van de gap-analyse?

Vertaal elk gat naar een actie met een eigenaar, een einddatum en een op te leveren document. Leg het geheel voor aan het bestuur en laat het vaststellen, want daarmee wordt het plan zelf ook bewijs dat u de zorgplicht serieus invult. Bewaar de analyse als nulmeting voor de volgende ronde.

Conclusie

Een gap-analyse kost weinig tijd en bepaalt de koers van uw hele NIS2-traject. Het is het verschil tussen gericht dichten wat openstaat en overal tegelijk beginnen zonder te weten wat het oplevert. De waarde zit niet in de score maar in de onderbouwing eronder: wie de bewijsvraag consequent stelt, weet daarna precies waar het dossier gaten heeft.

Wilt u niet vanaf nul een analysemodel bouwen, dan bevat het NIS2 compliance pakket een uitgewerkt raamwerk per maatregelgebied, inclusief de documenten die u nodig heeft om de gaten daarna te dichten. De bijbehorende NIS2 document templates sluiten één op één aan op de tien maatregelen, zodat elke bevinding meteen een bestemming heeft.