Wat Vraagt NIS2 Over Toegangsbeveiliging En MFA?

Een oud-medewerker die twee jaar geleden vertrok, blijkt nog steeds toegang te hebben tot het klantsysteem. Een stagiair heeft beheerrechten gekregen omdat dat sneller was. En het beheeraccount van de boekhoudsoftware wordt gedeeld door vier mensen met hetzelfde wachtwoord. Deze drie situaties komen vaker voor dan bestuurders denken, en ze zijn alle drie een direct probleem onder de nieuwe wet.

Sinds 15 augustus 2026 geldt de Cyberbeveiligingswet, de Nederlandse omzetting van de Europese NIS2-richtlijn. Toegangsbeveiliging en MFA zijn daarin geen vrije keuze meer: maatregel 9 gaat over personeelsbeveiliging, toegangsbeleid en assetbeheer, en maatregel 10 noemt multifactorauthenticatie met zoveel woorden.

Wat vraagt NIS2 over toegangsbeveiliging en MFA?

De zorgplicht uit artikel 21 verplicht tot passende en evenredige maatregelen. Twee van de tien maatregelgebieden gaan direct over toegang. Maatregel 9 bundelt personeelsbeveiliging, toegangsbeleid en het beheer van bedrijfsmiddelen. Maatregel 10 gaat over multifactorauthenticatie en beveiligde communicatie.

Die combinatie is niet toevallig. Vrijwel elke grote aanval begint met een geldig account in verkeerde handen, verkregen via phishing, hergebruikte wachtwoorden of een verlaten account dat nooit is opgeruimd. Wie toegang op orde heeft, sluit daarmee de meest gebruikte ingang.

Belangrijk om te weten: NIS2 is geen certificering. U kunt zich er niet voor laten certificeren. U moet wel kunnen aantonen dat uw maatregelen bestaan en werken. Bij toegangsbeveiliging is dat relatief eenvoudig, omdat vrijwel elk systeem lijsten en logbestanden kan leveren die als bewijs dienen.

Wat hoort er in een toegangsbeleid?

Een toegangsbeleid beschrijft de spelregels, niet de knoppen. Het geeft antwoord op de vraag wie beslist over toegang en op welke gronden, zodat rechten niet ontstaan omdat iemand toevallig iets vroeg.

• Rollen en profielen. Welke functie krijgt standaard welke rechten, zodat toekenning voorspelbaar en herhaalbaar is.
• Goedkeuring. Wie mag toegang verlenen, en wie keurt afwijkingen van het standaardprofiel goed.
• Minimale rechten. Iedereen krijgt alleen wat nodig is voor het werk, en niets extra voor het gemak.
• Functiescheiding. Kritieke handelingen worden verdeeld, zodat één persoon niet zowel kan aanmaken als goedkeuren.
• Herbeoordeling. Hoe vaak leidinggevenden de rechten van hun team controleren en bevestigen.
• Externe partijen. Hoe leveranciers en inhuurkrachten toegang krijgen, en wanneer die automatisch vervalt.
• Vastlegging. Waar toekenningen, wijzigingen en intrekkingen worden geregistreerd.

Wat betekent least privilege in de praktijk?

Least privilege, oftewel minimale rechten, betekent dat een account alleen kan wat de taak vereist. In de praktijk sneuvelt dit principe door stapeling: mensen wisselen van functie, houden hun oude rechten en krijgen er nieuwe bij. Na een paar jaar heeft de gemiddelde medewerker aanzienlijk meer toegang dan zijn functie rechtvaardigt.

Er is één beproefde tegenmaatregel: periodieke herbeoordeling. Laat elke leidinggevende twee keer per jaar de lijst met rechten van het eigen team nalopen en aftekenen. Die getekende lijst is meteen uw bewijs richting de toezichthouder.

Kijk daarbij ook naar accounts zonder mens erachter. Serviceaccounts, koppelingen en API-sleutels hebben vaak ruime rechten en een wachtwoord dat nooit verandert. Neem ze op in dezelfde inventarisatie als gewone accounts, want ze zijn een geliefd doelwit.

Welke accounts vragen welk beveiligingsniveau?

Niet elk account heeft dezelfde bescherming nodig. Onderscheid maken helpt om de aandacht te richten op wat werkelijk gevaarlijk is als het misgaat. De onderstaande tabel is een vertrekpunt dat u aanpast aan uw eigen risicoanalyse.

Hoe beheert u geprivilegieerde accounts?

Geprivilegieerde accounts zijn de sleutels van het koninkrijk. Wie er een bemachtigt, kan logbestanden wissen, back-ups verwijderen en zich blijvend nestelen in uw omgeving. Dat maakt het beheer ervan de belangrijkste enkele maatregel binnen toegangsbeveiliging.

Drie regels helpen het meest. Scheid beheer van dagelijks werk, zodat een beheerder mailt en surft met een gewoon account en alleen aanmeldt met beheerrechten wanneer dat nodig is. Beperk het aantal beheerders tot wat echt nodig is en houd een actuele lijst bij. Log elk gebruik en laat iemand anders dan de beheerder die logs periodiek beoordelen.

Zorg daarnaast dat het intrekken van beheerrechten onderdeel is van uw incident response plan. Bij een vermoeden van misbruik moet u binnen minuten accounts kunnen blokkeren en sessies kunnen beëindigen, zonder eerst te zoeken wie dat mag doen.

Hoe regelt u in- en uitdiensttreding?

De grootste zwakte in toegangsbeheer zit niet in de techniek, maar in het proces rond personeel. Instroom gaat meestal goed, want iemand die niet kan werken meldt zich vanzelf. Uitstroom gaat vaak mis, want een account dat blijft bestaan klaagt niet.

Koppel daarom het opheffen van toegang aan de personeelsadministratie en niet aan een losse melding per e-mail. Spreek een vaste termijn af, bijvoorbeeld dat toegang op de laatste werkdag vervalt. Doe hetzelfde bij functiewijziging: eerst oude rechten intrekken, dan nieuwe toekennen.

Vergeet de randgevallen niet. Bedrijfsmiddelen zoals laptops en telefoons horen bij dezelfde procedure, want maatregel 9 noemt assetbeheer expliciet. Ook langdurig verlof, uitzendkrachten en beëindigde leverancierscontracten verdienen een plek in de procedure.

Waarom noemt NIS2 multifactorauthenticatie apart?

Wachtwoorden alleen bieden onvoldoende bescherming. Ze worden hergebruikt, ontfutseld via phishing of gevonden in datalekken van andere diensten. MFA voegt een tweede factor toe, zodat een gestolen wachtwoord op zichzelf niets waard is.

Begin bij de diensten die vanaf internet bereikbaar zijn: e-mail, VPN, cloudbeheer en klantportalen. Daarna volgen beheeraccounts en toegang van externe partijen. Kies waar mogelijk phishingbestendige methoden zoals een fysieke sleutel of een app met nummervergelijking, en vermijd sms als enige tweede factor.

Denk ook na over de herstelroute. Wat gebeurt er als iemand zijn telefoon verliest? Een helpdesk die MFA op verzoek uitzet, maakt de maatregel waardeloos. Leg een vaste procedure vast met identiteitscontrole, en bewaar noodcodes net zo zorgvuldig als de sleutels van uw back-ups. Organisaties die al met ISO 27001 als basis voor NIS2 werken, hebben veel van deze afspraken al vastgelegd.

Veelgestelde vragen over toegangsbeveiliging en MFA onder NIS2

1. Is MFA verplicht onder NIS2?

Multifactorauthenticatie wordt in artikel 21 expliciet genoemd als een van de tien maatregelgebieden. De wet zegt er wel bij dat maatregelen passend en evenredig moeten zijn. In de praktijk is MFA op vanaf internet bereikbare diensten en op beheeraccounts nauwelijks te verdedigen als u het niet toepast.

2. Op welke systemen zet ik MFA als eerste aan?

Begin bij alles wat vanaf internet bereikbaar is: e-mail, VPN, cloudbeheerportalen en klantportalen. Zet daarna MFA op alle beheeraccounts en op toegang van externe leveranciers. Deze volgorde dekt de routes waarlangs de meeste aanvallen binnenkomen, tegen relatief weinig inspanning en kosten.

3. Hoe vaak moet ik toegangsrechten herbeoordelen?

De wet noemt geen frequentie. Twee keer per jaar voor gewone accounts en elk kwartaal voor beheeraccounts is voor veel organisaties verdedigbaar. Laat de leidinggevende de lijst aftekenen en bewaar die vastlegging, want juist die ondertekende herbeoordeling is het bewijs waar een toezichthouder om kan vragen.

4. Wat doe ik met gedeelde accounts?

Vermijd ze waar het kan, want bij een gedeeld account is niet vast te stellen wie wat heeft gedaan. Is een gedeeld account onvermijdelijk, leg dan vast wie het mag gebruiken, bewaar het wachtwoord in een beheerde kluis, wijzig het bij personeelswisselingen en log het gebruik ervan.

5. Geldt toegangsbeveiliging ook voor mijn leveranciers?

Ja. Externe partijen die op uw systemen werken vallen onder hetzelfde toegangsbeleid, met MFA, tijdelijke toegang en logging. NIS2 noemt de beveiliging van de toeleveringsketen bovendien als apart maatregelgebied, dus afspraken hierover horen ook in uw contracten en in uw leveranciersbeoordeling te staan.

Conclusie

Toegangsbeveiliging klinkt technisch, maar het is vooral een kwestie van discipline. Weten welke accounts er zijn, weten waarom iemand ergens bij mag, en toegang net zo netjes intrekken als u die verleent. Multifactorauthenticatie is daarbovenop de maatregel met de gunstigste verhouding tussen inspanning en effect.

Begin met een uitdraai van alle actieve accounts en streep door wat niemand kan verklaren. Die ene lijst legt vaak meer bloot dan een volledige audit. Wilt u het beleid en de vastlegging niet zelf schrijven, dan bevatten de NIS2 document templates een toegangsbeleid, een procedure voor in- en uitdiensttreding en een formulier voor herbeoordeling. Samen met de digitale Coach uit het NIS2 compliance pakket werkt u maatregel 9 en 10 stap voor stap af.